🕵️ “ChaosBot: มัลแวร์สายลับยุคใหม่ ใช้ Discord เป็นช่องสั่งการ — เจาะระบบการเงินผ่าน VPN และบัญชีแอดมิน” นักวิจัยจาก eSentire Threat Response Unit (TRU) ตรวจพบมัลแวร์ตัวใหม่ชื่อ “ChaosBot” ที่เขียนด้วยภาษา Rust และถูกใช้ในการโจมตีองค์กรด้านการเงิน โดยมีความสามารถพิเศษคือใช้ Discord เป็นช่องทาง Command-and-Control (C2) แบบเต็มรูปแบบ ซึ่งถือเป็นการผสมผสานระหว่างแพลตฟอร์มโซเชียลกับการปฏิบัติการไซเบอร์อย่างแนบเนียน ChaosBot ถูกควบคุมผ่านบัญชี Discord ที่ใช้ bot token แบบ hardcoded และสร้าง channel ใหม่ตามชื่อเครื่องที่ติดมัลแวร์ เพื่อให้แฮกเกอร์สามารถส่งคำสั่ง เช่น รัน PowerShell, ดาวน์โหลดไฟล์, อัปโหลดข้อมูล หรือจับภาพหน้าจอได้แบบเรียลไทม์ การติดตั้งมัลแวร์เริ่มจากการใช้บัญชี Active Directory ที่มีสิทธิ์สูง (เช่น serviceaccount) และ VPN ของ Cisco ที่ถูกขโมยมา จากนั้นใช้ WMI เพื่อรันคำสั่งระยะไกลและโหลด DLL ที่ชื่อ msedge_elf.dll โดยใช้เทคนิค side-loading ผ่านไฟล์ identity_helper.exe ของ Microsoft Edge หลังจากติดตั้งแล้ว ChaosBot จะทำการสำรวจระบบและติดตั้ง Fast Reverse Proxy (FRP) เพื่อเปิดช่องทางสื่อสารกลับไปยังเซิร์ฟเวอร์ของแฮกเกอร์ โดยใช้ SOCKS5 plugin และ IP จาก AWS ฮ่องกง นอกจากนี้ยังมีการทดลองใช้ฟีเจอร์ Tunnel ของ Visual Studio Code เพื่อสร้าง backdoor เพิ่มเติม มัลแวร์ยังถูกกระจายผ่านแคมเปญ phishing ที่ใช้ไฟล์ .LNK และ PowerShell script พร้อมเปิด PDF หลอกล่อ เช่นจดหมายปลอมจากธนาคารกลางเวียดนาม เพื่อเบี่ยงเบนความสนใจของเหยื่อ ✅ ข้อมูลสำคัญจากข่าว ➡️ ChaosBot เป็นมัลแวร์ภาษา Rust ที่ใช้ Discord เป็นช่องทาง C2 ➡️ สร้าง channel ใหม่ตามชื่อเครื่องที่ติดมัลแวร์เพื่อควบคุมแบบเรียลไทม์ ➡️ ใช้บัญชี Active Directory และ VPN ที่ถูกขโมยมาเพื่อรันคำสั่งผ่าน WMI ➡️ โหลด DLL ผ่าน side-loading โดยใช้ไฟล์จาก Microsoft Edge ➡️ ติดตั้ง FRP เพื่อเปิด reverse proxy กลับไปยังเซิร์ฟเวอร์ของแฮกเกอร์ ➡️ ใช้ SOCKS5 plugin และ IP จาก AWS ฮ่องกง ➡️ ทดลองใช้ Tunnel ของ Visual Studio Code เพื่อสร้าง backdoor เพิ่ม ➡️ กระจายผ่าน phishing ที่ใช้ไฟล์ .LNK และ PowerShell script พร้อม PDF หลอก ➡️ บัญชี Discord ที่ใช้ควบคุมคือ chaos_00019 และ lovebb0024 ➡️ มีการใช้คำสั่ง shell, download, upload และ screenshot ผ่าน Discord ✅ ข้อมูลเสริมจากภายนอก ➡️ Rust เป็นภาษาที่นิยมใช้ในมัลแวร์ยุคใหม่เพราะประสิทธิภาพสูงและตรวจจับยาก ➡️ Discord API เปิดให้สร้าง bot และ channel ได้ง่าย ทำให้ถูกใช้เป็น C2 ได้สะดวก ➡️ FRP เป็นเครื่องมือโอเพ่นซอร์สที่ใช้สร้าง reverse proxy แบบเข้ารหัส ➡️ WMI (Windows Management Instrumentation) เป็นช่องทางรันคำสั่งระยะไกลที่นิยมในองค์กร ➡️ Side-loading คือเทคนิคที่ใช้ไฟล์จากโปรแกรมจริงเพื่อโหลด DLL อันตรายโดยไม่ถูกตรวจจับ https://securityonline.info/new-rust-backdoor-chaosbot-uses-discord-as-covert-c2-channel-to-target-financial-services/