สรุปสั้น
บริษัท Group-IB บริษัทด้านความมั่นคงปลอดภัยไซเบอร์เปิดเผยมัลแวร์ขโมยข้อมูล (Infostealer) ตัวใหม่บนระบบปฏิบัติการ macOS ชื่อ ClickLock ที่ออกแบบมาเพื่อรับมือกับเหยื่อที่ปฏิเสธไม่ยอมกรอกรหัสผ่านโดยเฉพาะ กลไกทำงานคือมัลแวร์จะมาในรูปของคำสั่งที่หลอกให้เหยื่อคัดลอกไปวาง (Paste) ลงในโปรแกรมเทอร์มินัล (Terminal) ตามเทคนิคหลอกลวงแบบ ClickFix จากนั้นจะแสดงกล่องข้อความปลอมเลียนแบบหน้าต่างระบบเพื่อขอรหัสผ่าน หากเหยื่อกดยกเลิก มัลแวร์จะติดตั้งไฟล์ตั้งเวลาเริ่มทำงาน (LaunchAgent) สองตัวแล้วปิดตัวเองอย่างเงียบ ๆ ทำให้เมื่อเหยื่อเข้าสู่ระบบครั้งถัดไป โปรแกรมสำคัญอย่าง Finder, Dock, Spotlight, Terminal, Activity Monitor และเบราว์เซอร์หลักจะถูกสั่งปิดวนซ้ำทุก 210 มิลลิวินาทีต่อเนื่องได้นานถึง 83 ชั่วโมง เหลือไว้เพียงกล่องกรอกรหัสผ่านบนหน้าจอที่แทบใช้งานอะไรไม่ได้ เป็นการบีบบังคับให้เหยื่อยอมพิมพ์รหัสในที่สุด
เมื่อเหยื่อพิมพ์รหัสผ่านลงไป เครื่องจะยอมมอบพวงกุญแจ Keychain, ข้อมูลรับรองของเบราว์เซอร์ และกระเป๋าเงินคริปโต (Crypto Wallet) ให้แก่คนร้ายทั้งหมด บริษัท Group-IB ระบุจากข้อมูลตรวจวัด (Telemetry) ว่าพบเป้าหมายอย่างน้อย 100 รายใน 33 ประเทศนับตั้งแต่เดือนพฤษภาคม โดยกว่าครึ่งอยู่ในทวีปยุโรป และประเมินว่ามัลแวร์ยังอยู่ระหว่างการพัฒนา ที่น่ากังวลคือเมื่อถูกส่งขึ้นตรวจบน VirusTotal เมื่อวันที่ 9 มิถุนายน สคริปต์ควบคุมหลักกลับไม่ถูกตรวจจับเลยแม้แต่รายเดียว
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 16 กรกฎาคม พ.ศ. 2569 ว่านักวิเคราะห์ของบริษัท Group-IB ได้เปิดโปงมัลแวร์ขโมยข้อมูลบน macOS ตัวใหม่ชื่อ ClickLock ซึ่งมีจุดเด่นที่การใช้กลวิธีบีบบังคับเหยื่ออย่างก้าวร้าวผิดปกติ แทนที่จะพึ่งพาการหลอกลวงเพียงอย่างเดียว โดยมัลแวร์ตัวนี้ใช้เทคนิคส่งต่อแบบ ClickFix เป็นหน้าด่านแรก ซึ่งบริษัท Group-IB ประเมินด้วยความมั่นใจสูงแม้จะยังไม่เคยเห็นหน้าเพจล่อลวงจริงก็ตาม สคริปต์จะรับค่า RAY_ID เป็นอาร์กิวเมนต์แรกและเปิดฉากด้วยแบนเนอร์ CAPTCHA ปลอมเลียนแบบ Cloudflare พร้อมแถบความคืบหน้าที่วนแสดงข้อความสถานะ 12 บรรทัดภายใน 10 วินาที ทั้งหมดนี้ไม่ได้ทำงานจริง แต่มีไว้เพียงเพื่อสร้างความมั่นใจให้กับผู้ที่เพิ่งวางคำสั่งลงในเทอร์มินัล
เบื้องหลังนั้น สคริปต์ชื่อ script.sh จะปิดการขัดจังหวะจากแป้นพิมพ์ ซ่อนเคอร์เซอร์ และดึงเพย์โหลด (Payload) สี่ชิ้นจากเว็บไซต์ที่ถูกเจาะสองแห่ง โดยสองชิ้นถูกป้อนตรงเข้าสู่ bash และอีกสองชิ้นถูกวางไว้ในโฟลเดอร์ซ่อน $HOME/.cacheb/ ส่วนการขอรหัสผ่านแบบนุ่มนวลจะทำผ่านกล่องข้อความ osascript ที่สวมไอคอน Apple ที่ดาวน์โหลดมาและแสดงชื่อผู้ใช้จริงของเหยื่อ รหัสที่พิมพ์เข้ามาจะถูกตรวจสอบกับ dscl /Local/Default -authonly ก่อน เพื่อให้แน่ใจว่าส่งเฉพาะรหัสผ่านที่ใช้งานได้จริงกลับไปเท่านั้น ซึ่งเทคนิคการตรวจสอบด้วย dscl นี้เคยถูกบันทึกโดยบริษัท Microsoft มาแล้วในมัลแวร์ SHub Stealer เมื่อเดือนพฤษภาคม พร้อมกับตระกูล AMOS และ MacSync ในคลื่นแคมเปญ ClickFix บน macOS ระลอกเดียวกัน
