Fortinet FortiGuard Labs เปิดเผยการโจมตีแบบ Supply Chain Attack ที่ฝังโทรจันไว้ใน Windows Installer ของ QuickFox ซอฟต์แวร์ VPN และเร่งความเร็วเครือข่ายที่ได้รับความนิยมในกลุ่มชาวจีนโพ้นทะเล เพื่อแพร่กระจาย FDMTP Backdoor โดยพบความเชื่อมโยงด้านเทคนิคกับกลุ่มภัยคุกคามที่ได้รับการสนับสนุนจากรัฐจีนอย่าง Mustang Panda แคมเปญนี้แฝงตัวอยู่ใน Installer ที่เผยแพร่จริงมานานเกือบ 1 ปีก่อนถูกตรวจพบ
ไทม์ไลน์และกลไกการโจมตี
การโจมตีนี้เป็น Supply Chain Attack ระยะยาวที่แฝงตัวอยู่ในซอฟต์แวร์ที่เผยแพร่อย่างเป็นทางการ โดยมีรายละเอียดดังนี้:
- โค้ดอันตรายถูกแทรกเข้าไปใน QuickFox Installer ระหว่างวันที่ 25 กรกฎาคม ถึง 13 สิงหาคม 2568 โดยเวอร์ชันแรกที่ได้รับผลกระทบคือ 3.0.51.0 และแฝงตัวอยู่ในแอปพลิเคชันทางการนานเกือบ 1 ปีก่อนถูกตรวจพบ
- ผู้โจมตีแก้ไขไฟล์ Electron Renderer HTML ของแอปพลิเคชัน เพื่อดาวน์โหลดและรัน JavaScript-based Loader
- Loader ทำการ Fingerprint เครื่องเหยื่อ ตรวจสอบว่าเป็นเป้าหมายที่ถูกต้องหรือไม่ โดยตรวจหา Process เช่น Steam และรายชื่อแอปพลิเคชันภายในประเทศจีน กระเป๋าเงิน Cryptocurrency และเครื่องมือสำหรับนักพัฒนา รวม 26 รายการ
- หากตรงเงื่อนไข จะดาวน์โหลดและติดตั้ง FDMTP Backdoor ผ่านเทคนิค DLL Side-Loading ซึ่งเป็นเทคนิคที่ช่วยหลบเลี่ยงการตรวจจับจาก Antivirus ทั่วไป
ขีดความสามารถของ FDMTP Backdoor
FDMTP มีความสามารถในการเก็บรวบรวมข้อมูลระบบและควบคุมเครื่องเหยื่อ ได้แก่:
- รวบรวมข้อมูลระบบ ครอบคลุม Process ที่กำลังทำงาน, ซอฟต์แวร์ Antivirus ที่ติดตั้งอยู่ และข้อมูลเครือข่าย
- จัดการ Scheduled Task เพื่อสร้างกลไกคงอยู่ในระบบ (Persistence)
- สร้าง Registry Persistence เพื่อให้ Backdoor ทำงานต่อเนื่องแม้เครื่องจะถูก Restart
กลุ่มเป้าหมาย
แคมเปญนี้มีความเชื่อมโยงด้านเทคนิคกับกลุ่ม Mustang Panda ซึ่งเป็นกลุ่มภัยคุกคามที่เชื่อมโยงกับรัฐจีน โดยคาดว่าเป้าหมายหลักคือ ชาวจีนที่พำนักอยู่นอกประเทศจีน หรือผู้ประกอบอาชีพที่ต้องติดต่อสื่อสารกับชาวจีนโดยตรง ซึ่งอาจเกี่ยวข้องกับวัตถุประสงค์ด้านการค้าหรือการทูต
ระบบที่ได้รับผลกระทบ
- ผู้ใช้งาน QuickFox บน Windows ที่ติดตั้งผ่าน Installer เวอร์ชัน 3.0.51.0 จนถึงก่อนเวอร์ชัน 3.59.6
- โดยเฉพาะกลุ่มผู้ใช้ที่มีการติดตั้งแอปพลิเคชันภาษาจีน กระเป๋าเงิน Cryptocurrency หรือเครื่องมือนักพัฒนาที่ตรงกับเงื่อนไข Fingerprint ของมัลแวร์
ผลกระทบที่อาจเกิดขึ้น
- เครื่องที่ติดตั้ง QuickFox เวอร์ชันที่มีช่องโหว่เสี่ยงถูกฝัง Backdoor โดยไม่รู้ตัว แม้จะดาวน์โหลดจากช่องทางที่เป็นทางการก็ตาม
- ความเสี่ยงต่อการถูกสอดแนมข้อมูลระบบและกิจกรรมบนเครื่องอย่างต่อเนื่อง ผ่านความสามารถของ FDMTP ในการเก็บรวบรวมข้อมูลและคงอยู่ในระบบ
- แคมเปญแฝงตัวอยู่นานเกือบ 1 ปีก่อนถูกตรวจพบ สะท้อนว่าเครื่องที่ติดเชื้อไปแล้วอาจถูกสอดแนมมาเป็นระยะเวลานานโดยไม่มีสัญญาณผิดปกติที่ชัดเจน
