การโจมตีด้วย Vishing บน Microsoft Teams นำไปสู่การโจมตีด้วย Chaos ransomware

กลุ่มผู้ไม่หวังดีกำลังสวมรอยเป็นพนักงานฝ่ายสนับสนุนด้านไอทีใน Microsoft Teams เพื่อเข้าถึงอุปกรณ์ขององค์กรจากระยะไกล และใช้ Chaos ransomware ในการโจมตีที่กำหนดเป้าหมายองค์กรในทวีปอเมริกาเหนือ

Sophos ได้ติดตามแคมเปญการโจมตีนี้ภายใต้ชื่อ STAC4749 และระบุว่า มีการมุ่งเป้าโจมตีองค์กรหลายสิบแห่งในช่วงระหว่างเดือนกุมภาพันธ์ถึงมิถุนายนปี 2026

การบุกรุกอย่างน้อยสามครั้งจากเหตุการณ์ทั้งหมดนำไปสู่การปล่อย Chaos ransomware โดยมีอยู่หนึ่งเหตุการณ์ที่การโจมตีเริ่มต้นตั้งแต่การเจาะเข้าระบบครั้งแรก ไปจนถึงการเข้ารหัสไฟล์สำเร็จ โดยใช้เวลาไม่ถึง 17 ชั่วโมง

Sophos ระบุว่า ประมาณ 95% ของการโจมตีมุ่งเป้าไปที่องค์กรในแคนาดา (50%) และสหรัฐอเมริกา (45%)

กลุ่มผู้ไม่หวังดีมุ่งเป้าโจมตีองค์กรในหลากหลายภาคอุตสาหกรรม เช่น ภาคบริการ, การผลิต, พลังงาน, รวมถึงการก่อสร้าง และวิศวกรรม

การโทรผ่าน Microsoft Teams แอบอ้างเป็นฝ่าย support ด้านไอที

การโจมตีเริ่มต้นที่บัญชี Microsoft Teams ภายนอกที่แอบอ้างเป็นเจ้าหน้าที่ IT Helpdesk หรือฝ่าย IT Support โดยส่งข้อความแชต และโทรศัพท์พูดคุยผ่าน Teams ไปยังพนักงานที่เป็นเป้าหมาย

จากการสังเกตของ Sophos พบว่า ระยะเวลาในการโทรจะอยู่ระหว่าง 90 วินาทีไปจนถึงมากกว่า 20 นาที แม้ว่าโดยส่วนใหญ่จะใช้เวลาโทรเสร็จสิ้นประมาณ 2 ถึง 2.5 นาทีก็ตาม

การโจมตีด้วย Social Engineering ผ่าน Microsoft Teams ที่ผ่านมา ผู้ไม่หวังดีมักจะสร้าง Tenant ของตนเองบนโดเมน onmicrosoft[.]com ของ Microsoft เพื่อใช้เริ่มต้นการสื่อสาร

แคมเปญ STAC4749 แตกต่างจากแคมเปญก่อนหน้า โดยมีการสร้างโดเมนที่เกี่ยวข้องกับไอทีภายใต้โดเมนระดับบนสุด ".top" ซึ่งตัวอย่างโดเมนเหล่านี้ที่ Sophos เปิดเผย ได้แก่ sequrityupdate[.]top, scan-security[.]top, system-connect[.]top, corp-connect[.]top, supportsoft[.]top

ผู้โจมตีนำโดเมนเหล่านี้ไปใช้ร่วมกับการสร้างตัวตนเป็นเจ้าหน้าที่ IT support ปลอม โดยใช้ชื่ออย่าง Anthony Brooks, Dylan Harper, Ethan Parker และ Jason Mitchell ซึ่งดูเหมือนจะใช้โดเมนเฉพาะที่เชื่อมโยงกับชื่อปลอมเหล่านั้น

