ระวังเว็บ Telegram ปลอม
ระวังเว็บ Telegram ปลอม ดาวน์โหลดติดตั้งปุ๊บ ติดมัลแวร์แบบรันบนหน่วยความจำทันที
หนึ่งในแอปพลิเคชันแชทที่มักเป็นที่นิยมใช้งานในกลุ่มผู้ที่ต้องการความปลอดภัยของข้อมูล คงจะหนีไม่พ้น Telegram และด้วยความนิยมนี้เองก็ได้ถูกนำเอาไปแอบอ้างเพื่อนำมาใช้ในการปล่อยมัลแวร์ใส่เหยื่อ
จากรายงานโดยเว็บไซต์ Cyberpress ได้กล่าวถึงการตรวจพบแคมเปญในการแพร่มัลแวร์ในรูปแบบท ี่รันบนหน่วยความจำ (In-Memory) ผ่านทางเว็บไซต์ Telegram ปลอม ซึ่งเว็บไซต์ดังกล่าวนั้นจะมีชื่อว่า telegram [.]com (สังเกตได้ว่าจะต่างจากเว็บไซต์จริงที่ใช้ .org) โดยภายในเว็บไซต์นั้นจะมีการสร้างให้เหมือนกับเว็บไซต์ Telegram ของแท้แทบทุกประการ รวมทั้งมีการชักชวนให้เหยื่อที่หลงเข้ามาดาวน์โหลดไฟล์ที่อ้างว่าเป็นไฟล์สำหรับการติดตั้งแอปพลิเคชัน Telegram ไปติดตั้ง โดยไฟล์ดังกล่าวนั้นจะมีชื่อว่า tsetup-x64.6.exe ซึ่งก็คล้ายคลึงกับไฟล์ติดตั้งของแอปพลิเคชันของแท้เช่นเดียวกัน ทำให้เหยื่อมักจะไม่เอะใจ
แต่หลังจากที่รันเพื่อติดตั้งแอปพลิเคชันเป็นที่เรียบร้อย ก็จะนำไปสู่การฝังตัวของมัลแวร์แบบหลากขั้นตอน (Multi-Stage Infection) ที่มีความซับซ้อนโดยเริ่มต้นจากการรันคำสั่ง (Command) เพื่อตรวจหา Process บางตัว เช่น 0tray.exe เพื่อตรวจสอบว่าเครื่องมีการติดตั้งซอฟต์แวร์แอนตี้ไวรัส (Anti-Virus) อยู่บนเครื่องหรือไม่ รวมทั้งได้มีการรันสคริปท์ PowerShell เพื่อเพิ่มไดร์ฟระบบ (System Drive) ทุกตัวที่มีลงไปยังรายชื่อยกเว้น (Exclusion List) ของ Windows Defender เพื่อให้มัลแวร์สามารถทำงานได้อย่างสะดวกโดยไม่ถูกตรวจจับบนไดร์ฟที่ถูกยกเว้นไว้
หลังจากนั้นตัวมัลแวร์ก็จะทำการรันไฟล์ DLL ของมัลแวร์ชื่อว่า AutoRecoverDat.dll ขึ้นมาผ่านทาง rundll32.exe ซึ่งเป็นเครื่องมือสำหรับการรันไฟล์ DLL ที่มากับตัว Windows เพื่อถอดรหัสไฟล์มัลแวร์ (Payload) ตัวสุดท้ายออกมาจากไฟล์ XML ชื่อว่า GPUCache.xml ออกมาสร้างเป็นไฟล์สำหรับรัน (Executable) ในรูปแบบ Portable Executable (PE) ผ่านทาง Runtime แล้วรันขึ้นบนหน่วยความจำโดยตรง
ซึ่งเมื่อทำการรันบนหน่วยความจำเป็นที่เรียบร้อยแล้ว ตัวมัลแวร์ก็จะทำการติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ที่ตั้งอยู่บนหมายเลขไอพีที่ 27.50.59.77 ผ่านทางพอร์ต 18852 ซึ่งหมายเลขไอพีดังกล่ าวนั้นมีส่วนเกี่ยวกับกับโดเมนของแอปพลิเคชันปลอมไม่ว่าจะเป็น jiijua[.]com, telegrgam[.]com, telefgram[.]com, และ tejlegram[.]com ซึ่งการเชื่อมต่อนี้จะช่วยให้แฮกเกอร์สามารถส่งคำสั่ง, อัปเดต Payload ใหม่, และสร้างความมั่นใจว่าจะติดต่อเพื่อสั่งงานมัลแวร์ได้เสมอ (Persustent) ผ่านทางช่องทางดังกล่าวเพื่อเข้าควบคุมเครื่องของเหยื่อในท้ายที่สุด
