ระวังเว็บ Claude ปลอม หลอกดาวน์โหลดรุ่นโปร
ระวังเว็บ Claude ปลอม หลอกดาวน์โหลดรุ่นโปร ที่จริงเป็นมัลแวร์ PlugX
ในช่วงที่ผ่านมา ชื่อของเครื่องมือปัญญาประดิษฐ์ หรือ AI (Artificial Intelligence) ที่มาแรงสุดคงจะหนีไม่พ้น Claude ตั้งแต่ดราม่ากับรัฐบาลสหรัฐอเมริกา มาจนถึงการที่โค้ดต้นฉบับ (Source Code) ถูกขโมยด้วยความเลินเล่อของพนักงาน ทำให้มีแฮกเกอร์มากมายมาเกาะกระแสไม่เว้นแต่กรณีนี้
รายงานจากเว็บไซต์ Security Affair ได้กล่าวถึงการตรวจพบเว็บไซต์ปลอมของ Claude เครื่องมือ AI ชื่อดังที่ถูกพัฒนาโดยบริษัท Anthropic โดยเว็บไซต์ปลอมเหล่านี้จะมีการหลอกลวงเหยื่อที่หลงเข้ามาว่า มีการแจก Claude ในเวอร์ชันสำหรับการใช้งานระดับสูง หรือ Pro Version ฟรี แต่แท้จริงแล้วภายในนั้นเป็นมัลแวร์ประเภทเข้าควบคุมเครื่องจากระยะไกล หรือ RAT (Remote Access Trojan) ที่มีชื่อว่า PlugX โดยไฟล์ที่หลอกให้เหยื่อดาวน์โหลดนั้นจะเป็นไฟล์บีบอัดในรูปแบบ Zip ที่เมื่อคลายไฟล์ออกมานั้น ภายในจะเป็นไฟล์สำหรับการติดตั้งนามสกุล MSI ที่คล้ายคลึงกับตัวติดตั้ง Claude ของจริง ที่มีการสะกดผิดไปจากเดิมเล็กน้อย พร้อมไฟล์ทางลัด (Shortcut) ที่สามารถนำไปสู่การรันสคริปท์มัลแวร์แบบ VBS ซึ่งเมื่อกดที่ไฟล์ดังกล่าว ก็จะนำไปสู่การรันแอปพลิเคชันเพื่อพรางพฤติกรรมที่แท้จริงให้ดูไม่น่าสงสัย
แต่เบื้องหลังนั้นกลับเป็นการรันสคริปท์ดังกล่าวขึ้นมา โดยสคริปท์จะทำการคัดลอกไฟล์ 3 ไฟล์ นั่นคือ NOVUpdate.exe, avk.dll, และไฟล์ .dat ที่ถูกเข้ารหัสไว้ (Encryption) ชื่อ NOVUpdate.exe.dat ไปยังโฟลเดอร์ Windows Startup แล้วทำการแอบรันอย่างเงียบ ๆ ซึ่งจะเป็นการรันมัลแวร์ (Payload) จากไฟล์ avk.dll ด้วยเทคนิคการรันไฟล์ DLL ที่นำเข้าสู่ระบบเอง หรือ DLL Sideloading ซึ่งตัวไฟล์ DLL นั้นจะทำการถอดรหัสไฟล์ .Dat ดังกล่าวออกมาเป็น Payload ของมัลแวร์ PlugX ฝังลงไปบนเครื่อง
หลังจากที่มัลแวร์ได้ฝังลงสู่เครื่องแล้ว มัลแวร์ก็จะทำการติดต่อกับเซิร์ฟเวอร์ควบคุม (Command and Control หรือ C2) ที่ตั้งอยู่บนหมายเลขไอพี 8.217.190[.]58 ผ่านทางโปรโตคอล HTTP ในทันที นอกจากนั้นตัวมัลแวร์ยังได้ทำการแค่ค่า Registry Key ของ TCP/IP เพื่อดัดแปลงพฤติกรรมการทำงานของการติดต่อกับระบบเครือข่าย (Network) นอกจากนั้น เพื่อป้องกันการถูกตรวจจับ สคริปท์ที่ทำหน้าที่ติดตั้งมัลแวร์เมื่อทำหน้าที่ติดตั้งอย่างสมบูรณ์แล้ว ก็จะทำการลบตัวเอง พร้อมกับไฟล์สคริปท์ Batch ชื่อว่า ~del.vbs.bat ทิ้งเพื่อกลบเกลื่อนร่องรอยของตัวเองที่เคยทำงานบนเครื่อง