เป้าหมายของการโทรคือการโน้มน้าวให้พนักงานเปิดใช้งานเซสชันการ support จากระยะไกล ผ่าน Microsoft Quick Assist หรือทำการติดตั้งเครื่องมือตรวจสอบ และ remote จากระยะไกลตัวอื่น ๆ

Sophos ระบุว่า ในช่วงแรกผู้โจมตีมักจะเลือกใช้ Quick Assist เป็นหลัก และจะหันไปใช้ RemSupp ซึ่งเป็นเครื่องมือจัดการจากระยะไกลบนคลาวด์แทน หาก Quick Assist ไม่สามารถใช้งานได้ หรือถูกบล็อก

อย่างไรก็ตาม ตั้งแต่เดือนเมษายนเป็นต้นมา กลุ่มผู้ไม่หวังดีเริ่มหันมาใช้ RemSupp เป็นหลัก ซึ่งอาจเป็นเพราะเครื่องมือดังกล่าวมีโอกาสน้อยกว่าที่จะถูกระบุอยู่ในรายชื่อแอปพลิเคชันที่องค์กรบล็อก

หลังจากเข้าถึงอุปกรณ์ของพนักงานจากระยะไกลได้แล้ว ผู้โจมตีจะใช้ PowerShell เพื่อดาวน์โหลด Backdoor ลงในโฟลเดอร์ %AppData% ของผู้ใช้ที่ถูกโจมตี

มัลแวร์จะทำการวิเคราะห์ระบบ สร้างการแฝงตัว และให้การเข้าถึงจากระยะไกลอย่างต่อเนื่องแก่ผู้โจมตี

เพื่อให้กลไกการแฝงตัวดูเหมือนถูกต้องตามปกติ รายการ Registry ที่เป็นอันตรายจะถูกปลอมแปลงเป็นส่วนประกอบของระบบเสียงของ Realtek และ Windows โดยใช้ชื่อเช่น "Realtek HD Audio," "Realtek Audio UHD," และ "WinAudio life2"

ในเหตุการณ์ที่นำไปสู่การปล่อย Chaos ransomware ในเวลาต่อมา ผู้โจมตียังได้ติดตั้งซอฟต์แวร์สำหรับเข้าถึงจากระยะไกล เช่น DWAgent หรือ AnyDesk ไว้ เพื่อเป็นช่องทางสำรองในการเข้าถึงระบบในเครือข่าย นอกจากนี้ พวกเขายังพยายามเปิดใช้งาน Remote Desktop Protocol (RDP) บนอุปกรณ์ที่ถูกโจมตี เพื่อขยายผลการโจมตีไปยังระบบอื่น ๆ ในเครือข่าย

รายงานจาก Sophos ทิ้งท้ายว่า ผู้โจมตีมีการปรับเปลี่ยน Attack Chain อย่างต่อเนื่องในช่วงเดือนกุมภาพันธ์ถึงพฤษภาคม ทั้งการเปลี่ยนชื่อไฟล์มัลแวร์ กลไกการฝังตัว และวิธีการแพร่กระจาย เพื่อหลีกเลี่ยงการถูกตรวจจับจากระบบรักษาความปลอดภัย

 

ความเชื่อมโยงกับ Chaos ransomware

การโจมตีในแคมเปญ STAC4749 อย่างน้อยสามครั้งนำไปสู่การโจมตีด้วย Chaos ransomware ในท้ายที่สุด โดยมีอย่างน้อยหนึ่งกรณีที่คาดว่าผู้โจมตีได้ทำการขโมยข้อมูลออกไปก่อนที่จะติดตั้งมัลแวร์เรียกค่าไถ่

Sophos ระบุว่า เมื่อ ransomware ถูกปล่อยเข้าสู่ระบบ มันจะทำการเข้ารหัสไฟล์พร้อมกันในทุกอุปกรณ์ที่ถูกโจมตี พร้อมกับสร้างไฟล์ข้อความเรียกค่าไถ่ที่ชื่อว่า "readme.chaos.txt" ทิ้งไว้บนระบบที่ได้รับผลกระทบ

