พบมัลแวร์ขโมยข้อมูลบนส่วนเสริม Chrome อีก 108 ตัว
ตรวจพบมัลแวร์ขโมยข้อมูลบนส่วนเสริม Chrome อีก 108 ตัว กระทบเหยื่อกว่า 2 หมื่นราย
ส่วนเสริมบนเว็บเบราว์เซอร์ หรือ Extension นั้นอาจเป็นสิ่งที่ช่วยให้เว็บเบราว์เซอร์สามารถทำงานได้อย่างหลากหลาย สร้างความสะดวกให้กับผู้ใช้งาน แต่ปัจจุบันนั้นกลับมีการตรวจพบส่วนเสริมปลอมแฝงมัลแวร์จำนวนมาก ที่อาจทำให้ผู้ใช้งานแทนที่จะได้รับความสะดวก กลับต้องเดือด ร้อนแทน
จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบส่วนเสริมของเว็บเบราว์เซอร์ Chrome ปลอมแฝงมัลแวร์มากถึง 108 ตัว ที่ทุกตัวนั้นมีพฤติกรรมเหมือนกันคือ มีการเชื่อมต่อกับโครงสร้างพื้นฐานสำหรับการสั่งการควบคุมมัลแวร์ (C2 หรือ Command and Control) แห่งเดียวกันทั้งหมด โดยจะติดต่อไปยังเซิร์ฟเวอร์ C2 ที่ตั้งอยู่ที่ 144.126.135[.]238 ซึ่งส่วนเสริมเหล่านี้ต่างมีจุดประสงค์เหมือนกันคือใช้ในการขโมยข้อมูลสำคัญจำพวกรหัสผ่าน (Credential), ตัวตนของผู้ใช้งาน (User Identity) และข้อมูลการเข้าเยี่ยมชมเว็บไซต์ต่าง ๆ ที่ร้ายไปกว่านั้นคือ ส่วนเสริม 56 ตัวจากทั้งหมด 108 ตัวนั้น มีความสามารถในการขโมยบัญชี Google ผ่านทางระบบ OAuth2, 45 ส่วนเสริมจากทั้งหมดมีความสามารถในการเป็นประตูหลังของระบบ (Backdoor) ให้กับแฮกเกอร์ เพื่อนำมาใช้ในกิจกรรมดังต่อไปนี้
แอบลักลอบส่งออกข้อมูล (Exfiltration) การใช้งานแอปพลิเคชันแชท Telegram ทุก ๆ 15 วินาที
ลบส่วนหัว (Header) ที่สำคัญของ TikTok และ Youtube เช่น Content Security Policy, X-Frame-Options, และ CORS แล้วยิงโค้ด (Injection) ให้แสดงผลโฆษณาเว็บไซต์การพนันออนไลน์แทน
ยิงสคริปท์ให้แสดงคอนเทนต์ตามที่แฮกเกอร์ต้องการ บนทุกเว็บไซต์ที่เหยื่อเข้าใช้งาน
เปลี่ยนเส้นทาง (Proxy) การร้องขอแปลภาษา (Translation Request) ไปยังเซิร์ฟเวอร์ของแฮกเกอร์
ซึ่งจากการเปิดเผยของทีมวิจัยจาก Socket บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ พบว่า ส่วนเสริมทั้ง 108 นั้นมาจากผู้จัดจำหน่าย (Publishers) เพียง 5 ราย อันประกอบด้วย Yana Project, GameGen, SideGames, Rodeo Games และ InterAlt โดยมีผู้ติดตั้งส่วนเสริมทั้งหมดรวมแล้วกว่า 2 หมื่นรายในปัจจุบัน ซึ่งตัวอย่างของส่วนเสริมอันตรายนั้นมี ดังนี้
Telegram Multi-account (ID: obifanppcpchlehkjipahhphbcbjekfa) ส่วนเสริมที่อ้างว่าช่วยใ ห้ใช้งานบัญชี (Account) ของ Telegram ได้หลายบัญชีพร้อมกัน แต่แท้จริงแล้วแอบขโมย Token ของ user_auth ซึ่งใช้ยืนยันตัวตนผู้ใช้งานบน Telegram Web ส่งกลับไปให้แฮกเกอร์ รวมทั้งสามารถเขียนทับข้อมูลในส่วน localStorage ด้วยข้อมูล Session การใช้งานที่ทางแฮกเกอร์ส่งมาให้ เพื่อเปลี่ยน Session ของเหยื่อ ให้เป็น Session ที่แฮกเกอร์ต้องการแทน
