ทีม Threat Hunter ของ Symantec เปิดเผยรายละเอียดการโจมตีด้วย Ransomware สายพันธุ์ใหม่ที่ยังไม่เคยพบมาก่อน ชื่อว่า "Spirals" ซึ่งโจมตีบริษัท IT Services แห่งหนึ่งในเอเชียใต้ช่วงเดือนมิถุนายน 2026 โดยสิ่งที่ทำให้ Spirals น่ากลัวเป็นพิเศษคือ ผู้โจมตีใช้เวลาไม่ถึง 24 ชั่วโมง นับจากวินาทีแรกที่เจาะเข้าระบบจนกระทั่งเข้ารหัสไฟล์ทั่วทั้งเครือข่าย
Spirals ถูกพัฒนาด้วยภาษา Rust และดูเหมือนจะถูกสร้างขึ้นมาเพื่อการโจมตีครั้งนี้โดยเฉพาะ ผู้อยู่เบื้องหลังยังคงไม่ทราบตัวตน แต่ระดับทักษะและความเป็นระบบของการโจมตีบ่งชี้ว่าเป็น Threat Actor ที่มีความสามารถสูงมาก
ลำดับเวลาการโจมตีแบบนาทีต่อนาที
วันที่ 16 มิถุนายน — เจาะเข้าระบบและวาง Infrastructure
22:21 น. — ผู้โจมตีเจาะเข้า IIS Web Server ที่เปิดสู่อินเทอร์เน็ต และอัปโหลด ASP.NET Web Shell เพื่อใช้เป็นจุดควบคุมหลัก
ภายในไม่กี่นาที — ติดตั้งเครื่องมือ Tunneling 3 ชุดพร้อมกัน ได้แก่ Chisel (ปลอมตัวเป็น chrome.exe), Cloudflare Tunnel Client สร้างช่องทางสื่อสารซ้ำซ้อนที่ซ่อนตัวได้ดี และเครื่องมือ Token Impersonation เพื่อยกระดับสิทธิ์
23:07 น. — ผู้โจมตีเริ่มพยายาม Disable Security Tool บนเครื่องที่ถูกเจาะ
23:07–23:33 น. — ดำเนิน Hands-on-keyboard Session เข้มข้น 3 ชั่วโมง: รัน cmd.exe และ powershell.exe ผ่าน IIS Worker Process, ทำ UAC Bypass, เปิด RDP, สร้าง Local Account ที่ Persistent และ Dump SAM Hive เพื่อดึง Credential
23:33 น. — เริ่ม Lateral Movement ผ่าน WMI เข้าถึงเครื่องในเครือข่ายกว่า 12 เครื่องภายในเวลาไม่กี่นาที โดยใช้ Domain Administrator Credential ที่ขโมยมา ความเร็วระดับนี้บ่งชี้ว่าเป็นการโจมตีแบบ Automated ไม่ใช่ Manual
วันที่ 17 มิถุนายน — Phase การเข้ารหัสทั้งเครือข่าย
14:12–14:44 น. — ผู้โจมตีเปลี่ยนมาใช้ PsExec เป็น Vector หลัก โดยเครื่องเดียวที่ Compromise แล้วจะส่ง PowerShell Payload แบบ Base64-encoded ไปยังเครื่องอื่นในเครือข่ายทุกไม่กี่วินาทีต่อเนื่อง 30 นาที
Payload นี้ทำหน้าที่สองอย่างทันที ได้แก่ ปิด Windows Defender Real-time Monitoring และ หยุด Service สำคัญกว่า 20 รายการ รวมถึง Veeam Backup, VMware, SQL Server และ Microsoft Exchange เพื่อปลดล็อก File Handle ก่อนเข้ารหัส
ตัว Ransomware ถูกตั้งชื่อว่า bitsadmin.exe เพื่อปลอมตัวเป็น Windows Utility และถูก Stage ไว้ในหลายตำแหน่ง รวมถึงโฟลเดอร์ SYSVOL Domain Scripts เพื่อให้แพร่กระจายไปยังเครื่องที่ไม่ได้ถูก Target โดยตรงโดยอัตโนมัติ
