สรุปสั้น
นักวิจัยด้านความปลอดภัยจากบริษัท SentinelOne เปิดเผยการค้นพบมัลแวร์ macOS ตัวใหม่ที่ยังไม่เคยมีการบันทึกไว้มาก่อน ตั้งชื่อรหัสว่า Gaslight ซึ่งเขียนด้วยภาษา Rust และทำหน้าที่เป็นทั้ง implant สำหรับฝังตัวบนเครื่องเหยื่อและเป็น information stealer สำหรับขโมยข้อมูล โดยประเมินด้วยความเชื่อมั่นสูงว่าเป็นผลงานของกลุ่มแฮ็กเกอร์ที่เชื่อมโยงกับเกาหลีเหนือ จุดที่ทำให้มัลแวร์ตัวนี้แตกต่างและถูกตั้งชื่อว่า Gaslight คือพฤติกรรมหลอกลวงทางจิตวิทยา เพราะมันฝังชุดข้อความ “system failure” ปลอมไว้ภายในตัวเอง เพื่อทำให้เครื่องมือ AI ที่นักวิเคราะห์มัลแวร์ใช้ช่วยตรวจสอบเกิดความสับสนและล้มเลิกการวิเคราะห์ ซึ่งนาย Phil Stokes นักวิจัยของ SentinelOne อธิบายว่ามัลแวร์ตัวนี้ “โจมตีการรับรู้ของ AI agent มากกว่าจะโจมตี sandbox ที่มันทำงานอยู่”
หัวใจของ Gaslight คือการใช้ Telegram bot API เป็นช่องทางสั่งการและควบคุม (C2) ที่เปิด shell แบบโต้ตอบให้ผู้โจมตีสั่งงานและรับผลลัพธ์กลับมาได้ พร้อมความสามารถขโมยข้อมูลผ่านสคริปต์ Python ที่ฝังมาในรูปแบบ Base64 ซึ่งกวาดเก็บประวัติคำสั่ง Terminal รายการแอปพลิเคชันที่ติดตั้ง ฐานข้อมูล Keychain ของ macOS รวมถึงข้อมูลจากเบราว์เซอร์ Chrome, Brave, Firefox และ Safari แล้วบีบอัดเป็นไฟล์ ZIP ส่งออกผ่าน Telegram สิ่งที่น่ากังวลที่สุดคือเทคนิค prompt injection ที่ฝังข้อความปลอมถึง 38 ข้อความ ซึ่งสะท้อนว่าผู้โจมตีกำลังพยายามใช้ประโยชน์จากการที่องค์กรหันมาใช้ AI ช่วยในกระบวนการ reverse engineering มากขึ้นเรื่อย ๆ มาเป็นช่องทางหลบเลี่ยงการตรวจจับ
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 25 มิถุนายน พ.ศ. 2569 ว่า บริษัท SentinelOne ได้เผยแพร่รายงานทางเทคนิคเกี่ยวกับมัลแวร์ macOS ตัวใหม่ที่เขียนด้วยภาษา Rust ชื่อ Gaslight ซึ่งทำหน้าที่เป็น implant และ information stealer และประเมินด้วยความเชื่อมั่นสูงว่าเป็นฝีมือของกลุ่มภัยคุกคามที่มีความเชื่อมโยงกับเกาหลีเหนือ มัลแวร์ตัวนี้ได้ชื่อมาจากพฤติกรรม “gaslighting” หรือการบิดเบือนการรับรู้ เพราะมันออกแบบมาเพื่อหลอกเครื่องมือ AI ที่นักวิเคราะห์ใช้ในกระบวนการ triage ให้เกิดความสงสัยใน session ของตัวเองและล้มเลิกงานกลางคัน
นาย Phil Stokes นักวิจัยของ SentinelOne ระบุว่าคุณสมบัติที่โดดเด่นที่สุดของ Gaslight คือชุดข้อความ system-failure ปลอมที่ถูกร้อยเรียงต่อกัน ออกแบบมาเพื่อทำให้ LLM-assisted triage agent สงสัยในตัวเอง โดยมัลแวร์ใช้ Telegram bot API เป็นช่องทาง command-and-control ที่เข้าสู่ polling loop ทำให้ผู้ควบคุมสามารถสั่งคำสั่งผ่าน interactive shell และรับผลการทำงานกลับมาได้ ในกรณีที่มี bot token เดียวกันสองอินสแตนซ์ทำการ poll พร้อมกัน ระบบจะตอบกลับด้วยข้อความ “Conflict” ทำให้สำเนาที่สองยุติการทำงานทันที
shell ของ Gaslight รองรับคำสั่งหลัก 6 คำสั่ง ได้แก่ help เพื่อแสดงวิธีใช้คำสั่ง, id เพื่อระบุตัว implant ต่อผู้ควบคุม, shell เพื่อรันคำสั่งผ่าน execvp, kill เพื่อหยุดโปรเซสเป้าหมายด้วย PID, upload เพื่อขโมยไฟล์ออกผ่านกลไก “attach://” ของ Telegram และ stop เพื่อหยุดการทำงานของ implant นอกจากนี้ SentinelOne ยังพบร่องรอยของคำสั่งที่เจ็ดชื่อ “focus” ซึ่งยังไม่สามารถระบุหน้าที่ได้ ส่วนการฝังตัวอย่างถาวร Gaslight ใช้ LaunchAgent ที่ตั้ง label ว่า “com.apple.system.services.activity” เพื่อปลอมตัวเป็นบริการของระบบ
