🖥️ Windows Persistence Techniques – Full Deep Dive

ความมั่นคงปลอดภัยไซเบอร์ในระบบปฏิบัติการ Windows ไม่ได้วัดกันเพียงการป้องกันการโจมตีในครั้งแรกเท่านั้น แต่สิ่งที่ท้าทายยิ่งกว่าคือการตรวจจับและหยุดยั้ง “Persistence” หรือเทคนิคการฝังตัวยาวนานของผู้โจมตี หลังจากที่พวกเขาสามารถเจาะเข้าสู่ระบบได้สำเร็จ Persistence ทำให้แฮกเกอร์ยังสามารถอยู่ในระบบได้แม้ผู้ใช้รีสตาร์ทเครื่อง ออกจากระบบ หรือแม้กระทั่งเมื่อโปรแกรมป้องกันไวรัสพยายามลบไฟล์อันตรายออกไป

เหตุผลที่ควรให้ความสำคัญกับหัวข้อนี้เพราะ Persistence เป็นหนึ่งในเทคนิคหลักที่กลุ่ม APT (Advanced Persistent Threats) และมัลแวร์ขั้นสูงใช้เพื่อเก็บสิทธิ์และเข้าถึงระบบอย่างต่อเนื่อง หากไม่สามารถตรวจจับได้ทันท่วงที ความเสียหายจะยืดเยื้อและรุนแรงขึ้นตามเวลา

Persistence ในเชิงความมั่นคงปลอดภัย หมายถึง ความสามารถของผู้บุกรุกหรือมัลแวร์ในการรักษาการเข้าถึงระบบเป้าหมายในระยะยาว แม้จะมีการรีบูต เปลี่ยนผู้ใช้ หรือพยายามลบไฟล์อันตรายออกไป

แนวคิดนี้ไม่ได้ใหม่ แต่เกิดขึ้นควบคู่กับวิวัฒนาการของมัลแวร์ ตัวอย่างเช่น

ยุคแรกๆ (1990s–2000s): มัลแวร์มักฝังตัวผ่าน Registry Run Keys หรือโฟลเดอร์ Startup

ยุคปัจจุบัน: มัลแวร์และ APT ใช้เทคนิคซับซ้อนขึ้น เช่น WMI Event Subscription, DLL Side-Loading หรือ Bootkits

พื้นฐานที่ควรรู้ก่อนเข้าใจ Persistence

วงจรการโจมตี (Attack Lifecycle): Initial Access → Privilege Escalation → Persistence Setup → Cover Tracks

สิทธิ์ (Privilege): Persistence หลายวิธีต้องอาศัยสิทธิ์ระดับสูง (Admin/SYSTEM)

Artefacts: Persistence มักทิ้งร่องรอย เช่น Key Registry, Services หรือไฟล์ DLL แปลกๆ

ประเด็นหลัก/เนื้อหาเชิงลึก (Main Content)

1.Registry Run Keys & Startup

วิธีการ: เพิ่มค่า Registry หรือไฟล์ใน Startup Folder เพื่อให้รันทุกครั้งที่ Windows เริ่มทำงาน

ตัวอย่างโจมตี:

reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v OneDriveUpdate /t REG_SZ /d "C:\Users\Public\onedrv.exe"

ดูเหมือน OneDrive แต่จริงๆ เป็นมัลแวร์

กรณีศึกษา: มัลแวร์สาย Banking Trojan หลายตัว เช่น Zeus ใช้ Run Keys เพื่อฝังตัว

ข้อดี (แฮกเกอร์): ทำง่าย ใช้สิทธิ์ผู้ใช้ปกติได้

ข้อเสีย: ตรวจจับง่ายด้วย Autoruns หรือ SIEM

2. Scheduled Tasks

วิธีการ: สร้าง Task ให้รันโปรแกรมเมื่อ Logon หรือเวลาที่กำหนด

ตัวอย่างโจมตี:

schtasks /create /sc onlogon /tn "WindowsUpdate" /tr "C:\malware.exe"

กรณีศึกษา: APT29 ใช้ Scheduled Tasks เพื่อเข้าถึงระบบราชการ

ข้อดี: ยืดหยุ่น ตั้งเวลาได้

ข้อเสีย: สามารถตรวจสอบได้ด้วยคำสั่ง schtasks /query

3.DLL Side-Loading

วิธีการ: อาศัยลำดับการโหลด DLL ของ Windows โดยปลอม DLL แล้ววางในโฟลเดอร์โปรแกรม

ตัวอย่างโจมตี: App.exe ต้องการ abc.dll → แฮกเกอร์ใส่ abc.dll ปลอม → โปรแกรมโหลด DLL อันตรายแทน

กรณีศึกษา: กลุ่ม Lazarus ใช้ DLL Side-Loading ในการโจมตีโครงสร้างพื้นฐานสำคัญ

ข้อดี: ยากต่อการตรวจจับ ใช้โปรแกรมจริงเป็นตัวเรียก

ข้อเสีย: ต้องมีการเข้าถึงไฟล์ระบบหรือโปรแกรมเป้าหมาย

4. WMI Event Subscription

วิธีการ: ใช้ WMI Trigger ให้รันโค้ดอัตโนมัติ

ตัวอย่างโจมตี (PowerShell):

