แฮกเกอร์แอบอ้างแบรนด์นับร้อยบน GitHub
แฮกเกอร์แอบอ้างแบรนด์นับร้อยบน GitHub เพื่อปล่อยมัลแวร์ขโมยข้อมูลเข้าเครื่องเหยื่อ
จากรายงานโดยเว็บไซต์ Help Net Security ได้กล่าวถึงการที่ทางทีมวิจัยจาก Arctic Wolf บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ ได้ตรวจพบแคมเปญในการแพร่กระจายมัลแวร์ประเภทขโมยข้อมูลจากเหยื่อ หรือ Infostealer ผ่านทางการใช้งานคลังดิจิทัล (Repo หรือ Repositories) ของทาง GitHub ด้วยการแอบอ้างแบรนด์ของเครื่อ งมือชื่อดังหลากประเภท ไม่ว่าจะเป็นเครื่องมือด้านความปลอดภัย, กระเป๋าเงินคริปโตเคอร์เรนซี (Crypto Wallet), แอปพลิเคชันด้านการเงิน, และซอฟต์แวร์อีกหลากประเภท มากถึง 292 ตัว ซึ่งมัลแวร์ดังกล่าวนั้นมีความสามารถในการขโมยข้อมูลหลากรูปแบบ ไม่ว่าจะเป็น
ข้อมูลของระบบที่ติดมัลแวร์
ไฟล์ Cookies และรหัสผ่านที่ถูกบันทึกไว้บนเว็บเบราว์เซอร์ต่าง ๆ เช่น Chrome, Edge, Brave, Yandex, Vivaldi, Chromium, Tor, Epic, Opera, Opera GX, และ Firefox
ข้อมูลที่เก็บไว้บนเครื่อง (Local Storage) และข้อมูลการตั้งค่า (Configuration) ที่อยู่ภายในส่วนเสริมของเว็บเบราว์เซอร์ (Extension) โดยเฉพาะอย่างยิ่งส่วนเสริมที่เป็น Crypto Wallet นานาชนิด
Session Token ในการใช้งานแพลตฟอร์ม Steam, Discord, รหัสผ่านใช้แอปพลิเคชันส่งข้อความ Meta Max, และข้อมูลที่อยู่ภายในแอปพลิเคชัน Telegram
ไฟล์ที่อยู่ภายในโฟลเดอร์ Desktop และ Documents ที่มีคำว่า “password,” “passwords,” “seeds,” “keys,” “wallet,” “backup,” และ “recovery”
รหัสผ่านที่ถูกบันทึกอยู่ภายใน Windows Credential Manager
โดยข้อมูลเหล่านี้จะถูกส่งไปยังเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ที่ตั้งอยู่บนหมายเลขไอพี (IP Address) 193.143.1[.]131 ซึ่งถูกโฮสต์อยู่ภายในประเทศรัสเซีย ซึ่งไฟล์ที่ถูกขโมยได้ทั้งหมดนั้นจะมีการสร้างบันทึก (Log) การทำงานภายใต้ชื่อ browser_decryption.log, และ sends.log ขึ้นมา ทำให้ถ้ามีการพบไฟล์ดังกล่าวบนเครื่องก็แปลว่าเครื่องได้ติดมัลแวร์เป็นที่เรียบร้อยแล้ว
ในด้านการตรวจพบซอฟต์แวร์สมอ้างนั้น มาจากการที่ทางทีมวิจัยตรวจพบซอฟต์แวร์ปลอมที่ใช้ชื่อบริษัทของตนเองนั่นคือ Arctic Wolf ซึ่งเมื่อทำการสืบสวนลึกลงไปก็พบว่าแฮกเกอร์ได้ทำการเผยแพร่หน้า Repo แอบอ้างดังกล่าวด้วยวิธีการดันลำดับการค้นหาให้ติดหน้าหนึ่งบนเครื่องมือค้นหา (Search Engine) หรือที่เรียกว่าวิธีการ SEO (Search Engine Optimization) โดยในแต่ละหน้า Repo นั้นจะมีเอกสารคู่มือ หรือ README