Sophos เปิดเผยแคมเปญโจมตีที่ติดตามในชื่อ STAC4749 ซึ่งใช้เทคนิค Vishing (Voice Phishing) ผ่าน Microsoft Teams ปลอมตัวเป็นทีม IT Support หรือ Helpdesk เพื่อหลอกเหยื่อให้อนุญาตการเข้าถึงเครื่องระยะไกล ก่อนนำไปสู่การวาง Chaos Ransomware โดยในบางเหตุการณ์ใช้เวลาเพียง น้อยกว่า 17 ชั่วโมง นับจากเข้าถึงระบบครั้งแรกจนถึงขั้นเข้ารหัสไฟล์สำเร็จ แคมเปญนี้ดำเนินการต่อเนื่องตั้งแต่เดือนกุมภาพันธ์ถึงมิถุนายน 2569 กระทบองค์กรหลายสิบแห่ง
กลไกการโจมตี: จาก Teams Chat สู่ Ransomware
STAC4749 ดำเนินการโจมตีเป็นลำดับขั้นดังนี้:
- เริ่มต้นติดต่อเหยื่อผ่าน Chat หรือ Call บน Microsoft Teams โดยปลอมตัวเป็นเจ้าหน้าที่ IT Support หรือ Helpdesk ขององค์กร
- ใช้ Username ที่ดูสมจริงและสร้างความน่าเชื่อถือ เพื่อให้เหยื่อเข้าใจผิดว่ากำลังพูดคุยกับพนักงานภายในองค์กรจริง
- สร้าง Cloud Domain ในธีม IT Support ภายใต้ Top-Level Domain ".top" เพื่อใช้สนับสนุนความน่าเชื่อถือของการหลอกลวง
- หลอกให้เหยื่อยินยอมให้เข้าถึงเครื่องระยะไกล ระหว่างการโทร ซึ่ง Sophos พบว่าระยะเวลาการโทรหลอกลวงมีตั้งแต่ 90 วินาทีไปจนถึงมากกว่า 20 นาที โดยส่วนใหญ่อยู่ที่ประมาณ 2-2.5 นาที
- เมื่อเข้าถึงเครื่องได้แล้ว ดำเนินการขยายผลภายในเครือข่าย และในบางกรณีวาง Chaos Ransomware สำเร็จภายในเวลาไม่ถึง 17 ชั่วโมงนับจากจุดเข้าถึงครั้งแรก
ขอบเขตและเป้าหมายของแคมเปญ
- ดำเนินการต่อเนื่องระหว่าง กุมภาพันธ์ถึงมิถุนายน 2569 กระทบองค์กรหลายสิบแห่ง
- ประมาณ 95% ของเหตุการณ์ที่พบมุ่งเป้าไปที่องค์กรในแคนาดา (50%) และสหรัฐอเมริกา (45%)
- อุตสาหกรรมที่ได้รับผลกระทบมากที่สุด ได้แก่ ภาคบริการ (Services), การผลิต (Manufacturing), พลังงาน (Energy) และวิศวกรรมก่อสร้าง (Construction and Engineering)
- ยืนยันแล้วอย่างน้อย 3 เหตุการณ์ที่นำไปสู่การวาง Chaos Ransomware สำเร็จ
ระบบที่ได้รับผลกระทบ
- องค์กรที่เปิดใช้งาน Microsoft Teams External Access โดยอนุญาตให้บัญชีภายนอกส่ง Chat หรือโทรเข้ามาถึงพนักงานได้โดยไม่มีการควบคุมที่รัดกุม
- พนักงานที่ไม่ได้รับการอบรมให้ตระหนักถึงเทคนิค Vishing ผ่านช่องทาง Collaboration Tool ที่ดูน่าเชื่อถือ เช่น Microsoft Teams
ผลกระทบที่อาจเกิดขึ้น
- ผู้โจมตีเข้าถึงเครื่องของเหยื่อได้โดยตรงผ่านความยินยอมของเหยื่อเอง ทำให้เครื่องมือป้องกันทางเทคนิคทั่วไปตรวจจับได้ยาก เนื่องจากดูเหมือนเป็นการเข้าถึงที่ได้รับอนุญาต
- ระยะเวลาจากเข้าถึงครั้งแรกจนถึงเข้ารหัสไฟล์สั้นมาก (น้อยกว่า 17 ชั่วโมงในบางกรณี) ทำให้ทีม Security Operation มีเวลาตอบสนองน้อยกว่าการโจมตีแบบดั้งเดิมมาก
- ความเสียหายจาก Ransomware ครอบคลุมทั้งการเข้ารหัสไฟล์และความเสี่ยงต่อการหยุดชะงักทางธุรกิจ โดยเฉพาะองค์กรในภาคการผลิตและพลังงานที่พึ่งพาระบบต่อเนื่อง
