Warlock Ransomware บุกผ่าน SharePoint ใช้ช่องโหว่ปิดระบบป้องกันองค์กรได้นาน 2 ชั่วโมง

10 Nov 2026

รายงานจากเว็บไซต์ The Hacker News ระบุว่า Warlock เป็นมัลแวร์ประเภท Ransomware ที่เริ่มปรากฏการโจมตีตั้งแต่ปี 2025 และยังเป็นที่รู้จักในชื่อ Gold Salem, Longlegs และ Storm-2603 โดยแคมเปญล่าสุดมุ่งเป้าไปยังองค์กรในประเทศที่ใช้ภาษาสเปนและโปรตุเกสเป็นหลัก ครอบคลุมพื้นที่ในยุโรป แอฟริกา และลาตินอเมริกา

สำหรับกลุ่มเป้าหมายในครั้งนี้พบว่ามีการให้ความสำคัญกับองค์กรด้านโครงสร้างพื้นฐาน เช่น หน่วยงานสาธารณูปโภคด้านน้ำประปา บริษัทโทรคมนาคม หน่วยงานภาครัฐระดับท้องถิ่น รวมถึงสถาบันการศึกษาและมหาวิทยาลัย ซึ่งเป็นการขยายขอบเขตเป้าหมายจากแคมเปญก่อนหน้า

ใช้ช่องโหว่ SharePoint เป็นช่องทางเจาะเข้าสู่ระบบ

หนึ่งในประเด็นสำคัญของการโจมตีคือการใช้ช่องโหว่บน Microsoft SharePoint โดยแคมเปญก่อนหน้านี้กลุ่มผู้โจมตีเคยอาศัยช่องโหว่แบบ Zero-Day ที่เรียกว่า ToolShell แต่สำหรับปฏิบัติการล่าสุดพบว่ามีการใช้ช่องโหว่และเครื่องมือโจมตีที่หลากหลายมากขึ้น

ผู้โจมตีมุ่งเป้าไปยังเซิร์ฟเวอร์ SharePoint แบบ On-Premises หรือระบบที่องค์กรติดตั้งและดูแลไว้ภายในสถานที่ของตนเอง เมื่อสามารถเจาะเข้าสู่ระบบได้แล้ว จะติดตั้ง Web Shell ที่รองรับการโจมตี SharePoint ได้หลายเวอร์ชัน เพื่อใช้เป็นช่องทางดำเนินกิจกรรมต่าง ๆ ภายในระบบที่ถูกบุกรุก

นอกจากนี้ Web Shell ยังถูกนำมาใช้เพื่อรวบรวม ASP.NET Machine Keys จาก SharePoint Farm ซึ่งสามารถนำไปใช้สร้าง Payload ที่ผ่านการลงลายเซ็นอย่างถูกต้อง รวมถึงเปิดทางให้ผู้โจมตีสามารถสั่งรันโค้ดจากระยะไกล (Remote Code Execution: RCE) ภายใน SharePoint Application Pool ได้

ใช้เทคนิคหลายรูปแบบเพื่อหลบเลี่ยงระบบรักษาความปลอดภัย

หลังจากเข้าถึงเครือข่ายของเหยื่อผ่าน SharePoint ได้แล้ว ผู้โจมตียังดำเนินการโจมตีต่อด้วยเทคนิคหลายรูปแบบ เพื่อเพิ่มโอกาสในการควบคุมระบบและหลีกเลี่ยงการตรวจจับจากซอฟต์แวร์รักษาความปลอดภัย โดยมีรายละเอียดดังนี้

DLL Sideloading: นำไฟล์ DLL ที่เป็นอันตรายมาใช้ร่วมกับเทคนิค DLL Sideloading เพื่อโหลดและเรียกใช้โค้ดมัลแวร์ภายในหน่วยความจำโดยตรง (In-Memory Execution) ช่วยลดโอกาสที่ไฟล์อันตรายจะถูกตรวจพบจากการตรวจสอบไฟล์บนดิสก์

ใช้บริการคลาวด์ดาวน์โหลด Payload: ดาวน์โหลดไฟล์ Payload จากบริการจัดเก็บไฟล์และคลาวด์ที่ถูกต้องตามปกติ เช่น catbox[.]moe และ wasabisys[.]com เพื่ออาศัยความน่าเชื่อถือของบริการเหล่านี้ในการหลบเลี่ยงระบบตรวจจับ

BYOVD เพื่อปิดระบบป้องกัน: ใช้ช่องโหว่ CVE-2025-1055 ที่เกี่ยวข้องกับไดรเวอร์ K7RKScan.sys ผ่านเทคนิค Bring Your Own Vulnerable Driver (BYOVD) โดยนำไดรเวอร์ที่มีช่องโหว่มาติดตั้งและใช้งานบนเครื่องของเหยื่อ เพื่อปิดการทำงานของซอฟต์แวร์รักษาความปลอดภัยทางไซเบอร์ รายงานระบุว่าสามารถปิดระบบป้องกันได้มากถึง 40 รายการ และทำให้ระบบเหล่านั้นหยุดทำงานได้นานสูงสุดประมาณ 2 ชั่วโมง

Living-Off-The-Land (LotL): ใช้เครื่องมือที่มีอยู่แล้วภายในระบบของเหยื่อเพื่อสำรวจข้อมูลและสภาพแวดล้อมของเครือข่าย (System Reconnaissance) รวมถึงดำเนินการตามคำสั่งของผู้โจมตี โดยมีการใช้ความสามารถด้าน Tunneling ที่มีอยู่ใน Microsoft Visual Studio Code เพื่อสร้างช่องทางเชื่อมต่อระยะไกลระหว่างเครื่องของเหยื่อกับระบบของผู้โจมตี

แพร่กระจายผ่าน SYSVOL: นำ Payload ของ Warlock Ransomware ไปวางไว้ภายในโฟลเดอร์แชร์ SYSVOL ซึ่งเป็นส่วนหนึ่งของระบบ Active Directory เพื่อใช้เป็นช่องทางกระจายมัลแวร์ไปยังเครื่องอื่น ๆ ภายในเครือข่ายองค์กรที่เชื่อมต่อกัน รายงานระบุว่าผู้โจมตีสามารถดำเนินการในลักษณะนี้ได้สำเร็จภายในองค์กรจำนวน 33 แห่ง

องค์กรควรเพิ่มความเข้มงวดในการป้องกันระบบ SharePoint

การโจมตีครั้งนี้สะท้อนให้เห็นถึงความเสี่ยงของระบบ SharePoint แบบ On-Premises ที่อาจกลายเป็นช่องทางสำคัญในการบุกรุกเครือข่ายองค์กร หากระบบไม่ได้รับการอัปเดตหรือมีมาตรการรักษาความปลอดภัยที่เพียงพอ

องค์กรที่ใช้งาน SharePoint ควรให้ความสำคัญกับการติดตั้งแพตช์ความปลอดภัยอย่างสม่ำเสมอ ตรวจสอบกิจกรรมที่ผิดปกติบนเซิร์ฟเวอร์ เฝ้าระวังการติดตั้ง Web Shell และการใช้งานไดรเวอร์ที่ไม่พึงประสงค์ รวมถึงตรวจสอบการเปลี่ยนแปลงภายใน SYSVOL เพื่อป้องกันการแพร่กระจายของมัลแวร์ไปยังระบบอื่น

ที่มา: The Hacker News