สรุปสั้น

แคมเปญ social engineering ชื่อ SmartApeSG กลับมาอีกครั้งพร้อมเทคนิค ClickFix เพื่อแอบติดตั้ง Remote Access Trojan (RAT) บนเครื่อง Windows การโจมตีเริ่มจากพาเหยื่อไปยังเว็บไซต์ที่ถูกบุกรุกหรือเว็บอันตราย ซึ่งแสดงหน้า “verification” ปลอมสั่งให้ผู้ใช้รันคำสั่งเพื่อยืนยันตัวตน ClickFix ได้ผลเพราะอาศัยจิตวิทยา เหยื่อเชื่อว่ากำลังทำสิ่งที่จำเป็น เช่น ยืนยันตัวตนหรือแก้ปัญหาทางเทคนิค ขณะที่โปรแกรมป้องกันมัลแวร์แบบดั้งเดิมตรวจจับได้ยาก

จุดที่น่ากังวลเป็นพิเศษ คือ แคมเปญนี้ไม่หยุดที่มัลแวร์ตัวเดียว แต่จะดาวน์โหลดเครื่องมือที่มีความสามารถสูงกว่าเพิ่มในขั้นที่สองหลังได้ที่มั่นแล้ว ClickFix ถูกใช้แพร่หลายขึ้นในปี 2569 และกลายเป็นหนึ่งในช่องทางโจมตีที่อันตรายที่สุดสำหรับผู้ใช้ทั่วไป นักวิจัยเตือนว่า SmartApeSG ปรับตัวต่อเนื่องและมีแนวโน้มเปลี่ยนรูปแบบเพื่อหลบการตรวจจับอีก

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 1 มิถุนายน พ.ศ. 2569 ว่าแคมเปญ SmartApeSG ซึ่งเป็นที่รู้จักในวงการ social engineering กลับมาพร้อมเทคนิค ClickFix เพื่อแอบฝังมัลแวร์ประเภท RAT ลงเครื่อง Windows ของเหยื่อ SmartApeSG มีประวัติยาวนานและปรับวิธีโจมตีอยู่เสมอเพื่อหลบการตรวจจับ คลื่นรอบนี้น่ากังวลเป็นพิเศษเพราะมัลแวร์ไม่หยุดแค่ตัวเดียว แต่จะดึงเครื่องมือที่มีประสิทธิภาพสูงกว่าเข้ามาหลังได้ที่มั่นแล้ว

ห่วงโซ่การติดเชื้อเริ่มเมื่อผู้ใช้เข้าเว็บไซต์ที่ถูกบุกรุกหรือเว็บอันตรายซึ่งแสดงหน้า verification ปลอม หน้านั้นจะสั่งให้ผู้ใช้กด shortcut หรือวางคำสั่งลงใน Run dialog ซึ่งที่จริง คือ การรัน PowerShell script หรือคำสั่งอันตรายด้วยสิทธิ์ของผู้ใช้เอง เหยื่อเข้าใจว่ากำลังแก้ปัญหาหรือยืนยันตัวตน การโจมตีจึงผ่านการตรวจของโปรแกรมป้องกันไวรัสทั่วไปได้ และการกลับมาครั้งนี้แสดงว่าผู้โจมตียังหาวิธีใหม่ ๆ มาหลอกผู้ใช้ทั่วไปอยู่ตลอด

SmartApeSG ClickFix campaign delivers RAT malware on Windows

วิธีการโจมตี

ขั้นตอนการโจมตี:

  1. Initial Lure — ผู้ใช้เข้าถึงเว็บไซต์ที่ถูกบุกรุกหรือเว็บไซต์อันตราย ซึ่งแสดงหน้า verification ปลอม
  2. ClickFix Trick — หน้าเว็บสั่งให้ผู้ใช้กดปุ่ม หรือวางคำสั่งใน Windows Run dialog (Win+R) หรือ PowerShell เพื่อ “ยืนยันตัวตน”
  3. First Stage Payload — script รันและดาวน์โหลด RAT ตัวแรก พร้อมสร้าง persistence บนเครื่อง
  4. Second Stage — RAT ดาวน์โหลดเครื่องมือที่มีความสามารถสูงกว่าเพิ่มเติม เช่น keylogger หรือ infostealer

เทคนิคที่ใช้หลีกเลี่ยงการตรวจจับ:

  • ใช้การกระทำของผู้ใช้เองในการรันโค้ด แทนการใช้ exploit
  • แฝงตัวในบริการและโปรแกรมที่ถูกกฎหมาย
  • ห่วงโซ่การโจมตีหลายขั้นตอนทำให้วิเคราะห์ยาก

เป้าหมาย: ผู้ใช้ Windows ทั่วไปที่ไม่คุ้นเคยกับการโจมตีแบบ social engineering โดยเฉพาะผู้ใช้ตามบ้านและองค์กรขนาดเล็กที่ไม่มีทีม IT ดูแล

ผลกระทบต่อไทย

เทคนิค ClickFix กำลังแพร่หลายมากขึ้นในไทย โดยพบในการโจมตีที่ปลอมเป็นหน้ายืนยัน CAPTCHA ของเว็บไซต์ยอดนิยม รวมถึงหน้าเว็บปลอมที่แอบอ้างเป็นเว็บไซต์ราชการหรือสถาบันการเงิน

ผู้ใช้คอมพิวเตอร์ที่ไม่ได้รับการอบรมด้านความปลอดภัยมีความเสี่ยงสูง เนื่องจากหน้าเว็บปลอมมีความน่าเชื่อถือสูงและขั้นตอนที่สั่งให้ทำดูเหมือนเป็นเรื่องปกติ

องค์กรที่อนุญาตให้พนักงานใช้ browser ส่วนตัวหรือไม่มีการกรอง web traffic มีความเสี่ยงที่ผู้ใช้จะเจอหน้าเว็บประเภทนี้ได้ง่าย

คำแนะนำ

  1. ฝึกอบรมผู้ใช้เรื่อง ClickFix — เน้นว่าเว็บไซต์ที่ถูกต้องจะไม่มีวันขอให้ผู้ใช้วางคำสั่งใน PowerShell หรือ Run dialog เพื่อยืนยันตัวตน
  2. บล็อก PowerShell จากเว็บ browser — กำหนด AppLocker หรือ WDAC policy เพื่อป้องกันไม่ให้ browser spawning กระบวนการ PowerShell
  3. เปิดใช้ Script Block Logging — ช่วยให้ทีม SOC ตรวจสอบคำสั่ง PowerShell ที่รันบนเครื่องได้
  4. ใช้ Web Content Filtering — กรอง URL ที่รู้จักว่าเกี่ยวข้องกับ SmartApeSG และ ClickFix campaigns
  5. อัปเดต Endpoint Protection — ตรวจสอบว่า EDR/antivirus รองรับ behavior-based detection สำหรับ ClickFix-style attacks

แหล่งอ้างอิง