Web Client for Telegram - Teleside (ID: mdcfennpfgkngnibjbpnpaafcjnhcjno) มีความสามารถในการลบ Header ของ Telegram แล้วยิงสคริปท์สำหรับขโมยบัญชีของเหยื่อ
Formula Rush Racing Game (ID: akebbllmckjphjiojeioooidhnddnplj) ใช้ในการขโมยบัญชี Google ผ่านทางการหลอกให้กดปุ่ม Sign-In โดยข้อมูลที่ขโมยได้จะประกอบด้วย อีเมล, รูปโปรไฟล์, ชื่อเต็ม, และเลขบัญชี Google
แหล่งข่าวไม่ได้มีการระบุว่าทาง Google ได้ทำการลบส่วนเสริมอันตรายเหล่านี้ออกจาก Web Store แล้ว หรือ ยัง ทั้งยังไม่สามารถระบุได้ชัดว่าใครที่อยู่เบื้องหลังเหตุอุกอาจนี้ แต่มีข้อสันนิษฐานว่า แ ฮกเกอร์จากประเทศรัสเซียอาจเป็นผู้อยู่เบื้องหลัง เนื่องจากมีภาษารัสเซียแทรกอยู่บนโค้ดของส่วนเสริมจำนวนมาก
จากประสบการณ์ผมในการใช้งานเว็บเบราว์เซอร์ Chrome มา ผมมักจะติดตั้งส่วนเสริม (Extension) ที่ช่วยอำนวยความสะดวกต่าง ๆ เช่น บล็อกโฆษณา หรือช่วยจัดการรหัสผ่าน แต่ข่าวการเจอมัลแวร์แฝงในส่วนเสริมถึง 108 ตัวนี้ทำให้ผมต้องทบทวนและปรับพฤติกรรมทันที สิ่งที่สำคัญคือ ต้องเลือกติดตั้งส่วนเสริมจากแหล่งที่น่าเชื่อถือเท่านั้น เช่น ผู้พัฒนาที่มีชื่อเสียงและรีวิวดี ๆ ไม่ควรติดตั้งส่วนเสริมที่ไม่มีข้อมูล หรือคะแนนรีวิวน้อย เพราะมัลแวร์เหล่านี้จะทำงานผ่านการเชื่อมต่อกับเซิร์ฟเวอร์ Command and Control (C2) ซึ่งมีเป้าหมายในการขโมยข้อมูลส่วนตัว เช่น รหัสผ่าน บัญชี Google ผ่านระบบ OAuth2 ไปจนถึงการลบบางส่วนหัวของเว็บไซต์ยอดนิยมอย่าง TikTok และ Youtube เพื่อฉีดโฆษณาเว็บไซต์การพนันเข้ามาแทน อยากแนะนำให้ผู้ใช้ Chrome ตรวจสอบสิทธิ์ของส่วนเสริมอย่างสม่ำเสมอโดยเข้าที่เมนูจัดการส่วนเสริม แล้วดูสิทธิ์ที่ขอใช้งานว่ามากเกินควรหรือไม่ และถ้าไม่แน่ใจอย่ากดอนุญาต นอกจากนี้ การติดตั้งโปรแกรมแอนตี้มัลแวร์ และเปิดใช้งานการอัปเดตเบราว์เซอร์กับส่วนเสริมเป็นเวอร์ชันล่าสุดเสมอ จะช่วยลดความเสี่ยง สำหรับใครที่ใช้ Telegram ผ่านเว็บแล้วมีส่วนเสริมที่บอกว่าสามารถจัดการหลายบัญชีได้ ควรระวังเป็นพิเศษ เพราะมัลแวร์กลุ่มนี้ใช้วิธีขโมย token ยืนยันตัวตน ส่งกลับไปให้แฮกเกอร์พร้อมกับปรับเปลี่ยน session ของผู้ใช้งานได้ด้วย ท้ายที่สุด การรับรู้และเรียนรู้เกี่ยวกับภัยคุกคามเหล่านี้ รวมถึงเตรียมรับมือด้วยการตั้งค่าความปลอดภัยที่เหมาะสม จะช่วยปกป้องข้อมูลส่วนตัวของเราไม่ให้รั่วไหลไปสู่มือผู้ไม่หวังดี ส่วนนี้เป็นบทเรียนให้เราต้องไม่ประมาทในการใช้เทคโนโลยีดิจิทัลในปัจจุบัน