#ติดเทรนด์ #Lemon8ฮาวทู #lemon8ไดอารี่ #telegram #freedomhack
ถ้าถามว่า “Telegram อันตรายไหม?” จากที่เจอบ่อย ๆ คำตอบคือ โดยตัวแอป Telegram เองไม่ได้อันตรายเป็นพิเศษ แต่ความเสี่ยงมักมาจาก “การโหลดผิดที่” โดยเฉพาะการเจอเว็บปลอมที่หน้าตาเหมือนของจริง แล้วหลอกให้เราดาวน์โหลดไฟล์ติดตั้งที่แฝงมัลแวร์ (บางเคสเป็นแบบรันบนหน่วยความจำ/in-memory ทำให้จับยากขึ้น) สิ่งที่ฉันใช้เช็กทุกครั้งก่อนโหลด 1) ดูโดเมนให้ชัด: Telegram ของจริงคือ telegram.org ถ้าเจอเป็น .com หรือสะกดเพี้ยน ๆ (เช่นมีตัวอักษรเกิน/สลับตำแหน่ง) ให้ถอยทันที เพราะนี่เป็นรูปแบบฟิชชิงที่พบบ่อยมาก 2) อย่าคลิกลิงก์จากโฆษณา/โพสต์สุ่ม: หลายคนกดจากผลค้นหาที่เป็นโฆษณา หรือจากลิงก์ที่ถูกส่งต่อในแชท แล้วไปจบที่เว็บเลียนแบบ 3) โหลดจากแหล่งทางการ: บนมือถือให้โหลดจาก App Store/Google Play ส่วนพีซีให้ไปจากหน้าเว็บทางการของ Telegram เท่านั้น และหลีกเลี่ยงไฟล์ .exe จากเว็บที่ไม่มั่นใจ ทำไมเว็บปลอมถึงน่ากลัว? เพราะมันมักทำเหมือน “ติดตั้ง Telegram ให้จริง ๆ” เพื่อให้เราไม่เอะใจ แต่เบื้องหลังอาจมีมัลแวร์แบบหลายขั้นตอน (multi‑stage) แอบทำงาน เช่น ซ่อนเพย์โหลดไว้ในไฟล์ที่ดูไม่น่าสงสัย (บางรายงานพูดถึงการฝังในไฟล์ XML) แล้วค่อยโหลดขึ้นหน่วยความจำโดยตรง จากนั้นอาจพยายามปรับการตั้งค่าความปลอดภัยของเครื่อง หรือเชื่อมต่อออกไปหาเซิร์ฟเวอร์ควบคุม (C2) เพื่อรับคำสั่งเพิ่มเติม สัญญาณเตือนที่ควรระวังหลังเผลอติดตั้ง - เครื่องเริ่มช้าผิดปกติ ทั้งที่เพิ่งติดตั้งแอปแชท - มีโปรเซสแปลก ๆ หรือมีการเรียกใช้คำสั่ง/สคริปต์แบบผิดธรรมชาติ - Windows Defender แจ้งเตือน หรือการตั้งค่าความปลอดภัย/รายการยกเว้น (exclusion) เปลี่ยนไปโดยไม่รู้ตัว - มีทราฟฟิกออกไปยังไอพี/พอร์ตแปลก ๆ (ถ้าใช้องค์กรที่มีเครื่องมือมอนิเตอร์จะเห็นชัด) ถ้าเผลอโหลดจากเว็บปลอมแล้วควรทำอะไร - ตัดเน็ตก่อน (กันการเชื่อมต่อไป C2) - ถอนการติดตั้งไฟล์/โปรแกรมที่เพิ่งลง และสแกนด้วย Windows Security/แอนตี้ไวรัสที่เชื่อถือได้แบบ Full scan - ตรวจรายการ Startup/Task Scheduler และโปรแกรมที่รันอัตโนมัติ - เปลี่ยนรหัสผ่านบัญชีสำคัญ ๆ (อีเมล/ธนาคาร/โซเชียล) โดยทำจาก “เครื่องที่มั่นใจว่าสะอาด” สรุปสั้น ๆ: Telegram ไม่ได้อันตรายเพราะเป็น Telegram แต่อันตรายเพราะ “เว็บปลอม/ลิงก์ปลอม” ที่หลอกให้โหลดไฟล์ติดตั้งค่ะ ถ้าจำแค่ว่าให้โหลดจากแหล่งทางการและเช็กโดเมน telegram.org ให้ชัวร์ ก็ลดความเสี่ยงได้มาก
