ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามด้านความมั่นคงปลอดภัยไซเบอร์ กรณี Microsoft เปิดเผยปฏิบัติการโจมตี CaptiveCrunch ซึ่งเชื่อมโยงกับกลุ่มผู้โจมตี Midnight Blizzard (Storm-2945) โดยใช้ระบบ Captive Portal ของเครือข่าย Wi-Fi ในโรงแรมและสถานที่พักเป็นช่องทางหลอกให้ผู้ใช้งานติดตั้งมัลแวร์และขโมยข้อมูลรับรอง เพื่อนำไปใช้เข้าถึงระบบในภายหลัง จึงขอแจ้งเตือนให้ผู้ใช้งานเร่งตรวจสอบ ดำเนินมาตรการป้องกัน และเฝ้าระวังความเสี่ยงที่อาจเกิดขึ้น
1. รายละเอียดภัยคุกคาม
Microsoft Threat Intelligence เปิดเผยปฏิบัติการโจมตีภายใต้ชื่อ CaptiveCrunch [1] ซึ่งเชื่อมโยงกับกลุ่มผู้โจมตี Midnight Blizzard (APT29/Cozy Bear) ซึ่งเป็นกลุ่มผู้โจมตีทางไซเบอร์ที่มีความเชี่ยวชาญสูงในด้านปฏิบัติการจารกรรมทางไซเบอร์ (Cyber Espionage) และใช้เทคนิค Social Engineering เพื่อมุ่งเน้นการเข้าถึงข้อมูลสำคัญขององค์กรภาครัฐ องค์กรระหว่างประเทศ บริษัทเทคโนโลยี และหน่วยงานที่มีความสำคัญเชิงยุทธศาสตร์ โดยใช้เครือข่าย Wi-Fi ของโรงแรมที่ถูกบุกรุกเป็นจุดเริ่มต้นในการโจมตี เพื่อหลอกลวงผู้ใช้งานให้ติดตั้งการอัปเดตเบราว์เซอร์ปลอม ซึ่งนำไปสู่การแพร่กระจายมัลแวร์ CornFlake ที่มีความสามารถในการเข้าถึงเครื่องของเหยื่อ เช่น การบันทึกภาพจากเว็บแคม เสียงจากไมโครโฟน และข้อมูลการกดแป้นพิมพ์ (Keylogging) รวมถึงการขโมยข้อมูลรับรอง (Credentials) และข้อมูลสำหรับการยืนยันตัวตน เช่น Session Cookies และ Access Tokens ซึ่งอาจถูกนำไปใช้เพื่อเข้าถึงบริการขององค์กร เช่น Microsoft 365 และ Microsoft Entra ID ได้ โดย Microsoft รายงานว่าพบกิจกรรมของปฏิบัติการดังกล่าวตั้งแต่เดือนพฤษภาคม 2569 เป็นต้นมา [2]
2. รูปแบบการโจมตี
ผู้โจมตีเข้าควบคุมอุปกรณ์หรือระบบ Captive Portal ของเครือข่าย Wi-Fi สาธารณะ ทำให้สามารถปลอมแปลงการตอบกลับของ DNS และเปลี่ยนเส้นทางผู้ใช้งานไปยังหน้าเว็บปลอม [3] เมื่อผู้ใช้งานเชื่อมต่อเครือข่ายและเปิดเว็บเบราว์เซอร์ อาจพบข้อความแจ้งให้อัปเดต Browser ระบบปฏิบัติการ หรือซอฟต์แวร์อื่น ๆ รวมถึงการใช้เทคนิค ClickFix หลอกให้เปิด Command Prompt หรือ PowerShell และวางคำสั่งที่ผู้โจมตีเตรียมไว้ ส่งผลให้มีการดาวน์โหลดและติดตั้งมัลแวร์บนเครื่องของเหยื่อ [4]
นอกจากนี้ ยังพบการใช้ Microsoft Device Code Authentication ในการหลอกให้ผู้ใช้งานป้อน Device Code ที่ผู้โจมตีจัดเตรียมไว้ เพื่อขอสิทธิ์เข้าถึงบัญชี Microsoft 365 ของเหยื่อผ่านกระบวนการยืนยันตัวตนที่ถูกต้องของ Microsoft ทั้งนี้ การโจมตีลักษณะดังกล่าวจะไม่สามารถติดตั้งมัลแวร์หรือเข้าถึงบัญชีผู้ใช้ได้โดยอัตโนมัติ แต่จะสำเร็จเมื่อผู้ใช้งานดำเนินการตามคำแนะนำบนหน้าเว็บปลอม เช่น ดาวน์โหลดไฟล์ เรียกใช้คำสั่ง หรือป้อน Device Code ที่ได้รับจากผู้โจมตี
