SynkLoader: มัลแวร์โจมตีผ่าน Microsoft Teams ปลอมเป็น IT Support ขโมย Windows Credentials
Microsoft Teams กำลังกลายเป็นอีกหนึ่งช่องทางที่ผู้โจมตีใช้สำหรับ Phishing และ Social Engineering หลังนักวิจัยด้านความปลอดภัยจาก Expel ตรวจพบแคมเปญที่แพร่มัลแวร์ SynkLoader โดยปลอมตัวเป็นเจ้าหน้าที่ IT Support หลอกให้พนักงานติดตั้งโปรแกรม ก่อนขโมยข้อมูล สร้าง Persistence และเปิดทางให้ผู้โจมตีสามารถเข้าถึงเครื่องจากระยะไกลได้
เหตุการณ์นี้สะท้อนให้เห็นว่า Phishing ไม่ได้จำกัดอยู่เพียง Email อีกต่อไป แต่กำลังขยายไปยัง Collaboration Platform ที่พนักงานใช้งานเป็นประจำ เช่น Microsoft Teams
SynkLoader คืออะไร?
SynkLoader เป็นมัลแวร์แบบ Modular ที่ประกอบด้วยหลาย Module และสามารถใช้เทคโนโลยีหลายภาษา เช่น Python, PowerShell, C# และ C++
ลักษณะ Modular ช่วยให้ผู้โจมตีสามารถเลือกติดตั้งและใช้งานความสามารถต่าง ๆ ตามวัตถุประสงค์และสภาพแวดล้อมของเหยื่อ
ความสามารถที่ตรวจพบ ได้แก่
- System Profiling – เก็บข้อมูลเครื่อง เช่น Username, Processes, Services และ Domain
- Persistence – สร้าง Scheduled Task เพื่อให้มัลแวร์สามารถทำงานต่อเนื่อง
- Credential Theft – หลอกขโมย Windows Credentials
- Remote Shell – เปิด Interactive Shell เพื่อให้ผู้โจมตีสามารถส่งคำสั่ง PowerShell จากระยะไกล
- Remote Control – สามารถดูหน้าจอและควบคุม Mouse และ Keyboard ผ่าน Remote Session
- Traffic Redirection – ใช้เครื่องที่ถูก Compromise เป็นช่องทางเชื่อมต่อไปยังระบบภายใน
- Module Monitoring – ตรวจสอบสถานะของ Module ต่าง ๆ ที่กำลังทำงานอยู่
จุดเริ่มต้นของการโจมตี: ปลอมเป็น IT Support ผ่าน Microsoft Teams
หนึ่งในจุดที่ทำให้แคมเปญนี้น่ากังวลคือ ผู้โจมตีไม่ได้เริ่มต้นด้วยการส่งไฟล์ Malware อย่างโจ่งแจ้ง แต่ใช้ Social Engineering เพื่อสร้างความน่าเชื่อถือก่อน
ผู้โจมตีปลอมตัวเป็นเจ้าหน้าที่ IT Help Desk และติดต่อเหยื่อผ่าน Microsoft Teams จากนั้นหลอกให้ผู้ใช้งานติดตั้งเครื่องมือที่อ้างว่าเป็น “PowerShell Cleaner”
ไฟล์ดังกล่าวอยู่ในรูปแบบ MSI และถูกโฮสต์บน Microsoft Azure ซึ่งอาจช่วยลดความสงสัยของผู้ใช้งาน เนื่องจาก Infrastructure อยู่บน Cloud Service ที่องค์กรคุ้นเคย
เมื่อผู้ใช้งานติดตั้งไฟล์ ระบบจะติดตั้ง Components หลายรายการ ก่อนนำไปสู่การติดตั้งและทำงานของ SynkLoader บนเครื่อง
SynkLoader ขโมย Credentials ด้วย Windows Lock Screen ปลอม
หนึ่งในความสามารถที่น่าสนใจและอันตรายของ SynkLoader คือ PhishLocker
มัลแวร์สามารถแสดงหน้าจอที่ออกแบบให้มีลักษณะคล้าย Windows 11 Lock Screen เพื่อหลอกให้ผู้ใช้งานกรอก Windows Password
เมื่อเหยื่อกรอกข้อมูล Credential แล้ว ข้อมูลดังกล่าวสามารถถูกส่งกลับไปยังผู้โจมตี เพื่อนำไปใช้ในขั้นตอนต่อไปของการโจมตี
อย่างไรก็ตาม นักวิจัยพบว่าหน้าจอดังกล่าว ไม่ใช่ Windows Lock Screen จริง แต่เป็น Application ที่แสดงผลแบบ Full Screen และไม่มีขอบหน้าต่าง