- สะท้อนแนวโน้มการใช้ Collaboration Tool ที่องค์กรไว้วางใจเป็นช่องทางโจมตี แทนที่จะใช้อีเมลแบบดั้งเดิมซึ่งมักมีการกรองและตรวจจับที่เข้มงวดกว่า
สิ่งที่องค์กรควรทำ
- จำกัด Microsoft Teams External Access ให้เหลือเฉพาะโดเมนที่ได้รับอนุญาตหรือปิดใช้งานหากไม่จำเป็น ลดโอกาสที่บัญชีภายนอกจะติดต่อพนักงานได้โดยตรง
- อบรมพนักงานให้ตระหนักถึงเทคนิค Vishing ผ่าน Teams โดยเฉพาะ เน้นย้ำว่าฝ่าย IT Support จริงจะไม่ขอให้ติดตั้งซอฟต์แวร์ Remote Access ผ่านการโทรที่ไม่ได้นัดหมายล่วงหน้า
- กำหนดกระบวนการยืนยันตัวตนของ IT Support ที่ชัดเจน เช่น ให้พนักงานโทรกลับผ่านหมายเลขหรือช่องทางที่ทราบอยู่แล้วก่อนอนุญาตการเข้าถึงเครื่องระยะไกลใดๆ
- ตรวจสอบ Log การติดตั้ง Remote Access Tool บนเครื่อง Endpoint อย่างสม่ำเสมอ โดยเฉพาะ Tool ที่ไม่ได้อยู่ใน Baseline ที่องค์กรอนุมัติไว้
แนวทางลดความเสี่ยงระยะยาว
1. ใช้หลักการ Zero Trust สำหรับคำขอเข้าถึงเครื่องระยะไกลทุกกรณี
ไม่ว่าคำขอจะมาจากช่องทางที่ดูน่าเชื่อถือเพียงใด ควรมีกระบวนการยืนยันตัวตนอิสระก่อนอนุมัติทุกครั้ง
2. จำกัดสิทธิ์การติดตั้งซอฟต์แวร์ Remote Access บนเครื่อง Endpoint ของพนักงาน
ให้เฉพาะทีม IT ที่ได้รับมอบหมายเท่านั้นที่สามารถติดตั้งหรืออนุมัติ Tool ลักษณะนี้ได้
3. เตรียมแผน Incident Response ที่รองรับความเร็วของการโจมตีในลักษณะนี้
เนื่องจากระยะเวลาจากเข้าถึงจนถึง Ransomware อาจสั้นเพียงไม่กี่ชั่วโมง แผนตอบสนองแบบดั้งเดิมที่ใช้เวลาหลายวันอาจไม่ทันการณ์
4. ติดตามรายงานภัยคุกคามเกี่ยวกับ Collaboration Tool Abuse อย่างต่อเนื่อง
เนื่องจากเทคนิคการโจมตีผ่าน Teams, Slack และเครื่องมือ Collaboration อื่นๆ มีแนวโน้มเพิ่มขึ้นต่อเนื่องในปี 2569
วิเคราะห์ในมุมมองจาก TXEC
แคมเปญ STAC4749 สะท้อนวิวัฒนาการของเทคนิค Social Engineering ที่ปรับตัวตามพฤติกรรมการทำงานยุคใหม่ ซึ่งองค์กรจำนวนมากพึ่งพา Microsoft Teams เป็นช่องทางสื่อสารหลักและมักไว้วางใจการติดต่อผ่านช่องทางนี้มากกว่าอีเมลทั่วไป ผู้โจมตีใช้ประโยชน์จากความไว้วางใจนี้โดยตรง แทนที่จะพยายามหลบเลี่ยงระบบกรองอีเมลแบบดั้งเดิม
TXEC เห็นความเชื่อมโยงที่น่าสนใจกับกรณี msaRAT ที่เคยรายงานไปก่อนหน้านี้ ซึ่งใช้ Chaos Ransomware เช่นกันแต่ผ่านเทคนิค Browser-based C2 คนละรูปแบบ สะท้อนว่ากลุ่มผู้ใช้ Chaos Ransomware มีความยืดหยุ่นสูงในการเลือกช่องทางเข้าถึงเบื้องต้น (Initial Access Vector) ไม่ว่าจะเป็นผ่านเบราว์เซอร์หรือการหลอกลวงทางเสียง องค์กรจึงควรมองภัยคุกคามในภาพรวมของ TTP (Tactics, Techniques, and Procedures) มากกว่าจะป้องกันเฉพาะช่องทางใดช่องทางหนึ่ง
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: Sophos, BleepingComputer, SOCFortress ]