400/69 (IT) ประจำวันพุธที่ 22 กรกฎาคม 2569
บริษัทความมั่นคงปลอดภัยไซเบอร์ Group-IB รายงานการพบมัลแวร์ตัวใหม่ชื่อ HollowGraph ซึ่งใช้ฟีเจอร์ปฏิทิน (Calendar) ในบัญชี Microsoft 365 ที่ถูกเจาะระบบแล้ว เป็นช่องทางสื่อสารกับเซิร์ฟเวอร์สั่งการ (Command-and-Control หรือ C2) เพื่อรับคำสั่งและลักลอบส่งข้อมูลที่ขโมยได้ออกไป นักวิจัยประเมินว่าเป็นส่วนหนึ่งของเฟรมเวิร์ก Cavern ที่เคยเชื่อมโยงกับกลุ่มผู้ก่อภัยคุกคามสัญชาติอิหร่านซึ่งมีเป้าหมายโจมตีหน่วยงานในอิสราเอล โดยพบระบบติดมัลแวร์แล้วอย่างน้อย 12 เครื่อง และมี 3 เครื่องที่ยังคงสื่อสารกับผู้โจมตีอย่างต่อเนื่องในช่วงวันที่ 3 มิถุนายน ถึง 9 กรกฎาคมที่ผ่านมา ซึ่งบ่งชี้ว่าเป็นการโจมตีแบบเจาะจงเป้าหมายเพื่อวัตถุประสงค์ด้านการจารกรรมข้อมูล
จากการวิเคราะห์รายละเอียดรูปแบบการโจมตีพบว่า ส่วนประกอบของเฟรมเวิร์กผู้โจมตีจะทำการโหลดไฟล์ประเภท DLL ที่เป็นอันตราย ซึ่งถูกปลอมแปลงให้ดูเหมือนไลบรารี Brotli เพื่อใช้เป็นตัวฝังในระบบเป้าหมาย จากนั้นมัลแวร์จะใช้ข้อมูลการยืนยันตัวตนที่ถูกซ่อนไว้ในไฟล์ชื่อ logAzure.txt เพื่อเข้าถึง Microsoft Graph API วิธีการทำงานหลักคือผู้โจมตีจะสร้างนัดหมายในปฏิทินล่วงหน้าไปจนถึงวันที่ 13 พฤษภาคม ปี ค.ศ. 2050 เพื่อใช้เป็นจุดซ่อนข้อมูล โดยคำสั่งการทำงานและข้อมูลที่ถูกขโมยจะถูกแนบไปกับนัดหมายเหล่านี้ พร้อมกับใช้การเข้ารหัสลับแบบผสมผสาน นอกจากนี้ HollowGraph ยังมีช่องทางการสื่อสารสำรองผ่านเทคนิค DNS Tunneling โดยส่งคำขอไปยังโดเมนเครือข่ายของผู้โจมตีชื่อ cloudlanecdn.com เพื่อดึงข้อมูลบัญชี Microsoft Entra ID ชุดใหม่มาอัปเดตอย่างต่อเนื่อง ทำให้มัลแวร์สามารถรักษาสถานะการเชื่อมต่อและขโมยข้อมูลได้อย่างแนบเนียน
เพื่อเป็นการลดความเสี่ยงและป้องกันการโจมตี ผู้ดูแลระบบควรเฝ้าระวังและตรวจสอบประวัติการใช้งานของ Microsoft Graph และ Microsoft 365 อย่างใกล้ชิด โดยมุ่งเน้นไปที่กิจกรรมการสร้างนัดหมายในปฏิทินที่ผิดปกติ โดยเฉพาะนัดหมายที่มีการตั้งเวลาไว้ในอนาคตที่ไกลเกินจริง หัวข้อนัดหมายที่น่าสงสัย หรือมีการแนบไฟล์ที่ผิดสังเกต นอกจากนี้ควรตรวจสอบการเชื่อมต่อเครือข่ายเพื่อหา IOCs เช่น การเชื่อมต่อไปยังโดเมน cloudlanecdn[.]com และการปรากฏของไฟล์ logAzure.txt ภายในระบบ พร้อมกันนี้องค์กรควรบังคับใช้นโยบายการเข้าถึงแบบมีเงื่อนไข กำหนดสิทธิ์และตรวจสอบแอปพลิเคชันที่ใช้การยืนยันตัวตนแบบ OAuth อย่างเข้มงวด และเฝ้าระวังการส่งออกข้อมูล DNS ขาออกเพื่อป้องกันการทำข้อมูลรั่วไหลได้อย่างทันท่วงที