- ความเชื่อมโยงกับกลุ่ม APT ระดับรัฐอย่าง Mustang Panda บ่งชี้ว่าข้อมูลที่ถูกเก็บรวบรวมอาจถูกใช้เพื่อวัตถุประสงค์ด้านข่าวกรองมากกว่าผลประโยชน์ทางการเงินทั่วไป
สิ่งที่องค์กรควรทำ
- ตรวจสอบว่ามีการติดตั้ง QuickFox บนเครื่องในองค์กรหรือไม่ โดยเฉพาะเวอร์ชันก่อน 3.59.6 หากพบให้อัปเดตเป็นเวอร์ชันล่าสุดที่ผู้พัฒนาลบโค้ดอันตรายออกแล้วทันที
- ตรวจสอบ Registry และ Scheduled Task บนเครื่องที่ติดตั้ง QuickFox หาสัญญาณ Persistence ที่ผิดปกติ โดยเฉพาะรายการที่ไม่ตรงกับ Baseline ปกติของระบบ
- ตรวจสอบ Log เครือข่ายหาการเชื่อมต่อที่ผิดปกติจากเครื่องที่ติดตั้ง QuickFox โดยเฉพาะช่วงเวลาตั้งแต่กรกฎาคม 2568 เป็นต้นมา
- แจ้งเตือนพนักงานที่มีการติดต่อสื่อสารกับกลุ่มผู้ใช้ภาษาจีนหรือใช้ซอฟต์แวร์ที่เกี่ยวข้องกับจีน ให้ตระหนักถึงความเสี่ยงและตรวจสอบเครื่องของตนเองเพิ่มเติม
แนวทางลดความเสี่ยงระยะยาว
1. ตรวจสอบแหล่งที่มาและ Integrity ของ Installer ก่อนติดตั้งซอฟต์แวร์จากภายนอกทุกครั้ง
แม้จะดาวน์โหลดจากเว็บไซต์ทางการ ก็ยังมีความเสี่ยงจาก Supply Chain Attack ได้ตามที่เกิดขึ้นในกรณีนี้
2. ใช้เครื่องมือ Endpoint Detection and Response (EDR) ที่สามารถตรวจจับพฤติกรรม DLL Side-Loading
เนื่องจากเป็นเทคนิคที่มัลแวร์กลุ่ม APT นิยมใช้เพื่อหลบเลี่ยงการตรวจจับจาก Antivirus แบบดั้งเดิม
3. จำกัดการติดตั้งซอฟต์แวร์จากภายนอกในองค์กรให้ผ่านกระบวนการอนุมัติและตรวจสอบก่อนใช้งานจริง
โดยเฉพาะซอฟต์แวร์ VPN หรือเครื่องมือเครือข่ายที่มีสิทธิ์เข้าถึงระบบระดับสูง
4. ติดตามรายงานภัยคุกคามเกี่ยวกับกลุ่ม APT ที่เชื่อมโยงกับรัฐ เช่น Mustang Panda อย่างต่อเนื่อง
เนื่องจากกลุ่มเหล่านี้มักมีเป้าหมายเฉพาะเจาะจงและใช้เทคนิค Supply Chain Attack ที่ซับซ้อนเพื่อเข้าถึงเป้าหมายระยะยาว
วิเคราะห์ในมุมมองจาก TXEC
เหตุการณ์นี้เป็นตัวอย่างสำคัญของ Supply Chain Attack ที่แฝงตัวอยู่ในซอฟต์แวร์ทางการเป็นระยะเวลานานเกือบ 1 ปีโดยไม่ถูกตรวจพบ สะท้อนว่าการดาวน์โหลดซอฟต์แวร์จากแหล่งที่เป็นทางการเพียงอย่างเดียวไม่สามารถรับประกันความปลอดภัยได้อย่างสมบูรณ์ โดยเฉพาะเมื่อผู้โจมตีมีทรัพยากรและความสามารถระดับ APT ที่สามารถเข้าถึงและแทรกโค้ดในกระบวนการ Build หรือ Distribution ของซอฟต์แวร์ได้โดยตรง
TXEC มองว่าจุดที่น่าสนใจเป็นพิเศษคือกลไก Fingerprint ที่ทำให้มัลแวร์นี้เลือกโจมตีเฉพาะเป้าหมายที่ตรงเงื่อนไข (เช่น มีแอปพลิเคชันภาษาจีนหรือกระเป๋าเงิน Cryptocurrency) สะท้อนว่าแคมเปญนี้ออกแบบมาอย่างเฉพาะเจาะจงเพื่อหลีกเลี่ยงการตรวจพบจากเป้าหมายที่ไม่เกี่ยวข้อง องค์กรไทยที่มีพนักงานหรือพันธมิตรทางธุรกิจที่ต้องติดต่อสื่อสารกับกลุ่มผู้ใช้ภาษาจีนควรตระหนักถึงความเสี่ยงนี้เป็นพิเศษ และไม่ควรประเมินความเสี่ยงจาก Supply Chain Attack ต่ำเกินไปเพียงเพราะซอฟต์แวร์มาจากแหล่งที่ดูน่าเชื่อถือ
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Fortinet FortiGuard Labs, The Hacker News, SC Media ]