เตือนมัลแวร์ Infostealer Malware ใช้ข้อมูลบัญชีผู้ใช้งานที่ถูกขโมยเพื่อนำไปสู่การสวมรอยตัวตน

    ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ ข้อมูลข่าวสารเกี่ยวกับภัยคุกคามทางไซเบอร์ในกรณี พบมัลแวร์ประเภท Infostealer ที่นำข้อมูลบัญชีที่ถูกขโมยไปใช้ในการสวมรอยและยืนยันตัวตนของผู้ใช้งาน

    ปัจจุบันภัยคุกคามจากมัลแวร์ประเภท Infostealer มีแนวโน้มรุนแรงขึ้นอย่างต่อเนื่อง โดยผู้โจมตีไม่ได้มุ่งเพียงขโมยชื่อผู้ใช้งานและรหัสผ่านเท่านั้น แต่สามารถรวบรวมข้อมูลพฤติกรรม การใช้งานระบบ และข้อมูล session ต่าง ๆ เพื่อนำไปเชื่อมโยงกับตัวบุคคลจริง (Real Identity) ส่งผลให้การโจมตีมีความแม่นยำ และสร้างผลกระทบต่อทั้งผู้ใช้งานส่วนบุคคลและองค์กรได้ในวงกว้าง

    รายละเอียดช่องโหว่
    จากการวิเคราะห์ข้อมูล Infostealer dumps จำนวนมากพบว่า ข้อมูลที่ถูกขโมยมักถูกนำไปรวบรวม จัดหมวดหมู่ และจำหน่ายในตลาดใต้ดิน ก่อนถูกนำไปใช้ต่อในการโจมตีขั้นสูง เช่น การยึดบัญชีองค์กรการโจมตีแบบ Phishing เจาะจงเป้าหมาย หรือการติดตั้ง Ransomware ในเครือข่ายองค์กรโดย Infostealer malware สามารถรวบรวมข้อมูลจากเครื่องที่ติดมัลแวร์ได้หลากหลายประเภท ได้แก่
    - Username และ Password
    - Browser cookies และ session token
    - ประวัติการใช้งานเว็บไซต์
    - ไฟล์ในเครื่องผู้ใช้งาน
    - Windows username และข้อมูลระบบ

    ความเสี่ยงที่อาจเกิดขึ้น
    - ผู้โจมตีสามารถนำข้อมูล Infostealer ไปใช้เพื่อสวมรอยตัวตนดิจิทัล (Identity Impersonation)
    - เข้าสู่ระบบโดยใช้ session cookies เพื่อหลบเลี่ยง MFA
    - วิเคราะห์ตำแหน่งงานหรือบทบาทของเหยื่อเพื่อโจมตีองค์กร
    - ใช้ข้อมูล LinkedIn หรือ social media เพื่อทำ Spear Phishing
    - เข้าถึงระบบองค์กรผ่านบัญชีพนักงาน
    - ใช้เป็น Initial Access สำหรับ Ransomware

    แนวทางการป้องกัน
    ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ขอแนะนำให้ผู้ใช้งานและผู้ดูแลระบบดำเนินการดังต่อไปนี้
    - หลีกเลี่ยงการใช้รหัสผ่านซ้ำระหว่างบัญชีส่วนตัวและองค์กร
    - เปลี่ยนรหัสผ่านทันทีเมื่อสงสัยว่ามีการติดมัลแวร์
    - ใช้ Multi-Factor Authentication หรือ Passkey
    - จำกัดการบันทึกรหัสผ่านใน Browser สำหรับระบบสำคัญ
    - ใช้ระบบตรวจสอบ Credential Leak อย่างต่อเนื่อง
    - อัปเดตระบบ Endpoint Security และซอฟต์แวร์ให้เป็นเวอร์ชันล่าสุด

    ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) แนะนำให้ผู้ใช้งานและผู้ดูแลระบบผลิตภัณฑ์ที่ได้รับผลกระทบทำการอัปเดตเป็นเวอร์ชันล่าสุดทันที เพื่อป้องกันการถูกโจมตีและตรวจสอบการเข้าถึงโดยไม่ได้รับอนุญาตรวมถึงเหตุการณ์ด้านความปลอดภัยร้ายแรงด้านอื่น ๆ และตรวจสอบกิจกรรมต่างๆ ที่อาจเป็นอันตรายต่อระบบสารสนเทศของหน่วยงาน ตามคำแนะนำและสามารถติดตามข่าวสารเกี่ยวกับภัยคุกคามทางไซเบอร์เพิ่มเติมได้ที่ https://webboard-nsoc.ncsa.or.th/