เทคนิคการเข้ารหัสของ Spirals
Spirals ใช้ระบบ Cryptography ที่ออกแบบมาเพื่อความเร็วและความปลอดภัยสูงสุด
ระบบ Hybrid Encryption สองชั้น ไฟล์แต่ละไฟล์จะถูกเข้ารหัสด้วย AES-128 Key ที่ไม่ซ้ำกัน จากนั้น AES Key นั้นจะถูกห่อหุ้มด้วย ECDH P-256 Public Key ของผู้โจมตี ทำให้ไม่มีทางถอดรหัสได้โดยไม่มี Private Key จากฝั่งผู้โจมตี
Intermittent Encryption สำหรับไฟล์ขนาดใหญ่ ไฟล์ที่มีขนาดเกิน 5 MB จะถูกเข้ารหัสแบบ Jittered Chunk ไม่ใช่ทั้งไฟล์ เพื่อเพิ่มความเร็วในการเข้ารหัสทั้งเครือข่ายให้รวดเร็วที่สุด
Ransom Note ถูก Drop ไว้ในไฟล์ชื่อ C:\RECOVERY_SECTION.log ทั่วทั้งระบบ โดยเนื้อหาระบุว่าผู้โจมตีได้ขโมยข้อมูลออกไปแล้ว และจะเผยแพร่ต่อสาธารณะภายใน 6 วัน หากไม่มีการจ่ายค่าไถ่ พร้อม Link ไปยัง Tor Portal สำหรับการเจรจา
IOC ที่พบในการโจมตีครั้งนี้
- Staging Infrastructure IP:
185.141.216.194 - ไฟล์ Ransomware:
bitsadmin.exe(ปลอมตัวเป็น Windows Utility) - Tunneling Tool:
chrome.exe(จริง ๆ คือ Chisel) - Ransom Note:
C:\RECOVERY_SECTION.log - อีก 2 Compromised Domain ที่ใช้ Host Malicious Payload (ไม่ได้เปิดเผยชื่อ)
ผลกระทบที่อาจเกิดขึ้น
- ความเร็วของการโจมตี ทำให้ Window of Detection แคบมาก ถ้าระบบ Monitor ไม่ตอบสนองใน 2–3 ชั่วโมงแรก การเข้ารหัสทั้งเครือข่ายจะเสร็จสิ้นก่อนที่จะแก้ไขได้
- IIS Server ที่เปิดสู่อินเทอร์เน็ต เป็น Attack Surface ที่ถูกใช้บ่อยครั้งและยังคงเป็นประตูเข้าหลักในหลายองค์กร
- Backup Service ที่ถูกหยุด ทำให้การกู้คืนระบบโดยไม่จ่ายค่าไถ่ทำได้ยากขึ้นหากไม่มี Offline Backup
- Double Extortion ทำให้แม้สามารถ Restore จาก Backup ได้ ก็ยังเผชิญกับความเสี่ยงที่ข้อมูลจะถูกเปิดเผย
- SYSVOL Staging ทำให้ Ransomware แพร่ไปยังเครื่องใหม่ที่เข้ามาใน Network หลังการโจมตีด้วย ถ้าไม่ได้ทำ Containment อย่างสมบูรณ์
สิ่งที่องค์กรควรตรวจสอบทันที
- ตรวจสอบว่า IIS Web Server ที่เปิดสู่อินเทอร์เน็ต มีระบบ Monitor การเปลี่ยนแปลงไฟล์หรือ Web Shell Detection หรือไม่
- ตั้ง Alert ทันทีสำหรับ Process ที่สร้างจาก IIS Worker Process (
w3wp.exe) เช่น cmd.exe หรือ powershell.exe ซึ่งเป็น Indicator ชัดเจนของ Web Shell Activity - Monitor WMI และ PsExec Activity ที่มีลักษณะ Rapid Sequential Connection ไปยังหลายเครื่องในเวลาสั้น
- ตรวจสอบ LSASS Memory Dump ว่ามีการใช้