ดังนั้น หากพบ Lock Screen หรือหน้าจอ Credential Prompt ที่ปรากฏขึ้นอย่างผิดปกติ ผู้ใช้งานควรหยุดดำเนินการและตรวจสอบก่อนกรอกข้อมูล โดยสามารถใช้ Alt + Tab เพื่อดูว่าหน้าจอดังกล่าวเป็น Windows System จริงหรือเป็น Application ที่กำลังทำงานอยู่
Security Tip: หากหน้าจอ Login หรือ Lock Screen ปรากฏขึ้นโดยไม่คาดคิด อย่ารีบกรอก Password หรือ Credential ควรตรวจสอบกับ IT Support ผ่านช่องทางที่เชื่อถือได้ก่อน
จาก Malware สู่ Remote Access
SynkLoader ไม่ได้หยุดอยู่เพียงการขโมย Credentials แต่ยังสามารถเปิดช่องทางให้ผู้โจมตีเข้าถึงเครื่องของเหยื่อจากระยะไกล
หนึ่งใน Module ที่ตรวจพบคือ Interactive Shell ซึ่งช่วยให้ผู้โจมตีสามารถส่งคำสั่ง PowerShell ไปยังเครื่องที่ติดมัลแวร์ และรับผลลัพธ์กลับมาได้
นอกจากนี้ยังมีความสามารถด้าน Remote Control ที่ช่วยให้ผู้โจมตีสามารถดูหน้าจอและควบคุม Mouse และ Keyboard ของเหยื่อได้
เมื่อรวมความสามารถเหล่านี้เข้าด้วยกัน SynkLoader จึงสามารถทำหน้าที่เป็น Foothold บนเครื่องของเหยื่อ และอาจถูกนำไปใช้เป็นจุดเริ่มต้นสำหรับการโจมตีในขั้นตอนต่อไป
อาจเป็นจุดเริ่มต้นของการโจมตีภายในองค์กร
นักวิจัยจาก Expel ตั้งข้อสังเกตว่า ความสามารถในการสำรวจระบบและข้อมูล Active Directory ของ SynkLoader อาจบ่งชี้ถึงการนำมัลแวร์ไปใช้ในปฏิบัติการที่มีเป้าหมายมากกว่าการขโมยข้อมูลเพียงอย่างเดียว
เมื่อผู้โจมตีมีทั้ง Remote Shell, Credential Theft, Persistence และ System/Network Reconnaissance เครื่องที่ถูก Compromise อาจถูกใช้เป็นจุดเริ่มต้นสำหรับ Lateral Movement ไปยังระบบอื่นภายในองค์กร
หากผู้โจมตีสามารถยกระดับสิทธิ์และเข้าถึงระบบสำคัญได้ การโจมตีอาจพัฒนาไปสู่การขโมยข้อมูล การทำลายระบบ หรือแม้แต่ Ransomware Attack ในขั้นตอนต่อไป
อย่างไรก็ตาม ความเชื่อมโยงดังกล่าวควรมองเป็น ความเป็นไปได้ของ Attack Chain มากกว่าการสรุปว่า SynkLoader ถูกใช้เพื่อทำ Ransomware โดยตรง
Attack Chain ของ SynkLoader
Microsoft Teams Phishing
↓
ปลอมเป็น IT Support
↓
หลอกให้ติดตั้ง “PowerShell Cleaner”
↓
ติดตั้ง SynkLoader
↓
สร้าง Persistence
↓
System & Active Directory Reconnaissance
↓
Credential Theft
↓
Remote Shell / Remote Control
↓
Potential Lateral Movement
↓
Data Theft / Further Attack
ทำไมองค์กรต้องระวัง Teams Phishing?
เหตุการณ์นี้สะท้อนให้เห็นว่า Attack Surface ขององค์กรไม่ได้จำกัดอยู่แค่ Email และ Endpoint
Microsoft Teams และ Collaboration Platform อื่น ๆ กำลังกลายเป็นพื้นที่ที่ผู้โจมตีสามารถใช้ Social Engineering ได้ เนื่องจากพนักงานมีความคุ้นเคยกับแพลตฟอร์มเหล่านี้ และอาจเชื่อใจบุคคลที่อ้างว่าเป็นเจ้าหน้าที่ IT
สิ่งที่ทำให้การโจมตีลักษณะนี้น่ากังวลคือ ผู้โจมตีไม่ได้พยายามเอาชนะระบบรักษาความปลอดภัยด้วยเทคนิคที่ซับซ้อนเพียงอย่างเดียว แต่ใช้ ความน่าเชื่อถือและความไว้วางใจของผู้ใช้งานเป็นอาวุธ
ดังนั้น การป้องกัน Phishing ในปัจจุบันจึงควรมองให้กว้างกว่า Email Security และครอบคลุมทั้ง
Identity + Endpoint + Collaboration + Network + User Awareness
องค์กรควรรับมืออย่างไร?
