Guildma Banking Trojan กลับมาอาละวาดอีกครั้งผ่านแคมเปญ Phishing แบบเจาะจงเป้าหมาย

กายวิภาคของการโจมตีและช่องทางในการแทรกซึม

นักวิจัยด้านความปลอดภัยตรวจพบกิจกรรมรอบใหม่ของ Guildma ซึ่งเป็น banking Trojan ที่รู้จักกันดีในชื่อ Astaroth โดยผู้ไม่หวังดีเบื้องหลังปฏิบัติการนี้ใช้การส่งอีเมล Phishing ที่ปรับแต่งมาเป็นภาษาโปรตุเกสแบบบราซิล ซึ่งออกแบบมาให้ดูเหมือนการสื่อสารด้านการบริหารจัดการหรือการเงินตามปกติ เมื่อเหยื่อที่หลงเชื่อโต้ตอบกับไฟล์แนบหรือลิงก์ที่เป็นอันตราย ห่วงโซ่การทำงานหลายขั้นตอนจะเริ่มต้นขึ้น การโจมตีนี้สามารถหลบเลี่ยงการป้องกันที่ขอบเขตเครือข่ายแบบมาตรฐานได้โดยการดาวน์โหลด payload ที่ถูกอำพรางไว้และใช้เทคนิค living-off-the-land เพื่อฝังตัวอยู่ในเครื่องของผู้ใช้ได้อย่างถาวร

เมื่อ Guildma ฝังตัวอยู่ในระบบแล้ว มันจะคอยตรวจสอบกระบวนการทำงานของเป้าหมายอย่างแข็งขัน โดยเน้นไปที่เว็บเบราว์เซอร์ พอร์ทัลการเงิน และพอร์ทัลสำหรับเข้าสู่ระบบขององค์กร มัลแวร์นี้จะทำการบันทึกการกดแป้นพิมพ์ ขโมย session token ที่จัดเก็บไว้ และดักจับข้อมูลการยืนยันตัวตนแบบ multi-factor authentication ได้แบบเรียลไทม์ เนื่องจาก Guildma มุ่งเน้นไปที่ข้อมูลประจำตัวขององค์กรควบคู่ไปกับข้อมูลธนาคารส่วนบุคคล จึงถือเป็นความเสี่ยงโดยตรงที่อาจนำไปสู่การเข้าถึงองค์กรในระยะเริ่มต้นเพื่อใช้ในการเคลื่อนที่ในแนวราบ (lateral movement) ต่อไป

กลยุทธ์การป้องกันที่แนะนำ

เพื่อป้องกัน Guildma และภัยคุกคามที่เน้นการขโมยตัวตนในลักษณะเดียวกัน ฝ่ายป้องกันขององค์กรควรใช้มาตรการรักษาความปลอดภัยที่แข็งแกร่งทั้งที่ขอบเขตเครือข่ายและระดับ host ดังนี้:

• การควบคุมความปลอดภัยทางอีเมล: ติดตั้งโซลูชันการกรองอีเมลขั้นสูงที่มีความสามารถในการตรวจจับการส่งมอบ payload แบบไดนามิก เทมเพลต Phishing ในภาษาท้องถิ่นที่น่าสงสัย และสคริปต์ที่เป็นอันตรายซึ่งปลอมแปลงเป็นไฟล์แนบที่ดูน่าเชื่อถือ
• Endpoint Detection and Response (EDR): กำหนดค่าการเฝ้าระวังเชิงพฤติกรรมเพื่อแจ้งเตือนเมื่อพบ process tree ที่น่าสงสัย การรันสคริปต์ที่ผิดปกติผ่านไบนารีในตัวเครื่อง (เช่น PowerShell หรือ WScript) และการเชื่อมต่อขาออกที่ไม่คาดคิดจากโปรแกรมอรรถประโยชน์บนเดสก์ท็อปทั่วไป
• โปรแกรมสร้างความตระหนักรู้สำหรับผู้ใช้: อบรมบุคลากรให้รู้จักกลยุทธ์ social engineering ในภาษาท้องถิ่นและกำหนดขั้นตอนการยืนยันตัวตนที่เข้มงวดก่อนเปิดเอกสารธุรกรรมที่ไม่คาดคิด

---

แหล่งที่มา: SANS Internet Storm Center เผยแพร่ครั้งแรก: Tue, 01 Sep 2026 21:30:18 GMT บทความต้นฉบับ: อ่านต้นฉบับ