ที่ภายในนั้นจะมีลิงก์ที่พาเหยื่อไปยังหน้าเพจที่แฮกเกอร์ทำรองรับไว้ โดยจะมีลักษณะโดเมนคือ *.github[.]io ซึ่งแต่ละเพจนั้นจะหลอกล่อให้ดาวน์โหลดไฟล์บีบอัดสกุล .Zip ขนาดใหญ่ ที่ระบบบนหน้าเพจนั้นจะเปลี่ยนชื่อของไฟล์และตัวไฟล์มัลแวร์ (Payload) ทุก ๆ 60 วินาที ซึ่งชุดไฟล์ภายในนั้นจะประกอบด้วย ซอฟต์แวร์ตัวจริง, เครื่องมืออัปเดต WinGUP Updater, และไฟล์มัลแวร์ libcurl.dll ซึ่งเมื่อเหยื่อทำการรันไฟล์ซอฟต์แวร์ขึ้นมา ตัว Updater ก็จะไปทำการรันไฟล์ DLL ของมัลแวร์ นำไปสู่การฝังมัลแวร์ลงเครื่องในท้ายที่สุด
ทางทีมวิจัยไม่มีการตรวจพบว่ามัลแวร์ดังกล่าวได้มีการดัดแปลงกุญแจ Run (Run Key), ตั้งเวลาทำงาน (Task Scheduling), เพิ่มรายชื่อยกเว้นใน Microsoft Defender, หรือกลเม็ดอื่น ๆ เพื่อสร้างความคงทนบนระบบ (Persistence) แต่อย่างไร ทำให้ถูกมองว่าเป็นมัลแวร์ประเภท Smash and Grab หรือ ติดเพื่อเร่งขโมยข้อมูลก่อนที่จะถูกลบเพียงเท่านั้น
จากประสบการณ์ส่วนตัวในการใช้ GitHub และโปรแกรมโอเพนซอร์สต่าง ๆ ฉันเคยเจอเหตุการณ์ที่น่าสงสัยเกี่ยวกับ repo ที่ดูเหมือนจะเป็นของเครื่องมือที่รู้จัก แต่จริง ๆ แล้วเป็นของแฮกเกอร์ที่แอบอ้างแบรนด์ดังต่าง ๆ เพื่อหลอกให้ดาวน์โหลดมัลแวร์ จริง ๆ แล้วแฮกเกอร์พยายามใช้เทคนิค SEO ทำให้ repo เหล่านี้ติดอันดับสูง ๆ บนการค้นหา เพื่อให้ผู้ใช้ทั่วไปเกิดความเชื่อถือและดาวน์โหลดไฟล์ zip ที่ซ่อนมัลแวร์ไว้ เมื่อเปิดใช้งาน ไฟล์ DLL ของมัลแวร์ก็ถูกเปิดทำงาน ทำให้ข้อมูลสำคัญในเครื่อง เช่น รหัสผ่านที่บันทึกในเบราว์เซอร์ หรือ session token ของแอปพลิเคชันต่าง ๆ ถูกขโมยไปได้อย่างง่ายดาย ฉันแนะนำให้ผู้ใช้งาน GitHub ระมัดระวังการดาวน์โหลดซอฟต์แวร์จากแหล่งที่ไม่น่าเชื่อถือ และควรเปิดการใช้งานสองชั้น (Two-Factor Authentication) ในบริการออนไลน์ที่ใช้อยู่เสมอ นอกจากนี้ การตรวจสอบไฟล์ชื่อ browser_decryption.log หรือ sends.log บนเครื่องก็เป็นอีกหนึ่งวิธีช่วยตรวจจับเบื้องต้นว่าเครื่องอาจติดมัลแวร์ประเภทนี้ อีกสิ่งที่ควรระวังคือ แฮกเกอร์ไม่ได้ใช้วิธีการฝังมัลแวร์ถาวรบนระบบ จึงเป็นลักษณะมัลแวร์ที่เน้นขโมยข้อมูลรวดเร็วแล้วลบทิ้ง การอัปเดตซอฟต์แวร์ป้องกันไวรัสและใช้โปรแกรมรักษาความปลอดภัยที่เชื่อถือได้จึงมีความสำคัญอย่างยิ่ง เพื่อป้องกันการโจมตีและลดโอกาสติดมัลแวร์ชนิดนี้ได้อย่างมีประสิทธิภาพ โดยรวมแล้วกรณีนี้สอนให้รู้ว่าการแอบอ้างแบรนด์บนแพลตฟอร์มสาธารณะอย่าง GitHub สามารถเป็นช่องโหว่สำคัญที่แฮกเกอร์ใช้ในการโจมตี ฉะนั้นผู้ใช้งานควรรู้จักวิธีสังเกตและเลือกดาวน์โหลดเฉพาะจากแหล่งที่น่าเชื่อถือเท่านั้น