- ตรวจสอบบุคคลที่อ้างว่าเป็น IT Support
หากได้รับข้อความจากผู้ที่อ้างว่าเป็น IT Support และขอให้ติดตั้ง Software หรือดำเนินการบางอย่าง ควรตรวจสอบตัวตนผ่านช่องทางอื่นก่อนดำเนินการ
อย่าติดตั้งโปรแกรมเพียงเพราะผู้ติดต่ออ้างว่าเป็นเจ้าหน้าที่ IT
- จำกัดการติดตั้ง Software
ควบคุมสิทธิ์ของผู้ใช้งานและจำกัดการติดตั้ง Software ที่ไม่ได้รับอนุญาต โดยเฉพาะไฟล์ Installer เช่น MSI
ควรใช้ Application Control หรือ Endpoint Security เพื่อช่วยตรวจสอบและป้องกันการเรียกใช้โปรแกรมที่มีความเสี่ยง
- ทบทวน External Access บน Microsoft Teams
องค์กรควรตรวจสอบ Policy สำหรับ Guest และ External Users รวมถึงกำหนดว่าใครบ้างที่สามารถติดต่อพนักงานผ่าน Microsoft Teams และสามารถส่งไฟล์หรือขอให้ดำเนินการต่าง ๆ ได้ในระดับใด
- ใช้ Endpoint Detection & Response
ระบบ EDR ควรสามารถตรวจจับพฤติกรรมผิดปกติ เช่น
- การติดตั้ง MSI ที่ไม่ได้รับอนุญาต
- การสร้าง Scheduled Task
- PowerShell Activity ที่ผิดปกติ
- การสร้าง Remote Connection
- Process ที่มีพฤติกรรมน่าสงสัย
- Credential Access และการเคลื่อนไหวภายในระบบ
- เฝ้าระวัง Identity และ Credentials
การป้องกันไม่ควรหยุดอยู่ที่ Endpoint แต่ควรตรวจสอบการใช้งาน Account และ Credential ด้วย
ตัวอย่างเช่น การ Login จาก Location ที่ผิดปกติ การเข้าถึงระบบที่ไม่สอดคล้องกับพฤติกรรมเดิม หรือการพยายามใช้ Account เดียวกันเพื่อเข้าถึงระบบจำนวนมากผิดปกติ
- สร้าง Cybersecurity Awareness ให้พนักงาน
การฝึกอบรมพนักงานควรขยายจาก Email Phishing ไปสู่ Multi-Channel Social Engineering
พนักงานควรรู้จักรูปแบบการโจมตี เช่น
Teams Phishing → Fake IT Support → Fake Software Update → Credential Phishing → Remote Access
และควรรู้ว่าการได้รับคำขอให้ติดตั้ง Software หรือเปิด Remote Session จากบุคคลที่ติดต่อผ่าน Collaboration Platform ควรได้รับการตรวจสอบก่อนเสมอ
BigFish Cybersecurity Insight
กรณีของ SynkLoader เป็นอีกตัวอย่างที่แสดงให้เห็นว่า ผู้โจมตีไม่จำเป็นต้องเริ่มต้นด้วยการเจาะระบบโดยตรง แต่อาจเริ่มจาก “คน”
เพียงข้อความหนึ่งข้อความบน Microsoft Teams ที่ดูเหมือนมาจากฝ่าย IT ก็สามารถนำไปสู่การติดตั้ง Malware การขโมย Credentials การสร้าง Persistence และการเปิด Remote Access ให้ผู้โจมตีได้
องค์กรจึงควรเปลี่ยนแนวคิดจากการป้องกันเฉพาะ Phishing Email ไปสู่การป้องกัน Multi-Channel Social Engineering ที่ครอบคลุม Email, Microsoft Teams, Collaboration Platform, Endpoint และ Identity
ในยุคที่ผู้โจมตีใช้ “ความน่าเชื่อถือ” เป็นอาวุธ การรักษาความปลอดภัยไม่ได้ขึ้นอยู่กับเทคโนโลยีเพียงอย่างเดียว แต่ต้องสร้างทั้ง Visibility, Detection, Identity Protection และ Cybersecurity Awareness ให้พร้อมรับมือกับภัยคุกคามในทุกช่องทาง
