ระวังมัลแวร์ macOS ตัวใหม่ Gaslight
ระวังมัลแวร์ macOS ตัวใหม่ Gaslight ใช้การโจมตีแบบ Prompt Injection หลอก AI บนเครื่อง
จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบมัลแวร์ตัวใหม่ที่มุ่งโจมตีกลุ่มผู้ใช้งานระบบปฏิบัติการ macOS โดยเฉพาะ ซึ่งทางทีมวิจัยจาก SentinelOne บริษัทผู้เชี่ยวชาญด้านการพัฒนาโซลูชันสำหรับการป้องกันภัยไซเบอร์ กล่าวว่ามัลแวร์ดังกล่าวนั้นถูกตั้งชื่อว่า Gaslight จากพฤติกรรมหลอกลวงระบบของมัน โดยตัวมัลแวร์นั้นถูกออกแบบมาเพื่อหลอกลวงระบบวิเคราะห์แบบปัญญาประดิษฐ์ หรือ AI (Aritificial Intelligence) ในรูปแบบโมเดล LLM (Large Language Model หรือ โมเดลภาษาขนาดใหญ่)บนระบบปฏิบัติ macOS ซึ่งภายในตัวมัลแวร์ Gaslight จะมีการฝังคำสั่งแบบ Prompt ที่หลอกลวงว่าเป็นข้อความแจ้งเตือนระบบทำงานผิดพลาดมากกว่า 38 รูปแบบ เพื่อใช้ในการสร้างความสับสนในกลไกการตรวจสอบให้กับตัวโมเดล AI จนทำงานผิดพลาดแล้วปฏิเสธการวิเคราะห์ไฟล์มัลแวร์ในท้ายที่สุด โดยมัลแวร์ตัวนี้จะใช้เป็นตัวกลางเพื่อนำไปสู่ปล่อยมัลแวร์ประเภทขโมยข้อมูล หรือ Infostealer ลงมาบนเครื่องของเหยื่อ โดยจากการตรวจสอบโค้ดของตัวมัลแวร์นั้น ทางทีมวิจัยพบเครื่องหมายแสดงอารมณ์ หรือ Emoji จำนวนมากในส่วนของคอมเมนต์ (Comment) บน Header ของตัวโค้ด แสดงให้เห็นว่ามัลแวร์ตัวนี้ก็ได้ถูกสร้างขึ้นจาก AI แบบ LLM เช่นเดียวกัน
จากการตรวจสอบเชิงลึกของทีมวิจัยนั้นพบว่า สถาปัตยกรรมหลักของมัลแวร์ดังกล่าวนั้นคือ API ที่ใช้ติดต่อกับบอท (Bot) บนแพลตฟอร์มแชทยอดนิยม Telegram ที่ทำหน้าที่เป็นเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ซึ่งจะเข้าสู่ระบบตรวจสอบแบบ Polling Loop เพื่อเข้าใช้งานตัวกลางในการส่งคำสั่งอย่าง Interactive Shell และตรวจสอบผลของการใช้คำสั่งต่าง ๆ ของมัลแวร์ได้ ซึ่งคำสั่งนั้นจะมี 6 อย่าง ดังนี้
help, เปิดใช้งานตัวช่วย (Help)
id, ใช้ตรวจสอบหมายเลขระบุตัวมัลแวร์ที่อยู่บนเครื่องของเหยื่อ
shell, ใช้รันคำสั่งแบบ Shell ผ่าน execvp
kill, ใช้ในการฆ่า Process ผ่านทาง PID
upload, ใช้ในการลักลอบส่งออกไฟล์ (Exfiltrate) ผ่านกลไก "attach://" ของบริการแชท Telegram
stop, ใช้ระงับการทำงานของมัลแวร์
ทางทีมวิจัยได้กล่าวว่ายังมีการตรวจพบคำสั่งที่คาดว่าจะเป็นคำสั่งตัวที่ 7 ในชื่อคำสั่งว่า "focus" อีกด้วย แต่ยังไม่สามารถยืนยันได้ว่าฟังก์ชันการใช้งานของตัวคำสั่งนี้เป็นอย่างไร และสำหรับวิธีการสร้างความคงทนของมัลแวร์บนระบบ (Persistence) ตัวมัลแวร์จะทำการดัดแปลง LaunchAgent ด้วยการเพิ่ม "com.apple.system.services.activity" ลงไปในไฟล์ .pist
