ภัยใหม่ macOS มัลแวร์ ClickLock Stealer
ภัยใหม่ macOS มัลแวร์ ClickLock Stealer ที่แค่ Paste เดียวข้อมูลโดนขโมยเกลี้ยงได้
จากรายงานโดยเว็บไซต์อย่างเป็นทางการของผู้พัฒนาเครื่องมือต่อต้านมัลแวร์ชื่อดัง Malwarebytes ได้กล่าวถึงการตรวจพบมัลแวร์ประเภทขโมยข้อมูลจากระบบของเหยื่อ หรือ Infostealer ตัวใหม่ ชื่อ ClickLock Stealer ที่มุ่งเน้นการโจมตีกลุ่มผู้ใช้งานระบบปฏิบัติการ macOS โดยเฉพาะ ซึ่งมัลแวร์ตัวนี้ถูกตรวจพบโดยทีมวิจัยจากบริษัท Group-IB บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์จากประเทศสิงคโปร์ ซึ่งทางทีมวิจัยพบว่าแฮกเกอร์นั้นจะเริ่มต้นจากการหลอกเหยื่อด้วยวิธีการ Phishing ให้เหยื่อเข้ามายังเว็บไซต์ปลอม ซึ่งตัวเว็บไซต์ปลอมนั้นจะพาเหยื่อไปยังหน้าจอการยืนยันตัวตน (Verification) ปลอม หลอกให้เหยื่อเปิดแอปพลิเคชัน Terminal และวางโค้ดที่ปรากฏอยู่บนหน้าจอ ซึ่งวิธีการนี้นั้นเป็นวิธีที่เรียกว่าการทำ ClickFix ที่หลอกให้เหยื่อทำตามคำสั่งเพื่อดาวน์โหลดและติดตั้งมัลแวร์ลงบนเครื่องด้วยตนเอง ซึ่งนอกจากการติดตั้งมัลแวร์ขโมยข้อมูลดังกล่าวลงไปแล้ว ยังมีการติดตั้งมัลแวร์แบบเข้าถึงประตูหลังของระบบ หรือ Backdoor ที่มีชื่อว่า GSocket เพื่ออำนวยความสะดวกให้แฮกเกอร์สามารถเข้าถึงระบบได้ตลอดเวลาอีกด้วย
โดยหลังจากที่เหยื่อได้ติดตั้งมัลแวร์ดังกล่าวลงบนเครื่องของเหยื่อเป็นที่เรียบร้อย ตัวมัลแวร์ก็จะเด้งหน้าจอปลอมขึ้นมาเพื่อหลอกให้เหยื่อกรอกรหัสสำหรับการเข้าถึงระบบ (System Password) ด้วยวิธีการบังคับ ซึ่งถ้าเหยื่อปฏิเสธที่จะใส่รหัสผ่านตามที่ขอ ตัวมัลแวร์ก็จะทำการปิดฟังก์ชันสำคัญต่าง ๆ บนระบบ เช่น Finder, Dock, Terminal, Activity Monitor, Console, System Settings, Spotlight, และ เว็บเบราว์เซอร์ต่าง ๆ จนกว่าเหยื่อจะยอมกรอกรหัสผ่าน ซึ่งการปิดระบบสำคัญนั้นจะหมุนวนแบบลูป (Loop) ทุก 210 วินาที ถึง 83 ชั่วโมงจนกว่าเหยื่อจะกรอกรหัสผ่านที่ถูกต้อง โดยถ้าเหยื่อกรอกรหัสผ่านตามที่ขอเสร็จ ระบบต่าง ๆ ก็จะเปิดให้ใช้งาน แต่ลับหลังตัวมัลแวร์จะส่งรหัสผ่านดังกล่าวรวมถึงข้อมูลอื่น ๆ ที่มัลแวร์ขโมยมาก่อนหน้ากลับไปให้แฮกเกอร์บนเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ที่ตั้งอยู่บนบริการแชทชื่อดัง Telegram เพื่อตรวจสอบและใช้งานต่อไป