3. ผลกระทบหากผู้ใช้งานติดตั้งมัลแวร์สำเร็จ
3.1 เข้าควบคุมการทำงานของเครื่องคอมพิวเตอร์โดยไม่ได้รับอนุญาต
3.2 ขโมยชื่อผู้ใช้และรหัสผ่านที่จัดเก็บไว้ในเว็บเบราว์เซอร์
3.3 ขโมย Session Cookies, Access Tokens และข้อมูลการยืนยันตัวตนของ Microsoft 365 หรือ Microsoft Entra ID
3.4 เข้าถึงอีเมล ไฟล์ และทรัพยากรขององค์กรโดยใช้ข้อมูลรับรองที่ถูกขโมย
3.5 ใช้อุปกรณ์ของเหยื่อเป็นจุดเริ่มต้นในการเคลื่อนย้ายไปยังระบบอื่นภายในองค์กร (Lateral Movement)
4. แนวทางการป้องกันและลดผลกระทบ (สำหรับผู้ดูแลระบบ)
4.1 บังคับใช้งาน Always-on VPN หรือ Full Tunnel VPN สำหรับอุปกรณ์ขององค์กรเมื่อเชื่อมต่อเครือข่ายภายนอกองค์กร
4.2 อัปเดตระบบปฏิบัติการ เว็บเบราว์เซอร์ และซอฟต์แวร์รักษาความปลอดภัยให้เป็นเวอร์ชันล่าสุด
4.3 เปิดใช้งาน Endpoint Detection and Response (EDR) หรือระบบป้องกันมัลแวร์ที่สามารถตรวจจับพฤติกรรมผิดปกติ
4.4 ตรวจสอบบันทึกการเข้าใช้งาน (Sign-in Logs) เพื่อค้นหาการเข้าสู่ระบบจากตำแหน่ง อุปกรณ์ หรือช่วงเวลาที่ผิดปกติ
4.5 หากสงสัยว่ามีการขโมย Session Token หรือ Access Token ให้เพิกถอนเซสชัน (Revoke Sessions) บังคับให้ผู้ใช้งานลงชื่อเข้าใช้ใหม่ และเปลี่ยนรหัสผ่านของบัญชีที่ได้รับผลกระทบ
4.6 ตรวจสอบและอัปเดตเฟิร์มแวร์ของอุปกรณ์ Captive Portal และอุปกรณ์เครือข่ายให้เป็นเวอร์ชันล่าสุด รวมถึงจำกัดสิทธิ์ในการบริหารจัดการระบบดังกล่าว
4.7 หากองค์กรไม่ได้มีความจำเป็นต้องใช้งาน Device Code Authentication ควรพิจารณาจำกัดหรือปิดการใช้งานผ่านนโยบายที่เหมาะสม เพื่อลดความเสี่ยงจากการโจมตีลักษณะดังกล่าว
5. คำแนะนำด้านความปลอดภัยสำหรับผู้ใช้งาน
5.1 หลีกเลี่ยงการดาวน์โหลดหรือติดตั้ง Browser Update ระบบปฏิบัติการ หรือซอฟต์แวร์ที่แสดงผ่านหน้า Captive Portal หรือเว็บไซต์ที่ไม่น่าเชื่อถือ
5.2 ไม่เปิด Command Prompt, PowerShell หรือคัดลอกและเรียกใช้คำสั่งตามที่เว็บไซต์ร้องขอ เว้นแต่ได้รับการยืนยันจากผู้ดูแลระบบ
5.3 ไม่ป้อน Device Code หรือดำเนินการยืนยันตัวตนผ่านหน้า Microsoft Sign-in หากได้รับคำแนะนำจากหน้า Captive Portal หรือเว็บไซต์ที่ไม่น่าเชื่อถือ
5.4 ดาวน์โหลดซอฟต์แวร์และอัปเดตระบบผ่านเว็บไซต์หรือบริการอัปเดตอย่างเป็นทางการของผู้ผลิตเท่านั้น
5.5 เปิดใช้งาน Multi-Factor Authentication (MFA) สำหรับบัญชีสำคัญทุกบัญชี
5.6 หากสงสัยว่าอุปกรณ์ได้รับผลกระทบ ให้ตัดการเชื่อมต่อจากเครือข่าย แจ้งผู้ดูแลระบบ และดำเนินการตรวจสอบอุปกรณ์ก่อนนำกลับมาใช้งานในเครือข่ายขององค์กร
แหล่งอ้างอิง
[1] https://dg.th/0zusekw9ad
[2] https://dg.th/vbowcn1la3
[3] https://dg.th/x4stl6ab3q
[4] https://dg.th/dbfoq7zujt