PlugX นั้นเดิมเป็นมัลแวร์ที่ใช้งานปฏิบัติการสอดแนม (Espionage) ของกลุ่มแฮกเกอร์ที่ทำงานให้กับรัฐบาลจีน แต่ในตอนหลังตัวโค้ดต้นฉบับ (Source Code) ของมัลแวร์ตัวนี้ได้รั่วไหลสู่สาธารณะ ทำให้นำไปสู่การวางขายมัลแวร์ตัวนี้ตามเว็บบอร์ดใต้ดิน และ ตลาดมืด กันอย่างเป็นล่ำเป็นสัน จนทำให้เป็นการยากที่จะระบุกลุ่มอาชญากรที่อยู่เบื้องหลังแคมเปญนี้ได้อย่างชัดเจน
จากประสบการณ์ส่วนตัวที่เคยพบเจอข่าวเกี่ยวกับมัลแวร์ PlugX ที่ถูกแพร่กระจายผ่านเว็บไซต์ปลอมแบบนี้ ทำให้ผมเรียนรู้ว่าการดาวน์โหลดโปรแกรมหรือแอปพลิเคชันที่ไม่มีแหล่งที่มาอย่างชัดเจนมีความเสี่ยงสูงมาก โดยเฉพาะอย่างยิ่งกับเทคโนโลยี AI ที่กำลังได้รับความนิยมอย่าง Claude ซึ่งแฮกเกอร์มักจะใช้ความนิยมนี้เป็นเครื่องมือหลอกลวง PlugX เป็นมัลแวร์อันตรายที่สามารถฝังตัวในเครื่องได้อย่างลับๆ ผ่านไฟล์ MSI ที่ดูเหมือนกับโปรแกรมของจริง เมื่อสคริปต์ VBS ถูกเรียกใช้งาน จะเริ่มทำการติดตั้งมัลแวร์และซ่อนตัวในระบบ Windows Startup รวมถึงมีเทคนิค DLL Sideloading ทำให้ตรวจจับยาก หลังจากนั้นมัลแวร์จะติดต่อกับเซิร์ฟเวอร์ควบคุมเพื่อรับคำสั่งการทำงานต่างๆ ซึ่งอาจทำให้ข้อมูลส่วนตัวถูกขโมย หรือเครื่องถูกควบคุมจากระยะไกลโดยไม่รู้ตัว ผมขอแนะนำให้ทุกคนที่สนใจดาวน์โหลด Claude เวอร์ชันโปรหรือซอฟต์แวร์ใดๆ ที่เกี่ยวข้อง ควรตรวจสอบเว็บไซต์อย่างละเอียด ใช้แหล่งดาวน์โหลดที่เชื่อถือได้ เช่น เว็บไซต์ทางการ หรือแพลตฟอร์มที่มีความน่าเชื่อถือ อย่าดาวน์โหลดไฟล์ Zip หรือไฟล์ที่มีนามสกุล MSI จากเว็บไซต์ที่ไม่รู้จักหรือส่งทางอีเมลโดยตรง นอกจากนี้ ควรใช้โปรแกรมป้องกันไวรัสและสแกนไฟล์ก่อนติดตั้งเพื่อความปลอดภัย รวมถึงอัพเดตระบบปฏิบัติการและซอฟต์แวร์อย่างสม่ำเสมอ ป้องกันช่องโหว่ที่อาจถูกมัลแวร์ใช้ประโยชน์ หากสงสัยว่ามีการติดมัลแวร์ควรรีบติดต่อผู้เชี่ยวชาญ หรือล้างเครื่องเพื่อลดความเสียหายที่อาจเกิดขึ้น การรักษาความปลอดภัยในยุคที่ AI กำลังบูมและแฮกเกอร์แฝงตัวในทุกแวดวง จำเป็นต้องมีความระมัดระวังสูงสุดเพื่อปกป้องข้อมูลและอุปกรณ์ของเราให้ปลอดภัยอยู่เสมอ