ภายในตัวมัลแวร์ยังได้มีการฝังมัลแวร์แบบ Infostealer ซึ่งถูกเข้ารหัส (Encoding) แบบ Base-64 ไว้ในไฟล์สคริปท์ Python ขนาด 6.6 KB ซึ่งตัวมัลแวร์ตัวนี้มีความสามารถในการขโมยข้อมูลมากมาย ไม่ว่าจะเป็น ข้อมูลของระบบ อย่างเช่นข้อมูลของฮาร์ดแวร์ และ ซอฟต์แวร์ ในเครื่อง, รายชื่อซอฟต์แวร์ที่ถูกติดตั้งไว้, ข้อมูลประวัติการใช้งานคำสั่งบน Terminal, ข้อมูลจากฐานข้อมูล (Database) Keychain, ข้อมูลจากเว็บเบราว์เซอร์จำนวนมาก เช่น Chrome, Brave, Firefox, และ Safari เป็นต้น โดยข้อมูลที่ถูกขโมยได้นั้นจะถูกบีบอัดเป็นไฟล์ในรูปแบบไฟล์ Zip ("temp/collected_data.zip") แล้วส่งข้อมูลไปยังบอท Telegram
จากประสบการณ์การใช้งาน macOS ผมเคยได้ยินข่าวเกี่ยวกับมัลแวร์ที่ใช้งานแบบใหม่ ๆ แต่ Gaslight ถือเป็นกรณีที่น่าสนใจเพราะมันใช้ข้อได้เปรียบของ AI ที่ฝังในระบบมาหลอกลวงโดยตรง เทคนิคที่เรียกว่า Prompt Injection ทำให้โมเดล AI ของ macOS สับสนและไม่สามารถวิเคราะห์มัลแวร์ได้อย่างถูกต้อง ซึ่งเป็นช่องโหว่ที่ผู้ร้ายไซเบอร์ใช้ประโยชน์ได้อย่างชาญฉลาด พฤติกรรมของ Gaslight ที่ใช้ Telegram เป็น Command and Control (C2) ทำให้มันมีความสามารถในการรับคำสั่งและส่งข้อมูลกลับไปอย่างลับ ๆ ผ่านช่องทางที่แพร่หลายและตรวจสอบได้ยาก เช่น คำสั่งช่วยเหลือ, ตรวจสอบหมายเลขมัลแวร์, รันคำสั่งผ่าน shell, ฆ่าโปรเซส, อัปโหลดข้อมูล และคำสั่งหยุดการทำงาน ซึ่งก็แสดงให้เห็นว่ามัลแวร์นี้มีระบบควบคุมที่ซับซ้อนพอสมควร ผมลองสังเกตว่ามัลแวร์ฝัง Infostealer ที่เข้ารหัสด้วย Base-64 ในไฟล์ Python ที่มีขนาดเล็กแค่ 6.6 KB โดยมันสามารถดึงข้อมูลส่วนตัวจากระบบเช่น ฮาร์ดแวร์, ซอฟต์แวร์, ประวัติคำสั่ง Terminal, Keychain และข้อมูลจากเบราว์เซอร์ยอดนิยมอย่าง Chrome, Brave, Firefox และ Safari ด้วยวิธีการบีบอัดเป็นไฟล์ Zip ก่อนส่งผ่าน Telegram ซึ่งนี่เป็นการละเมิดความเป็นส่วนตัวอย่างรุนแรง ทางที่ดีที่สุดสำหรับผู้ใช้ macOS คือควรอัปเดตระบบและซอฟต์แวร์ป้องกันไวรัสอย่างสม่ำเสมอ และระวังการใช้งานโปรแกรมที่ไม่น่าไว้ใจ รวมถึงการสังเกตพฤติกรรมผิดปกติ เช่น เครื่องทำงานช้าหรือแปลก ๆ นอกจากนี้ ควรตรวจสอบการตั้งค่า LaunchAgent ที่อาจถูกแก้ไขและมีไฟล์ .plist ที่ผิดปกติ เพื่อป้องกันไม่ให้มัลแวร์สร้างความคงทนบนเครื่อง เทคนิคที่ Gaslight ใช้แสดงให้เห็นว่าวิธีการโจมตีโดยใช้ AI มาปรับแผนอีกขั้น ตอนนี้ผู้ใช้งาน macOS ควรตระหนักถึงภัยไซเบอร์ในรูปแบบใหม่ ๆ หมั่นติดตามข่าวสารและพูดคุยแลกเปลี่ยนข้อมูลกับผู้เชี่ยวชาญ เพื่อเป็นเกราะป้องกันตัวเองจากการโจมตีแบบนี้ในอนาคตได้ดีขึ้น
