619/69 (IT) ประจำวันพุธที่ 11 พฤศจิกายน 2569
ทีมนักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์จาก ESET เปิดเผยการตรวจพบชุดเครื่องมือมัลแวร์ใหม่ที่ไม่เคยมีรายงานการพบเจอมาก่อน ชื่อว่า Cereal ซึ่งถูกพัฒนาขึ้นเพื่อทำงานบนเซิร์ฟเวอร์ Microsoft Exchange โดยเฉพาะ การโจมตีดังกล่าวถูกตรวจพบในหน่วยงานภาครัฐของประเทศคาซัคสถานเมื่อช่วงปลายเดือนพฤศจิกายน 2025 และต่อมาพบในหน่วยงานภาครัฐของประเทศโรมาเนียเมื่อเดือนธันวาคมปีเดียวกัน โดยทีมวิจัยระบุว่าเป็นฝีมือของกลุ่มแฮกเกอร์ APT Turla (หรือที่รู้จักในชื่อ Secret Blizzard, Snake และ Venomous Bear) โดยกลุ่มผู้โจมตีมุ่งเน้นการจารกรรมข้อมูลทางการทูตและภาครัฐ โดยเฉพาะ
ในเชิงเทคนิค ชุดเครื่องมือ Cereal ทำงานผ่านโค้ดภาษา .NET แบบแยกส่วนที่ถูกเข้ารหัสและคลายตัวทำงานในหน่วยความจำโดยตรง ทำให้แทบไม่ทิ้งร่องรอยไฟล์ไว้บนดิสก์ จากข้อมูลที่มีพบว่าผู้โจมตีจะใช้คอมโพเนนต์หลักชื่อ CerealRunner ซึ่งทำหน้าที่คล้ายตุ๊กตาแม่ลูกดกในการบรรจุ ถอดรหัส และสั่งรันโมดูลย่อยตามลำดับชั้น เช่น การใช้ CerealLoader และ CerealSprinter เพื่อเปิดการทำงานของแบ็กดอร์สองรูปแบบ ได้แก่ CerealNeuron ซึ่งเป็นแบ็กดอร์แบบ Passive ที่ไม่มีเซิร์ฟเวอร์ควบคุมและสั่งการ (C2) จากภายนอก แต่จะเปลี่ยนเซิร์ฟเวอร์ Exchange ของเหยื่อให้เป็นจุดรับคำสั่งเสียเอง ผ่านเส้นทางเว็บปกติอย่าง Outlook Web Access, Autodiscover และ ActiveSync ทำให้การตรวจจับหรือบล็อกผ่านไฟร์วอลล์ทำได้ยากมาก ส่วนแบ็กดอร์ตัวที่สองคือ CerealHermit จะทำงานแบบไม่มีฟังก์ชันเครือข่ายแต่จะคอยอ่านไฟล์คำสั่งที่เข้ารหัสจากดิสก์โดยตรง นอกจากนี้ ในกระบวนการขโมยอีเมล ผู้โจมตีจะส่งต่อการทำงานผ่านโมดูลซ้อนกันตั้งแต่ CerealMoth ไปจนถึงการใช้ CerealIron และ CerealSprinter เพื่อส่งโมดูลขโมยข้อมูลชื่อ CerealBox เข้าไปยังโปรเซส EdgeTransport.exe ซึ่งเป็นโปรเซสจัดการการส่งอีเมลโดยตรงโดยไม่ลงทะเบียนเป็น Transport Agent ใหม่ ทำให้ไม่ปรากฏชื่อในหน้าตั้งค่าของระบบ โดยโมดูลนี้จะคัดกรองอีเมลที่มีไฟล์แนบตระกูล .doc, .docx หรือ .pdf ที่ตรงกับรายชื่อผู้ส่ง ผู้รับ หรือคำค้นหาที่กำหนดไว้ จากนั้นจะทำการบีบอัด เข้ารหัส และพักข้อมูลไว้บนดิสก์เพื่อรอให้ผู้โจมตีมาดึงออกไปภายหลัง อีกทั้งผู้โจมตียังใช้วิธีพรางตัวไฟล์ Loader แรกไว้ในโฟลเดอร์จัดการของ Windows โดยใช้ชื่อเลียนแบบไฟล์ระบบอย่าง ncobjapi.dll และฝังไว้ในแคชของ .NET ภายใต้ชื่อ Microsoft.Exchange.Search.Mdb.ni.dll เพื่อหลอกให้โปรเซสที่น่าเชื่อถือโหลดมัลแวร์ขึ้นมาทำงานแทน
สำหรับแนวทางการป้องกันและลดความเสี่ยง ผู้ดูแลระบบขององค์กรที่มีการใช้งานเซิร์ฟเวอร์ Microsoft Exchange ควรดำเนินการตรวจสอบความผิดปกติเชิงลึก เนื่องจากชุดเครื่องมือดังกล่าวถูกออกแบบมาให้หลบเลี่ยงการตรวจสอบจากการตั้งค่ามาตรฐาน การตรวจสอบเพียงรายการ Exchange Transport Agents ที่ดูปกติจึงไม่สามารถยืนยันได้ว่าระบบปลอดภัยจากการถูกเจาะระบบ ผู้ดูแลระบบควรตรวจสอบไฟล์ DLL ที่ผิดปกติหรือไม่คุ้นเคยในโฟลเดอร์การจัดการของระบบปฏิบัติการ Windows รวมถึงตรวจสอบไฟล์ที่ไม่คาดคิดในโฟลเดอร์แคชของ .NET (Native Image Cache) ตลอดจนเฝ้าระวังและตรวจสอบบันทึกการเข้าถึง (Logs) ที่มีคำขอที่น่าสงสัยซึ่งส่งมายังเส้นทางเว็บทั้งสามรายการของบริการ Exchange ได้แก่ Outlook Web Access, Autodiscover และ ActiveSync เพื่อค้นหาร่องรอยการแฝงตัวและป้องกันการรั่วไหลของข้อมูลสำคัญภายในองค์กร