rundll32.exeร่วมกับcomsvcs.dllเพื่อ Dump Credential หรือไม่ - ตรวจสอบ SYSVOL Folder ว่ามีไฟล์ที่ไม่คุ้นเคยถูกเพิ่มเข้ามาหรือไม่ โดยเฉพาะ Binary ที่ชื่อคล้าย Windows System Tool
แนวทางลดความเสี่ยง
1. เสริมความแข็งแกร่งให้ IIS Server ที่เปิดสู่อินเทอร์เน็ต
ใช้ Web Application Firewall (WAF) หน้า IIS, Monitor File Integrity บน Web Directory, ปิด Script Execution ใน Directory ที่ไม่จำเป็น และตรวจสอบการเปลี่ยนแปลงใด ๆ บน Web Root ทันที
2. ป้องกัน LSASS Credential Dumping
เปิด Windows Credential Guard, ตั้งค่า LSASS ให้ทำงานใน Protected Process Light (PPL) และ Monitor การเรียก comsvcs.dll MiniDump ผ่าน rundll32
3. จำกัดการใช้งาน Domain Admin Credential
Domain Administrator Account ไม่ควรใช้งานบน Workstation ทั่วไป และควรมี Privileged Access Workstation (PAW) สำหรับการจัดการระบบ
4. สร้าง Offline Backup ที่ไม่สามารถเข้าถึงได้จากเครือข่าย
Backup Solution เช่น Veeam เป็นเป้าหมายหลักของ Ransomware ควรมี Offline Copy หรือ Immutable Backup ที่ไม่สามารถ Stop หรือ Delete ได้จากระบบที่ติดเชื้อ
5. ตั้ง Alert สำหรับ Tunneling Tool ที่รู้จัก
Chisel, Cloudflare Tunnel และ Similar Tool มักปรากฏก่อนการโจมตีหลัก ตั้ง Detection สำหรับ Process เหล่านี้หรือ Network Pattern ที่เกี่ยวข้องใน EDR
6. ทำ Network Segmentation
แยก IIS Web Server ออกจาก Internal Network ด้วย Firewall ที่เข้มงวด เพื่อจำกัด Lateral Movement ในกรณีที่ Web Server ถูก Compromise
วิเคราะห์ในมุมมองจาก TXEC
Spirals แสดงให้เห็นว่า Ransomware Group สมัยใหม่ไม่ได้โจมตีแบบ Opportunistic อีกต่อไป แต่เป็นการวางแผนอย่างรอบคอบ โดยความเร็วและความเป็นระบบของการโจมตีบ่งชี้ถึงการ Rehearsal มาแล้วก่อนหน้า
สิ่งที่น่ากังวลสำหรับองค์กรไทยคือ บริษัท IT Services เป็นเป้าหมายที่น่าสนใจมาก เพราะมักมี Access ไปยังระบบของลูกค้าหลายราย การเจาะบริษัท IT Provider เดียวอาจนำไปสู่ห่วงโซ่การโจมตีที่ลูกค้าหลายรายได้รับผลกระทบพร้อมกัน
นอกจากนี้ Pattern ของการ Stage Ransomware ใน SYSVOL และการ Disable Backup Service ก่อนเข้ารหัสสะท้อนถึง ความเชี่ยวชาญด้าน Active Directory ที่ลึกมาก องค์กรที่ยังใช้ IIS Server เปิดสู่อินเทอร์เน็ตควรทบทวนมาตรการ Monitoring และ Hardening อย่างเร่งด่วน
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Symantec Threat Hunter Team, CyberSecurityNews, BleepingComputer, Help Net Security, GBHackers, Security.com ]