SharkLoader ปล่อย Cobalt Strike ในการโจมตี StrikeShark

การรบกวนเครือข่ายโดยใช้มาลแวร์ SharkLoader ถูกตรวจพบครั้งแรกในเดือนมิถุนายน 2026 ภายใต้ชื่อแคมเปญ StrikeShark ของ Kaspersky ซึ่งมาลแวร์ชุดนี้ทำหน้าที่เป็นตัวโหลดเพื่อปล่อย Cobalt Strike Beacon ไปยังโฮสต์ที่ถูกเจาะเข้ามา รายงานระบุว่ากลุ่มผู้โจมตีได้มุ่งเป้าไปยังองค์กรการทูตในอินโดนีเซียและหน่วยงานราชการในไต้หวัน ซึ่งทำให้ความเสี่ยงต่อข้อมูลสำคัญของภาครัฐและการทูตเพิ่มสูงขึ้นอย่างชัดเจน

Overview

แคมเปญ StrikeShark เป็นการโจมตีแบบขั้นตอนหลายขั้นตอนที่เริ่มจากการกระจายไฟล์มาลแวร์ SharkLoader ไปยังระบบเป้าหมาย จากนั้น SharkLoader จะทำหน้าที่ดาวน์โหลดและรันโมดูล Cobalt Strike Beacon เพื่อเปิดช่องทางการสื่อสารระยะไกลกับเซิร์ฟเวอร์ควบคุมของผู้โจมตี Kaspersky รายงานว่าแคมเปญนี้ยังคงอยู่ในระยะเริ่มต้นและมีการอัปเดตเทคนิคอย่างต่อเนื่องเพื่อหลีกเลี่ยงการตรวจจับจากระบบรักษาความปลอดภัยแบบดั้งเดิม

โดยทั่วไปมาลแวร์ลักษณะนี้มักใช้เทคนิคการเข้ารหัสและบีบอัดเพื่อทำให้ไฟล์ดูเหมือนไฟล์ระบบปกติ และมักทำการเปลี่ยนแปลงค่ารีจิสทรีหรือสร้างงานตั้งเวลาที่ทำงานเมื่อระบบรีบูต การใช้ Cobalt Strike เป็นสัญญาณบ่งชี้ว่าผู้โจมตีต้องการเครื่องมือที่มีความยืดหยุ่นสูงในการควบคุมระบบที่ถูกเจาะ

Malware Characteristics

SharkLoader ยังไม่มีข้อมูลสาธารณะมาก่อนหน้านี้ ซึ่งทำให้การระบุและบล็อกได้ยากกว่าโครงสร้างมาลแวร์ที่เคยปรากฏ Kaspersky ระบุว่าไฟล์มาลแวร์นี้มีขนาดเล็กและถูกคอมไพล์ด้วยภาษา C/C++ พร้อมด้วยส่วนของโค้ดที่ทำหน้าที่ตรวจสอบสภาพแวดล้อมของระบบก่อนดำเนินการดาวน์โหลด Beacon

การทำงานของ SharkLoader มีลักษณะคล้ายกับ loader อื่น ๆ ที่ใช้เทคนิค process injection เพื่อฝังโค้ดลงในกระบวนการที่เชื่อถือได้ เช่น explorer.exe หรือ svchost.exe การทำเช่นนี้ช่วยลดโอกาสที่ระบบตรวจจับโดยใช้การวิเคราะห์พฤติกรรมของกระบวนการใหม่

Attack Chain

ขั้นตอนการโจมตีของ StrikeShark สามารถสรุปได้ดังนี้

• ผู้โจมตีส่งอีเมลฟิชชิงหรือใช้ช่องโหว่ในแอปพลิเคชันเพื่อส่งไฟล์ที่มี SharkLoader ไปยังเป้าหมาย
• เมื่อไฟล์ถูกเปิด ระบบจะตรวจสอบว่าตัวแปรสภาพแวดล้อมตรงกับเกณฑ์ที่กำหนด (เช่น ระบบปฏิบัติการ เวอร์ชัน) ก่อนจึงทำการดาวน์โหลด Beacon จากเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี
• Beacon จะเชื่อมต่อกลับไปยังเซิร์ฟเวอร์ C2 (Command and Control) ผ่านการสื่อสารที่เข้ารหัส ทำให้ผู้โจมตีสามารถสั่งการระยะไกลได้

