มัลแวร์ ACR Stealer ล้วงข้อมูลจากองค์กร ผ่านคำสั่งง่าย ๆ ใน Run Box

มัลแวร์ขโมยข้อมูล ACR Stealer ซึ่งเริ่มเผยแพร่ตั้งแต่ปี 2567 กำลังเป็นภัยคุกคามที่องค์กรต้องให้ความสำคัญ เนื่องจากสามารถขโมยข้อมูลสำคัญจากเครือข่ายองค์กรได้หลากหลายประเภท ตั้งแต่รหัสผ่านที่บันทึกในเบราว์เซอร์ โทเค็นเซสชันที่กำลังใช้งาน ไฟล์ PDF เอกสาร Microsoft 365 รวมถึงไฟล์จาก OneDrive และ SharePoint

จุดเริ่มต้นของการโจมตีนั้นเรียบง่ายอย่างน่าตกใจ เพียงแค่พนักงานในองค์กรรับคำสั่งจากแหล่งที่ไม่น่าเชื่อถือแล้วนำไปวางในช่อง Run Box ของระบบปฏิบัติการ Windows แล้วกด Enter เท่านั้น ภัยคุกคามก็จะเริ่มต้นขึ้น ทีมผู้เชี่ยวชาญ Defender Experts ของไมโครซอฟท์ได้เปิดเผยแผนการโจมตีสองรูปแบบหลักเมื่อวันพฤหัสบดีที่ผ่านมา

กลยุทธ์ ClickFix จุดเริ่มต้นของภัยคุกคาม

หนึ่งในกลวิธีเด่นที่ ACR Stealer ใช้คือเทคนิค ClickFix ซึ่งเป็นการหลอกลวงให้ผู้ใช้เชื่อว่าต้องดำเนินการบางอย่างเพื่อแก้ไขปัญหาปลอมบนเว็บไซต์ เช่น การแจ้งเตือนว่าเบราว์เซอร์ล้าสมัยหรือต้องติดตั้งปลั๊กอินพิเศษเพื่อดูเนื้อหา เมื่อผู้ใช้คลิก ปัญหาที่แท้จริงก็จะเริ่มต้นขึ้นด้วยการดาวน์โหลดเพย์โหลดที่เป็นอันตราย

สายโซ่การโจมตีที่ซับซ้อนแต่แฝงด้วยความเรียบง่าย

ไมโครซอฟท์อธิบายสายโซ่การโจมตีสองรูปแบบหลักที่ทีมตรวจพบ รูปแบบแรกคือการใช้เอกสาร Microsoft Office ที่แนบมากับอีเมล ซึ่งมีมาโครหรือสคริปต์ที่เป็นอันตรายซ่อนอยู่ เมื่อผู้ใช้เปิดเอกสารและอนุญาตให้เนื้อหาทำงาน มัลแวร์จะถูกดาวน์โหลดและทำงานทันที รูปแบบที่สองคือการใช้ลิงก์ในอีเมลฟิชชิงที่นำไปสู่หน้าเว็บปลอม ซึ่งจะใช้เทคนิค ClickFix เพื่อให้ผู้ใช้กดคีย์ลัดหรือรันคำสั่งโดยตรง

ข้อมูลที่ถูกขโมยและผลกระทบต่อองค์กร

ACR Stealer สามารถกำหนดเป้าหมายข้อมูลที่มีมูลค่าสูงภายในองค์กร ประกอบด้วยรหัสผ่านที่บันทึกในเบราว์เซอร์ต่าง ๆ โทเค็นเซสชันที่อนุญาตให้ผู้โจมตีเข้าถึงบัญชีโดยไม่ต้องใช้รหัสผ่าน ไฟล์เอกสารสำคัญจาก Microsoft 365 รวมถึงไฟล์จาก OneDrive และ SharePoint ที่ซิงค์กับเครื่อง ข้อมูลที่รั่วไหลอาจนำไปสู่การโจมตีทางไซเบอร์ในรูปแบบอื่น ๆ ต่อไป

แนวทางการป้องกันที่องค์กรควรดำเนินการ

องค์กรควรพิจารณามาตรการป้องกันเชิงรุกเพื่อลดความเสี่ยงจาก ACR Stealer การให้ความรู้พนักงานเกี่ยวกับการไม่รันคำสั่งหรือเปิดเอกสารจากแหล่งที่ไม่น่าเชื่อถือเป็นสิ่งสำคัญอันดับแรก นอกจากนี้ควรใช้โซลูชันความปลอดภัยที่สามารถตรวจจับพฤติกรรมผิดปกติ เช่น การตรวจจับและตอบสนองบนเอนด์พอยต์ การบล็อกสคริปต์ที่ไม่ได้รับอนุญาต รวมถึงการจัดการสิทธิ์การเข้าถึงข้อมูลอย่างเคร่งครัด

Reference

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 ดูสินค้าเพิ่มเติม mon.co.th