วิธีการโจมตี
ภายในมัลแวร์ยังฝังสคริปต์ Python ขนาด 6.6 KB ที่เข้ารหัสแบบ Base64 ทำหน้าที่เป็นชุดเก็บข้อมูล รับผิดชอบการกวาดเก็บประวัติคำสั่ง Terminal รายการแอปพลิเคชันที่ติดตั้ง snapshot ของโปรเซสที่กำลังทำงาน ข้อมูลฮาร์ดแวร์และซอฟต์แวร์ของระบบ ฐานข้อมูล Keychain ของ macOS รวมถึงข้อมูลจากเบราว์เซอร์ Chrome, Brave, Firefox และ Safari จากนั้นข้อมูลที่เก็บได้จะถูกบีบอัดเป็นไฟล์ ZIP (“temp/collected_data.zip”) และอัปโหลดผ่าน Telegram โดยตัว Python stealer นี้ถูกติดตั้งผ่าน bash installer ขนาด 2 KB ที่เข้ารหัส Base64 ซึ่งจะดึง interpreter cpython-3.10.18 จากโปรเจกต์ “astral-sh/python-build-standalone” มาใช้ และการมีอีโมจิกับ comment header จำนวนมากบ่งชี้ว่าสคริปต์นี้น่าจะถูกสร้างขึ้นด้วย LLM
จุดที่ทำให้ Gaslight ต่างจากมัลแวร์ทั่วไปคือข้อมูลของ bot token, chat ID (tg_room_id) และค่าคอนฟิกของผู้ควบคุมจะไม่ถูก hard-code ไว้ในตัวอย่างมัลแวร์ แต่ถูกป้อนเข้ามาตอน runtime อีกทั้ง implant ยัง self-redact หรือลบ Telegram bot token ของตัวเองออกจาก runtime output เพื่อไม่ให้ใครก็ตามที่เก็บ log หรือ crash artifact ได้นำ token ไปใช้ต่อ และเพื่อหลบเลี่ยงการตรวจจับโดย AI มัลแวร์ได้แทรกบล็อก Markdown ที่มีข้อความ “system” ปลอมถึง 38 ข้อความ เนื้อหาเป็นการแจ้งเตือนปลอมเรื่อง token หมดอายุ การถูกระบบ kill เพราะหน่วยความจำเต็ม disk เต็ม และการทำงานล้มเหลวซ้ำ ๆ พร้อมคำเตือนปลอมเรื่องช่องโหว่ injection และ static-analysis flag ทั้งหมดนี้คือความพยายาม “weaponize” หรือเปลี่ยน pipeline ของ LLM-assisted triage ที่เริ่มเข้ามาอยู่ในกระบวนการ reverse-engineering ให้กลายเป็นอาวุธย้อนกลับ
ผลกระทบต่อไทย
แม้รายงานจะยังไม่ระบุเหยื่อในประเทศไทยโดยตรง แต่ Gaslight สะท้อนแนวโน้มที่สำคัญต่อทีมความปลอดภัยไทยอย่างน้อยสองด้าน ด้านแรกคือกลุ่มแฮ็กเกอร์เกาหลีเหนือมีประวัติพุ่งเป้าโจมตีองค์กรในเอเชียและสายงานคริปโต/การเงินอย่างต่อเนื่อง ทำให้ผู้ใช้ macOS ในไทยโดยเฉพาะนักพัฒนาและผู้บริหารที่ถือข้อมูลสำคัญตกอยู่ในกลุ่มเสี่ยง ด้านที่สองคือเทคนิค prompt injection ที่หลอก AI วิเคราะห์มัลแวร์ ถือเป็นสัญญาณเตือนสำหรับองค์กรไทยที่กำลังนำ AI และ LLM มาช่วยงาน SOC หรือ malware triage ว่าไม่ควรเชื่อผลลัพธ์จาก AI โดยปราศจากการตรวจสอบจากนักวิเคราะห์ที่เป็นมนุษย์ เพราะผู้โจมตีเริ่มออกแบบมัลแวร์มาเล่นงานเครื่องมือเหล่านี้โดยตรงแล้ว
คำแนะนำ
ผู้ดูแลระบบและผู้ใช้ macOS ควรตรวจสอบ LaunchAgent ที่ผิดปกติ โดยเฉพาะไฟล์ .plist ที่ใช้ label ปลอมเลียนแบบระบบ เช่น “com.apple.system.services.activity” และเฝ้าระวังการเชื่อมต่อขาออกไปยัง Telegram bot API ที่ไม่เกี่ยวข้องกับการใช้งานปกติ ควรจำกัดสิทธิ์การเข้าถึง Keychain และข้อมูลเบราว์เซอร์ ติดตั้ง EDR ที่ครอบคลุม macOS และหมั่นตรวจสอบโปรเซส Python หรือ cpython ที่ถูกดรอปลงมาในตำแหน่งผิดปกติ สำหรับทีมที่ใช้ AI ช่วยวิเคราะห์มัลแวร์ ควรกำหนดให้นักวิเคราะห์ที่เป็นมนุษย์ตรวจทานผลลัพธ์เสมอ และระวังเนื้อหา Markdown หรือข้อความ system ที่ฝังอยู่ในตัวอย่างมัลแวร์ซึ่งอาจเป็น prompt injection ที่ออกแบบมาหลอก AI