กระบวนการดังกล่าวทำให้การตรวจจับในขั้นตอนแรกเป็นเรื่องท้าทาย เนื่องจากไฟล์อาจดูเหมือนไฟล์ที่น่าเชื่อถือและไม่มีพฤติกรรมที่ชัดเจนจนกว่าจะมีการสื่อสารกับเซิร์ฟเวอร์ C2

Targeted Sectors & Geography

ตามข้อมูลที่ Kaspersky เผยออกมา แคมเปญนี้ได้มุ่งเป้าไปยังสองกลุ่มองค์กรหลัก

• องค์กรการทูตในอินโดนีเซีย: การเจาะระบบขององค์กรที่ทำหน้าที่เป็นตัวแทนการสื่อสารระหว่างประเทศอาจทำให้ข้อมูลการทูตและการเจรจาต่างประเทศรั่วไหล
• หน่วยงานราชการในไต้หวัน: การเข้าถึงระบบของหน่วยงานราชการอาจทำให้ข้อมูลที่เกี่ยวข้องกับความมั่นคงและโครงสร้างพื้นฐานสำคัญตกอยู่ในความเสี่ยง

การเลือกเป้าหมายในสองประเทศที่มีความสัมพันธ์ทางการเมืองที่ซับซ้อนทำให้การโจมตีนี้มีความหมายเชิงกลยุทธ์มากกว่าการแสวงหาผลประโยชน์ทางการเงินเพียงอย่างเดียว

Detection & Mitigation

Kaspersky แนะนำให้ผู้ดูแลระบบปฏิบัติตามแนวทางดังต่อไปนี้เพื่อลดความเสี่ยงต่อการโจมตีโดย SharkLoader

• อัปเดตซอฟต์แวร์แอนตี้ไวรัสและระบบปฏิบัติการให้เป็นเวอร์ชันล่าสุดเสมอ
• ตรวจสอบและบล็อกการสื่อสารออกไปยังโดเมนหรือ IP ที่ไม่เป็นที่รู้จักโดยใช้ระบบ IDS/IPS
• ใช้การตรวจจับพฤติกรรม (behavioral detection) เพื่อเฝ้าระวังการสร้างกระบวนการใหม่ที่มีการ inject โค้ดลงในกระบวนการที่มีสิทธิ์สูง

การเฝ้าระวังไฟล์ที่มีลายเซ็นต์ดิจิทัลผิดปกติหรือการเปลี่ยนแปลงค่ารีจิสทรีที่ไม่มีเหตุผลชัดเจนก็เป็นอีกขั้นตอนหนึ่งที่ช่วยเพิ่มความปลอดภัย

Analysis

การปรากฏตัวของ SharkLoader แสดงให้เห็นว่าผู้โจมตียังคงพัฒนามาลแวร์แบบ loader ที่มีขนาดเล็กแต่มีประสิทธิภาพสูงในการนำเข้าชุดเครื่องมือที่มีประสิทธิภาพอย่าง Cobalt Strike การเลือกใช้ Cobalt Strike ยังเป็นการบ่งบอกว่ากลุ่มนี้ต้องการความยืดหยุ่นในการทำการสำรวจ ระบบเครือข่าย และการย้ายข้อมูลในขั้นตอนต่อไป

แม้ว่าการโจมตีนี้จะยังคงอยู่ในช่วงเริ่มต้น แต่การเลือกเป้าหมายที่เกี่ยวข้องกับการทูตและรัฐบาลอาจบ่งบอกถึงวัตถุประสงค์ด้าน การสอดแนม หรือ การกดดันทางการเมือง แทนการขโมยข้อมูลเชิงพาณิชย์ทั่วไป การติดตามและวิเคราะห์โครงสร้างของ C2 อย่างต่อเนื่องจึงเป็นสิ่งสำคัญสำหรับหน่วยงานด้านความมั่นคง

Summary

แคมเปญ StrikeShark นำเสนอมาลแวร์ SharkLoader ที่ทำหน้าที่โหลด Cobalt Strike Beacon ไปยังระบบเป้าหมายในอินโดนีเซียและไต้หวัน การโจมตีนี้เน้นการสอดแนมระดับสูงและต้องการการเฝ้าระวังเชิงพฤติกรรมพร้อมการอัปเดตระบบรักษาความปลอดภัยอย่างสม่ำเสมอ.