หลังจากที่มัลแวร์ดังกล่าวขโมยข้อมูลเสร็จเรียบร้อย ตัวมัลแวร์ก็จะทำการลบตัวเองทิ้งเพื่อหลบเลี่ยงการถูกตรวจจับ แต่ตัวมัลแวร์ GSocket นั้นจะไม่ถูกลบไปด้วยเพื่อเปิดช่องให้แฮกเกอร์สามารถกลับมาขโมยข้อมูลด้วยการติดตั้งมัลแวร์ตัวเดิมซ้ำ หรือแอบติดตั้งมัลแวร์อื่น ๆ ลงบนระบบเพื่อจัดการกับเครื่องของเหยื่อแบบตามใจแฮกเกอร์ต่อไป
ประสบการณ์การใช้งานระบบ macOS ในชีวิตประจำวันทำให้ผมเห็นความสำคัญของการรักษาความปลอดภัยข้อมูลส่วนตัวอย่างมาก ในช่วงหลังมานี้ มีข่าวมัลแวร์ใหม่ชื่อ ClickLock Stealer ที่สามารถขโมยข้อมูลได้เพียงแค่ผู้ใช้กด Paste ทำให้ผมเริ่มตระหนักว่าแค่การใช้งานพื้นฐานทั่วไปก็สามารถตกเป็นเหยื่อได้โดยไม่รู้ตัว มัลแวร์นี้มักเริ่มด้วยการส่งลิงก์หลอกให้ผู้ใช้เข้าเว็บไซต์ปลอมผ่านวิธีการ Phishing โดยผู้ใช้จะถูกชักชวนให้เปิด Terminal ใน macOS และรันโค้ดที่ดูเหมือนจะเป็นขั้นตอนยืนยันตัวตน เมื่อโค้ดนี้ถูกรัน เครื่องจะติดตั้งมัลแวร์ ClickLock Stealer พร้อมกับมัลแวร์ backdoor ที่ชื่อ GSocket เพื่อให้แฮกเกอร์สามารถเข้าถึงเครื่องได้ตลอดเวลา สิ่งที่น่ากลัวที่สุดคือหลังติดตั้งมัลแวร์นี้ จะขึ้นหน้าจอปลอมบังคับให้ผู้ใช้กรอกรหัสผ่านระบบ หากผู้ใช้ไม่กรอก มัลแวร์จะปิดฟังก์ชันสำคัญของ macOS เช่น Finder, Dock, Terminal และเว็บเบราว์เซอร์ต่างๆ หมุนวนเป็นลูปทำให้เครื่องใช้งานไม่ได้ ทำให้ต้องยอมกรอกรหัสผ่านไปโดยปริยาย และรหัสผ่านพร้อมข้อมูลอื่นๆ ที่ถูกขโมยจะถูกส่งกลับไปยังเซิร์ฟเวอร์ควบคุมบน Telegram จากประสบการณ์ส่วนตัว ผมแนะนำให้ผู้ใช้ macOS ทุกคนตั้งค่าความปลอดภัยด้วยการเปิดใช้ไฟร์วอลล์ และระบบป้องกันมัลแวร์ที่อัปเดตเสมอ รวมถึงไม่ควรเปิดลิงก์ หรือไฟล์ที่มาจากแหล่งที่ไม่น่าเชื่อถือและไม่พิมพ์คำสั่งใดๆ ที่ได้รับจากคนแปลกหน้าใน Terminal เพราะอาจติดกับดักมัลแวร์ได้ง่าย นอกจากนี้ การสำรองข้อมูล (Backup) อย่างสม่ำเสมอก็เป็นอีกแนวทางหนึ่งที่ช่วยลดความเสียหายในกรณีเครื่องถูกโจมตีได้มากเช่นกัน ผมเองก็เคยเจอสถานการณ์คล้ายๆ กันมาแล้ว ความรู้และการระมัดระวังเป็นเกราะป้องกันที่ดีที่ช่วยรักษาข้อมูลสำคัญให้ปลอดภัยจากภัยคุกคามไซเบอร์ในยุคนี้ได้อย่างมีประสิทธิภาพ
