มัลแวร์ Warlock ใช้ช่องโหว่บน SharePoint เพื่อปิดระบบป้องกันบนเครื่องของเหยื่อ

SharePoint เป็นแพลตฟอร์มสำหรับการทำงานร่วมกันภายในระบบขององค์กร หรือ Intranet ที่ช่วยเสริมสร้างความสะดวกสบายในการทำงานร่วมกันภายในสำนักงานขนาดใหญ่ แต่แพลตฟอร์มนี้ก็มักจะมีช่องโหว่ที่เปิดช่องให้แฮกเกอร์หรือมัลแวร์ใช้งานมาหลายต่อหลายครั้ง ดังเช่นในกรณีนี้

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบแคมเปญการโจมตีของมัลแวร์จากจีนที่มีชื่อว่า Warlock ซึ่งเป็นมัลแวร์ประเภทเรียกค่าไถ่ หรือ แรนซัมแวร์ (Ransomware) ซึ่งเคยมีการระบาดครั้งแรกในช่วงปี ค.ศ. 2025 (พ.ศ. 2568) ตัวมัลแวร์ยังเป็นที่รู้จักกันในชื่อ Gold Salem, Longlegs, และ Storm-2603 อีกด้วย โดยในครั้งนี้นั้นตัวแรนซัมแวร์ได้มุ่งเน้นการโจมตีไปยังกลุ่มองค์กรที่อยู่ภายในประเทศที่มีการใช้งานภาษาสเปนและโปรตุเกสเป็นหลัก เช่น กลุ่มประเทศในทวีปยุโรป, แอฟริกา และแถบลาตินอเมริกา ซึ่งคล้ายคลึงกับแคมเปญดั้งเดิม แต่ในครั้งนี้จะเป็นการมุ่งเน้นการโจมตีไปยังองค์กรด้านโครงสร้างพื้นฐาน (Infrastructure) อย่าง น้ำประปา, โทรคมนาคม, องค์กรรัฐส่วนท้องถิ่น, และมหาวิทยาลัย แทน

นอกจากนั้นตัวแรนซัมแวร์ยังคงมีการใช้งานช่องโหว่บนระบบ SharePoint คล้ายกับแคมเปญเดิมเช่นกัน โดยในแคมเปญเดิมนั้นจะเป็นการใช้ช่องโหว่ที่เกิดขึ้นระหว่างการพัฒนา (Zero-Day) ที่มีชื่อว่า ToolShell แต่ในการโจมตีรอบล่าสุดนั้น รายงานกล่าวว่าตัวแรนซัมแวร์นั้นมีการใช้งานช่องโหว่ของระบบนี้อย่างหลากหลายยิ่งกว่าเดิม พร้อมทั้งการใช้งานเครื่องมือ (Tool) อันหลากหลายเพื่อการแฮกในรอบล่าสุด ที่มีการตรวจพบว่าเป็นการหาช่องโหว่ที่อยู่ภายในระบบเซิร์ฟเวอร์ SharePoint แบบติดตั้งอยู่ภายในที่ตั้งสำนักงาน หรือ On-Premise โดยหลังจากที่หาทางเข้าไปได้แล้ว แฮกเกอร์ที่อยู่เบื้องหลังแรนซัมแวร์ดังกล่าวก็จะฝัง Web Shell ที่มีความสามารถในการเจาะ SharePoint ได้มากมายหลายเวอร์ชัน ซึ่งจุดประสงค์ของการใช้งาน Web Shell นั้นก็เป็นไปเพื่อการเก็บ ASP.NET Machine Keys จาก SharePoint Farm เพื่อนำไปใช้งานในการสร้างไฟล์มัลแวร์ (Payload) ที่ถูกเซ็นอย่างถูกต้อง และการรันโค้ดจากระยะไกล (RCE หรือ Remote Access Execution) ภายใน Application Pool ของ SharePoint

ไม่เพียงเท่านั้น แหล่งข่าวยังได้รายงานว่าหลังจากที่แฮกเกอร์เข้าสู่ระบบผ่านทาง SharePoint ได้แล้ว ยังได้มีการใช้เทคนิคการโจมตีมากมายหลากแบบบนระบบของเหยื่อ เช่น

• การใช้ไฟล์ DLL ของมัลแวร์มาทำเทคนิค DLL Sideloading เพื่อโหลดโค้ดลงไปยังหน่วยความจำโดยตรง (In-Memory Execution)
• ดาวน์โหลดไฟล์ Payload มาจากบริการคลาวด์ หรือ บริการฝากไฟล์ (Storage) ที่ให้บริการอย่างถูกต้อง (Legitimate) อย่าง catbox[.]moe และ wasabisys[.]com เพื่อหลบเลี่ยงระบบตรวจจับ
• มีการใช้งานช่องโหว่ CVE-2025-1055 บนไดร์เวอร์ K7RKScan.sys ด้วยเทคนิคโหลดไฟล์ไดร์เวอร์ดังกล่าวลงบนระบบเอง หรือ BYOVD (Bring Your Own Vulnerable Driver) เพื่อปิดซอฟต์แวร์รักษาความปลอดภัยไซเบอร์บนระบบของเหยื่อ ซึ่งจากแหล่งข่าวนั้นรายงานว่าสามารถปิดได้สำเร็จถึง 40 แห่ง และช่วงเวลาในการปิดนั้นจะยาวนานมากสุดถึง 2 ชั่วโมง
• มีการใช้งานเครื่องมือที่มีอยู่แล้วบนระบบ หรือ Living-Off-The-Land (LotL) เพื่อทำการสำรวจลาดเลาระบบ (System Reconnaissance) และรันคำสั่งบนระบบ (Command) เช่นการใช้ช่องอุโมง (Tunnel) ที่ถูกสร้างมาภายใน (Built-In) Microsoft Visual Studio Code เพื่อใช้ในการเชื่อมต่อระหว่างตัวระบบของเหยื่อกับระบบของแฮกเกอร์จากระยะไกล
• ปล่อย Payload ของแรนซัมแวร์ Warlock ลงไปภายในโฟลเดอร์แชร์ของ SYSVOL เพื่อกระจายแรนซัมแวร์ไปยังเครื่องต่าง ๆ ภายในระบบที่เชื่อมต่อกันอยู่ ซึ่งจากแหล่งข่าวรายงานว่าสามารถทำสำเร็จบนระบบขององค์กรมากถึง 33 แห่ง