ข้อความเรียกค่าไถ่ของ Chaos พบว่าทั้งหมดแสดงข้อความเดียวกัน โดยเป็นการกล่าวอ้างว่าได้ขโมยข้อมูลไปแล้ว และข่มขู่ว่าจะนำข้อมูลดังกล่าวไปเผยแพร่สู่สาธารณะหากเหยื่อไม่ยอมจ่ายเงินค่าไถ่

 

ในเหตุการณ์หนึ่งที่ Sophos ตรวจพบ ใช้เวลาไม่ถึง 17 ชั่วโมงนับตั้งแต่การติดต่อผ่าน Microsoft Teams ครั้งแรก ไปจนถึงขั้นตอนการติดตั้ง ransomware เข้าสู่ระบบ

ตัวแทนจาก Sophos ระบุว่า "เมื่อพิจารณาจากระยะเวลาอันสั้นตั้งแต่การเข้าถึงระบบครั้งแรกไปจนถึงการเข้ารหัสไฟล์ นักวิเคราะห์ของ Sophos จึงประเมินด้วยความมั่นใจระดับสูงว่าแคมเปญ STAC4749 เป็นปฏิบัติการที่มีแรงจูงใจทางการเงิน ซึ่งอาจดำเนินการติดตั้ง ransomware ด้วยตนเอง หรือมีการประสานงานร่วมกับเครือข่ายพันธมิตร"

Sophos ระบุว่า การให้บริการ ransomware (Ransomware-as-a-Service) ของ Chaos มีความเคลื่อนไหวอย่างน้อยตั้งแต่เดือนกุมภาพันธ์ ปี 2025 และเชื่อว่ามีความเชื่อมโยงกับอดีตสมาชิกของกลุ่ม BlackSuit และ Royal ransomware ซึ่งขบวนการเหล่านี้ล้วนแตกแขนงมาจากกลุ่มอาชญากรรมทางไซเบอร์ชื่อดังอย่าง Conti ทั้งสิ้น

กลุ่ม ransomware และกลุ่มผู้ไม่หวังดีอื่น ๆ ได้หันมาใช้ Microsoft Teams เพิ่มมากขึ้นเรื่อย ๆ เพื่อสวมรอยเป็นพนักงานฝ่าย support ด้านไอทีขององค์กร และโน้มน้าวให้เหยื่อยอมเปิดสิทธิ์ให้เข้าถึงอุปกรณ์จากระยะไกล

ในเดือนตุลาคม 2024 พบว่ากลุ่มแฮกเกอร์ Black Basta ได้ทำการส่งสแปมอีเมลจำนวนมากเข้าไปยังกล่องจดหมายของพนักงาน ก่อนที่จะติดต่อพวกเขาผ่าน Microsoft Teams ในฐานะผู้ใช้งานจากภายนอก

นอกจากนี้ Microsoft Teams ยังถูกนำไปใช้ในการโจมตีเมื่อเร็ว ๆ นี้ ซึ่งเชื่อว่าเป็นฝีมือของกลุ่มแฮกเกอร์ที่ได้รับการสนับสนุนจากรัฐบาลอิหร่านอย่าง MuddyWater โดยผู้โจมตีถูกกล่าวหาว่าใช้ Chaos ransomware เป็นเครื่องมืออำพรางเพื่อปกปิดปฏิบัติการจารกรรมข้อมูลทางไซเบอร์ที่แท้จริง

Sophos ทิ้งท้ายว่า ปัจจุบันยังไม่พบหลักฐานใด ๆ ที่แสดงให้เห็นความเชื่อมโยงระหว่างแคมเปญ STAC4749 ครั้งใหม่นี้กับกลุ่มแฮกเกอร์ MuddyWater แต่อย่างใด

ที่มา : bleepingcomputer