$Filter=Set-WmiInstance -Class __EventFilter -Namespace "root\subscription" -Arguments @{Name="StartupTrigger";EventNamespace="root\cimv2";Query="SELECT * FROM __InstanceModificationEvent WITHIN 60 WHERE TargetInstance ISA 'Win32_PerfFormattedData_PerfOS_System'"}

กรณีศึกษา: กลุ่ม FIN7 ใช้ WMI Persistence อย่างหนัก

ข้อดี: ซ่อนตัวได้ดี ไม่ต้องสร้างไฟล์ใหม่

ข้อเสีย: ตรวจสอบยาก ต้องใช้เครื่องมือเฉพาะ

5. Service Modification

วิธีการ: สร้างหรือแก้ไข Windows Service ให้รันโค้ดอันตราย

ตัวอย่างโจมตี:

sc create SysUpdate binPath= "C:\update.exe" start= auto

กรณีศึกษา: มัลแวร์บางตัวปลอมเป็น Service Update ของ Windows

ข้อดี: ได้สิทธิ์ SYSTEM อัตโนมัติ

ข้อเสีย: ทิ้ง Event Log (7045) ตรวจจับได้

6.Bootkits / MBR Modification

วิธีการ: ฝังโค้ดใน Boot Sector ให้รันก่อน OS โหลด

กรณีศึกษา: TrickBot, NotPetya ใช้ Bootkit เพื่อข้ามการตรวจจับ

ข้อดี: ยากต่อการลบ รีสตาร์ทก็ยังรัน

ข้อเสีย: ต้องปิด Secure Boot และมักทำให้ระบบไม่เสถียร

7. User Account Creation

วิธีการ: สร้างบัญชีผู้ใช้ใหม่และให้สิทธิ์ผู้ดูแล

ตัวอย่างโจมตี:

net user backupadmin P@ssw0rd123 /add

net localgroup administrators backupadmin /add

กรณีศึกษา: หลาย Ransomware Group ใช้วิธีนี้เพื่อให้ Remote Access ระยะยาว

ข้อดี: ง่ายต่อการกลับเข้ามา

ข้อเสีย: ทิ้งร่องรอยใน Event ID 4720

เทคนิค/แนวทางปฏิบัติ (Practical Approach)

การตรวจจับและเครื่องมือที่แนะนำ

Autoruns (Sysinternals): ตรวจสอบ Run Keys, Startup Programs

Sysmon: ติดตาม Event (Registry, DLL Loads, Process Creation)

Windows Event Logs: ตรวจสอบ Scheduled Tasks, Services, Account Creation

EDR/SIEM: ตั้ง Alert Rule สำหรับเหตุการณ์ผิดปกติ

Best Practices

เปิดใช้งาน Windows Defender + Tamper Protection

จำกัดสิทธิ์ Admin/Local System

ทำ Incident Response Drills เป็นประจำ

ใช้ Baseline Comparison เพื่อตรวจสอบความเปลี่ยนแปลงใน Registry และ Services

อัปเดตระบบและ Patch อย่างสม่ำเสมอ

แนวโน้ม/อนาคต (Future Trends)

Persistence จะย้ายจาก ไฟล์พื้นฐาน → memory-based (Living-off-the-Land) เช่น ใช้ PowerShell, WMI, หรือ LOLBins (Windows built-in tools)

การตรวจจับแบบเดิม (Signature-based) จะไม่พอ ต้องใช้ AI/Behavior Analytics

การเสริมมาตรฐาน เช่น Zero Trust Security และ Secure Boot + Virtualization-Based Security (VBS) จะช่วยลดโอกาส Persistence ได้

กลุ่ม APT จะเน้น Persistence ที่ ซ่อนตัวได้เนียนกว่า เช่น การฝังโค้ดใน Firmware หรือ Driver

สรุป (Conclusion)

Persistence ไม่ใช่แค่กลยุทธ์ของมัลแวร์ แต่เป็น “เครื่องมือเอาตัวรอด” ของแฮกเกอร์ เมื่อใดที่พบ Persistence ให้ถือว่า ระบบถูกยึดแล้ว จำเป็นต้องทำการวิเคราะห์ทางนิติวิทยาศาสตร์ (Forensics) และฟื้นฟูระบบอย่างจริงจัง

การเข้าใจ Persistence Techniques จะทำให้ทั้ง Red Team (ผู้ทดสอบเจาะระบบ) และ Blue Team (ผู้ป้องกัน) ทำงานได้มีประสิทธิภาพ

การตรวจจับ Persistence เป็น เกมแมววิ่งไล่จับหนู ที่ต้องอาศัยการอัปเดตความรู้ เครื่องมือ และการทำงานเชิงรุกอยู่เสมอ