ฟิชชิงที่ไม่มีหน้าเว็บให้สแกน: เทคนิคประกอบหน้าปลอมด้วย blob URL ในเบราว์เซอร์ของเหยื่อ และวิธีตรวจจับ

นักวิจัยพบแคมเปญฟิชชิงที่ไม่มีหน้าเว็บปลอมวางอยู่บนเซิร์ฟเวอร์ให้สแกนเลย เพราะหน้าปลอมถูกประกอบขึ้นภายในเบราว์เซอร์ของเหยื่อผ่าน blob URL ซึ่งเป็น URL ชั่วคราวที่เบราว์เซอร์สร้างขึ้นชี้ไปยังเนื้อหาที่เก็บอยู่ในหน่วยความจำของเครื่องเอง เส้นทางการโจมตียังวิ่งผ่านบริการจริงของ Microsoft ตลอดทาง ทำให้เครื่องมือกรองอีเมลและตัวสแกน URL เห็นแต่โดเมนที่ถูกต้อง บทความนี้อธิบายกลไกทีละขั้นและสิ่งที่ทีมดูแลระบบทำได้

ลำดับการโจมตีทีละขั้น

เริ่มจากเหยื่อได้รับอีเมลที่ทำเลียนแบบระบบเซ็นเอกสาร DocuSign โดยแนบมาในรูปแบบคำเชิญปฏิทิน คำเชิญนั้นชี้ไปยังปลายทางการยืนยันตัวตนแบบ OAuth ของ Microsoft ซึ่งเป็นบริการจริง จากนั้นพารามิเตอร์เปลี่ยนเส้นทางที่ถูกประดิษฐ์ขึ้นจะพาเหยื่อต่อไปยัง Microsoft Teams

เมื่อถึง Teams หน้าเว็บจะโหลดเนื้อหาจากโดเมนภายนอกเข้ามา แล้วหน้าฟิชชิงจะถูกประกอบและแสดงผลจาก blob URL บนเครื่องของเหยื่อทั้งหมด หน้านั้นยังลงทะเบียน service worker และรันตรรกะภายใน iframe ที่ถูกจำกัดสิทธิ์ ทำให้ยังทำงานต่อได้และรับคำสั่งจากเซิร์ฟเวอร์ควบคุมผ่านกลไกส่งข้อความของเบราว์เซอร์ ผู้โจมตีจึงเปลี่ยนหน้าตาและพฤติกรรมของหน้าปลอมได้แบบสด ๆ

ทำไมเครื่องมือเดิมถึงมองไม่เห็น

เหตุผลหลักมีสามข้อ ข้อแรกคือไม่มีหน้าฟิชชิงวางอยู่บนเว็บเซิร์ฟเวอร์ให้ตัวสแกนไปเปิดดู เพราะเนื้อหาถูกประกอบขึ้นในหน่วยความจำของเบราว์เซอร์เหยื่อ ข้อสองคือเส้นทางทั้งหมดวิ่งผ่านโครงสร้างพื้นฐานจริงของ Microsoft ทำให้เกตเวย์อีเมลเห็นแต่โดเมนที่น่าเชื่อถือในห่วงโซ่การเปลี่ยนเส้นทาง ข้อสามคือตัวสแกน URL ตรวจเนื้อหาที่ถูกสร้างขึ้นฝั่งไคลเอนต์ไม่ได้ตั้งแต่ต้น

นักวิจัยสรุปว่าแคมเปญนี้แสดงให้เห็นว่าฟิชชิงกำลังพัฒนาไปไกลกว่าเว็บไซต์ปลอมและโดเมนน่าสงสัย โดยตัดตัวบ่งชี้ที่ทีมความปลอดภัยเคยพึ่งพาออกไปทีละอย่าง

สิ่งที่ทีมดูแลระบบตรวจจับได้

แนวทางที่นักวิจัยแนะนำคือเปลี่ยนจุดสังเกตจากโดเมนไปที่พฤติกรรม ได้แก่ เฝ้าดูขั้นตอนอนุญาตสิทธิ์แบบ OAuth ว่ามีปลายทางเปลี่ยนเส้นทางที่ไม่คาดคิดหรือไม่ ตรวจกิจกรรมของ blob URL ที่เกิดขึ้นในบริบทของการยืนยันตัวตน และตั้งสัญญาณเตือนเมื่อมีการลงทะเบียน service worker ที่ผูกกับเนื้อหาซึ่งโหลดมาจากภายนอก

ด้านการป้องกันเชิงโครงสร้าง ข้อเสนอที่ได้ผลที่สุดคือใช้การยืนยันตัวตนหลายปัจจัยชนิดที่ทนต่อฟิชชิง เช่น กุญแจ FIDO2 หรือพาสคีย์ เพราะต่อให้ผู้ใช้กรอกข้อมูลลงหน้าปลอม ผู้โจมตีก็นำไปใช้ต่อไม่ได้ นอกจากนี้ควรใช้เครื่องมือกรองอีเมลที่วิเคราะห์เส้นทางลิงก์ทั้งเส้น ไม่ใช่ตรวจแค่ปลายทางแรก

ด้านคน: อบรมให้ตั้งคำถามกับคำขอเซ็นเอกสาร

เพราะเหยื่อเห็นแต่โดเมนของ Microsoft ตลอดทาง คำแนะนำเดิมที่ให้สังเกต URL แปลก ๆ จึงใช้ไม่ได้กับกรณีนี้ สิ่งที่ยังใช้ได้คือสอนให้ตั้งคำถามกับตัวคำขอเอง เช่น เราคาดว่าจะได้รับเอกสารให้เซ็นจากคนคนนี้จริงหรือไม่ และตรวจสอบผ่านช่องทางอื่นก่อนกด แม้หน้าจอจะแสดงแบรนด์ที่คุ้นเคย

สำหรับองค์กรไทยที่ใช้ Microsoft 365 เป็นระบบหลัก ประเด็นที่ควรตรวจสัปดาห์นี้คือมีการบังคับใช้การยืนยันตัวตนชนิดทนฟิชชิงกับบัญชีที่มีสิทธิ์สูงหรือยัง และมีการเก็บบันทึกการอนุญาตสิทธิ์แบบ OAuth ไว้ให้ตรวจย้อนหลังได้หรือไม่ สองอย่างนี้ทำได้ด้วยการตั้งค่าและมีผลทันทีโดยไม่ต้องซื้อเครื่องมือเพิ่ม ทีมงาน Smart Cyber Tech บริการประเมินความปลอดภัยระบบและเว็บไซต์ รวมถึงตรวจการตั้งค่าการยืนยันตัวตนและสิทธิ์ของแอปที่เชื่อมต่อกับระบบองค์กร ปรึกษาได้ที่ แบบฟอร์มติดต่อ