พบมัลแวร์ JSCeal สามารถข้ามการยืนยันตัวตน
พบมัลแวร์ JSCeal สามารถข้ามการยืนยันตัวตนด้วย Google Authenticator ได้ผ่านการใช้ไฟล์ Cookie ที่ขโมยมา
จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบมัลแวร์ JSCeal ซึ่งเป็นมัลแวร์ประเภทขโมยข้อมูล หรือ Infostealer ที่มีความสามารถมากมาย เช่น ขโมยรหัสผ่าน, แทรกแซงการจราจรของข้อมูล (Traffic), และดักสอดแนมเหยื่อ ซึ่งทางทีมวิจัยจาก Check Point บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ระบุ ว่า มัลแวร์ดังกล่าวนั้นถูกคอมไพล์ (Compiled) แบบ V8 JavaScript (JSC) ที่มีการใช้การตีรวนระบบการตรวจจับด้วยเครื่องมือ Javascript-Obfuscator อย่างแน่นหนาผ่านเทคนิคต่าง ๆ มากมาย เช่น RC4-Protected Strings, Control-Flow Flattening, Proxy Functions, และ Operation Wrappers
สำหรับมัลแวร์ตัวนี้ก็ไม่ใช่ตัวใหม่เสียทีเดียว เพราะเวอร์ชันแรกนั้นถูกตรวจพบโดยทีมวิจัยเดียวกันในช่วงเดือนกรกฎาคม ค.ศ. 2025 (พ.ศ. 2568) ซึ่งในเวลานั้นการแพร่กระจายจะเป็นการใช้โฆษณาปลอม หรือ Malvertising ผ่านทางแพลตฟอร์ม Facebook และ Google หลอกให้เหยื่อเข้าเว็บไซต์ซื้อขายคริปโตเคอร์เรนซี (Cryptocurrency) ปลอมแล้วหลอกให้ดาวน์โหลดซอฟต์แวร์ TradingView ปลอมบนเว็บไซต์ (คล้ายคลึงกับโฆษณาสมชาย แซ่ตั้ง ที่โด่งดังในไทย) โดยเมื่อติดตั้งซอฟต์แวร์ปลอมดังกล่าว ก็จะนำไปสู่การรันโค้ด PowerShell เพื่อดาวน์โหลดไฟล์มัลแวร์ (Payload) ในรูปแบบไฟล์ Zip 2 ไฟล์ลงมาจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ซึ่งไฟล์หนึ่งจะเป็นรันไทม์ (Runtime) ชื่อไฟล์ภายในว่า Node.js และอีกไฟล์หนึ่งจะเป็นไฟล์ Payload ของมัลแวร์ตัวจริง
มัลแวร์ตัวนี้มีโมดูล (Module) สำหรับขโมยข้อมูลบนเว็บเบราว์เซอร์ได้หลากหลาย เช่น Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi, และ Cốc Cốc โดยมัลแวร์จะมุ่งเน้นการขโมยไปยังโฟลเดอร์ที่เก็บข้อมูลของผู้ใช้งาน (User Data) เพื่อขโมยไฟล์ Cookies และรหัสผ่าน สำหรับส่วนที่อันตรายที่สุดคือ ตัวมัลแวร์สามารถสร้างเซสชันขึ้นมาใหม่ (Session Reconstruction) ด้วยการใช้ข้อมูลจากไฟล์ Cookie ทำให้เป็น Active Session ที่ใช้งานบัญชี Google ของเหยื่ออยู่โดยไม่ต้องผ่านขั้นตอนการยืนยันตัวตน 2 ชั้นแต่อย่างใด ส่วนอีกโมดูลหนึ่งนั้นจะเป็นโมเดลสำหรับการสอดแนม ซึ่งโมดูลนี้จะมีฟีเจอร์ดักจับการพิมพ์ (Keylogging) และแอบบันทึกภาพหน้าจอ (Screenshot) จากหน้าจอเครื่องของเหยื่อ
จากประสบการณ์ใช้งานอินเทอร์เน็ตที่มีการยืนยันตัวตนสองชั้นด้วย Google Authenticator อยู่เป็นประจำ ทำให้ผมตระหนักถึงความสำคัญของการป้องกันบัญชีอย่างมาก แต่ข่าวสารเกี่ยวกับมัลแวร์ JSCeal ที่สามารถขโมย Cookie และทำ Session Reconstruction เพื่อข้ามการยืนยันตัวตนแบบสองชั้นนี้เป็นเรื่องที่น่ากังวลจริงๆ JSCeal เป็นมัลแวร์ประเภท Infostealer ที่ซ่อนตัวในซอฟต์แวร์ปลอม ซึ่งจะขโมยข้อมูลต่าง ๆ จากเว็บเบราว์เซอร์หลากหลายประเภท เช่น Chrome, Edge, Brave ไปจนถึง Opera GX และ Vivaldi ซึ่งเป็นกลุ่มเบราว์เซอร์ที่ผมใช้งานบ่อย จึงเข้าใจได้ว่าเราแทบไม่มีทางหลีกเลี่ยงถ้ามัลแวร์นี้เข้ามาในเครื่อง โดยมัลแวร์จะเก็บ Cookie จากโฟลเดอร์ข้อมูลผู้ใช้ (User Data) เพื่อนำมาสร้างเซสชันใหม่ที่ทำหน้าที่เหมือนการล็อกอินแล้วโดยไม่ต้องใส่รหัสผ่านหรือรอ 2FA ผมเคยประสบปัญหาที่ต้องใช้รหัสผ่านหลายชั้นจึงรู้ว่าถ้า Cookie ถูกขโมยไปแล้วก็เหมือนกับมีรหัสผ่านในมือของแฮกเกอร์เลย นอกจากนี้ความสามารถดักจับการพิมพ์และแอบบันทึกภาพหน้าจอยังเพิ่มความเสี่ยงมากขึ้นเพราะข้อมูลส่วนตัวและธุรกรรมต่าง ๆ อาจถูกขโมยได้ในทันที สิ่งที่ผมแนะนำคือการปรับพฤติกรรมการใช้งาน เช่น ไม่ดาวน์โหลดโปรแกรมจากแหล่งที่ไม่น่าเชื่อถือ หมั่นอัพเดตระบบปฏิบัติการและแอปพลิเคชันอยู่เสมอ รวมถึงการเปิดใช้งานการแจ้งเตือนเมื่อมีการล็อกอินจากอุปกรณ์ใหม่และใช้วิธีการยืนยันตัวตนหลายชั้นอื่นที่ยากต่อการขโมย Cookie เช่น การใช้ Hardware Token หรือแอปยืนยันตัวตนเพิ่มเติม เพื่อเสริมความปลอดภัยให้กับบัญชีของเรา สุดท้ายผมมองว่าความรู้ความเข้าใจเกี่ยวกับมัลแวร์ที่ซับซ้อนอย่าง JSCeal เป็นสิ่งจำเป็นที่ผู้ใช้ทั่วไปควรมี เพราะการรับรู้ก่อนจะช่วยให้เราสามารถป้องกันตัวเองได้ดีกว่าการรอให้เกิดความเสียหายแล้วค่อยแก้ไข
