Bot (ในบริบท Cybersecurity) คืออะไร?
โปรแกรมคอมพิวเตอร์ที่ทำงานอัตโนมัติตามคำสั่งจากระยะไกล (Remote Commands) สามารถเป็น Good Bot (Search Engine Crawler, Monitoring) หรือ Bad Bot (Malware)
Bot Malware / Botnet คืออะไร?
- Bot (Zombie): เครื่องที่ติดมัลแวร์ ถูกควบคุมจากระยะไกลโดย Botmaster
- Botnet: เครือข่ายของ Bots หลายพัน/ล้านเครื่อง ใช้สั่งการโจมตีร่วมกัน (DDoS, Spam, Credential Stuffing, Crypto Mining, Data Theft)
- Bot Injector: โมดูล/โค้ดที่ "ฉีด" (Inject) เข้าไปใน Process/Application ที่ทำงานอยู่ เพื่อแทรกคำสั่งร้าย (Code Injection, Hooking, DLL Injection, Process Hollowing) มักใช้ใน Banking Trojan, Formgrabbing, Man-in-the-Browser
Bot ใช้ทำอะไร (การโจมตีทั่วไป)
- DDoS Attack: ท่วม Bandwidth/Resource ของเป้าหมาย
- Credential Stuffing: ใช้ Username/Password ที่รั่วไหล ลองเข้าระบบอื่นๆ แบบอัตโนมัติ
- Web Scraping/Content Theft: คัดลอกราคา, เนื้อหา, ข้อมูลสินค้า
- Inventory Hoarding/Scalping: จองสินค้าจำกัด/ตั๋วคอนเสิร์ต แล้วขายต่อราคาสูง
- Click Fraud / Ad Fraud: คลิกโฆษณาปลอม เพื่อรายได้หรือทำลายคู่แข่ง
- SQL Injection Automation: สแกนและโจมตีช่องโหว่ SQLi แบบ Mass
- Spam/Phishing Distribution: ส่งอีเมล/ข้อความจำนวนมาก
- Crypto Jacking: ใช้ CPU/GPU ของเหยื่อขุด Crypto
Bot Injector Techniques (Technical)
- DLL Injection: โหลด DLL ร้ายเข้า Process Target (CreateRemoteThread + LoadLibrary)
- Process Hollowing: สร้าง Process Legitimate แล้ว Unmap Memory แทนที่ด้วย Malicious Code
- API Hooking: Intercept API Calls (WinInet, OpenSSL) เพื่อขโมยข้อมูลก่อนเข้ารหัส (Formgrabbing)
- Browser Extension/Plugin Injection: Manifest V2/V3 Extensions ที่ขอ Permission สูง
- Reflective DLL Injection: โหลด DLL จาก Memory โดยไม่ต้องเขียนดิสก์ (Fileless)
อันตรายของ Bot Injector
- ขโมย Credential, Credit Card, PII แบบ Real-time (Man-in-the-Browser)
- Bypass 2FA (Session Hijacking, Cookie Theft)
- แทรก Transaction (Transaction Tampering) ใน Internet Banking
- ยากต่อการตรวจจับ (Fileless, Living-off-the-land, Encrypted C2)
- เป็นส่วนหนึ่งของ APT (Advanced Persistent Threat)
การตรวจจับและป้องกัน (Detection & Prevention)
| Layer | Controls |
|---|---|
| Endpoint (EDR/XDR) | Behavioral Analysis (API Hooking, Process Injection, Memory Scanning), Kernel Callbacks, ETW, AMsi |
| Network (NDR) | C2 Beaconing Detection, TLS Inspection, JA3 Fingerprinting, DGA Detection |
| Application (WAF/RASP) | Bot Management (Challenge, CAPTCHA, Device Fingerprinting, Behavioral Anomaly) |
| Email/Identity | DMARC, SPF, DKIM, MFA (Phishing-resistant: FIDO2/WebAuthn), Credential Monitoring |
| User | Security Awareness, Password Manager (Unique Pass), Browser Hardening (uBlock, NoScript) |
Bot Management Solutions (Vendor Examples)
- Cloudflare Bot Management, Akamai Bot Manager, Imperva Advanced Bot Protection, F5 Distributed Cloud Bot Defense, Kasada, PerimeterX (Human), DataDome, Reblaze
Botnet Takedown & Legal
ISP, CERT, Law Enforcement (FBI, Europol) ร่วมกัน Seize C2 Domains, Sinkhole Traffic, Arrest Botmasters (เช่น Emotet, Trickbot, Mirai, Necurs)
สรุป
Bot Injector เป็นเทคนิคขั้นสูงของ Malware เพื่อแทรกโค้ดร้ายเข้า Process ที่ทำงานอยู่ เพื่อขโมยข้อมูล/ควบคุม Session/หลีกเลี่ยงการตรวจจับ การป้องกันต้องใช้ Defense-in-Depth: EDR/XDR, Network Traffic Analysis, Bot Management (WAF/CDN), Application Hardening (RASP), และ User Education