วิธีการโจมตี
หัวใจของ ClickLock คือกลไกบีบบังคับที่ทำงานเมื่อเหยื่อกดยกเลิกกล่องข้อความแรก สคริปต์จะวางไฟล์ com.authirity.plist และ com.chromer.plist ลงในโฟลเดอร์ ~/Library/LaunchAgents/ แล้วออกจากการทำงาน ไฟล์แรกจะจุดชนวนวงจรปิดแอปทุก 210 มิลลิวินาทีจนกว่าจะได้รหัสผ่าน ส่วนไฟล์ที่สองจะเปิดวงจรปิดแอปของตัวเองที่ช่วง 0.2 วินาทีต่อเนื่องได้นานถึง 3,000,000 วินาที หรือราว 34.7 วัน ในขณะที่กระบวนการเบื้องหลังจะสอบถาม Keychain เพื่อขอกุญแจ Safe Storage ของ Chrome ทุกครึ่งวินาที การสอบถามนี้จะทำให้เกิดหน้าต่างแจ้งเตือนจริงของ macOS ขึ้นมา และวงจรจะจับหน้าจอเป็นตัวประกันไว้จนกว่าเหยื่อจะกดอนุมัติ ทั้ง Activity Monitor และ Terminal ต่างอยู่ในรายชื่อแอปที่ถูกสั่งปิดทั้งสองวง ขณะที่วงจรที่สามจะปิด NotificationCenter นานหกชั่วโมงเพื่อไม่ให้คำเตือนของ Gatekeeper แสดงผลขึ้นมาได้
เมื่อการทำงานสำเร็จครบวงจร คนร้ายจะได้รหัสผ่านล็อกอิน macOS ที่ผ่านการตรวจสอบแล้ว กุญแจเข้ารหัส AES ของ Chrome Safe Storage และไฟล์ ZIP ที่บรรจุข้อมูลรับรองและคุกกี้ของเบราว์เซอร์ ข้อมูลส่วนขยายกระเป๋าคริปโต ไฟล์กระเป๋าเงินบนเดสก์ท็อป คลังรหัสผ่านของโปรแกรมจัดการรหัสผ่าน พวงกุญแจ Keychain ประวัติคำสั่ง shell และข้อมูลรับรองเซิร์ฟเวอร์ที่บันทึกไว้ใน FileZilla กุญแจ Safe Storage คือชิ้นที่อันตรายที่สุดเพราะใช้เข้ารหัสรหัสผ่านและคุกกี้ของ Chrome บนดิสก์ ทำให้คนร้ายสามารถถอดรหัสไฟล์ Login Data และ Cookies แบบออฟไลน์บนเครื่องของตนเองเมื่อใดก็ได้
ส่วนแบ็กดอร์ (Backdoor) ที่ชื่อ goyim นั้นเป็นสำเนาราว 80 เปอร์เซ็นต์ของสคริปต์ติดตั้งสาธารณะของ GSocket ซึ่งเป็นชุดเครื่องมือสร้างอุโมงค์เชื่อมต่อ (Tunneling) แบบโอเพนซอร์สจากกลุ่ม The Hacker’s Choice โดยส่วนประกอบ gs-netcat ถูกออกแบบมาเป็นแบ็กดอร์ย้อนกลับที่เข้ารหัสและไม่ต้องมีเซิร์ฟเวอร์ควบคุม (C2) ของตัวเอง แต่อาศัยตัวส่งต่อ (Relay) แทน บริษัท Group-IB สืบพบว่าสำเนานี้เชื่อมต่อไปยัง relay ของคนร้ายที่ gsnc[.]eu:67 บนเครื่อง macOS ไฟล์ไบนารีจะปรากฏในชื่อ iCloud ใน ~/Library/Application Support/iCloudsync และกระบวนการจะทำงานในชื่อ SystemUIServerl ซึ่งต่างจากชื่อจริงเพียงตัวอักษรเดียว โดยข้อมูลที่ขโมยได้จะถูกส่งออกผ่านบอต Telegram สามตัว และบริษัท Group-IB ไม่พบโครงสร้างเซิร์ฟเวอร์ควบคุมเฉพาะแต่อย่างใด
ผลกระทบต่อไทย
แม้เป้าหมายที่บริษัท Group-IB ตรวจพบส่วนใหญ่จะกระจุกตัวอยู่ในทวีปยุโรป แต่กลไกการแพร่กระจายแบบ ClickFix ที่หลอกให้เหยื่อคัดลอกคำสั่งไปวางในเทอร์มินัลนั้นไม่จำกัดพรมแดนและกำลังเป็นเทคนิคยอดนิยมที่ใช้โจมตีผู้ใช้ทั่วโลก ผู้ใช้ Mac ในประเทศไทย โดยเฉพาะกลุ่มนักพัฒนา นักออกแบบ ผู้บริหาร และผู้ที่ถือครองสินทรัพย์คริปโตซึ่งนิยมใช้เครื่อง Mac จึงตกอยู่ในความเสี่ยงเช่นเดียวกัน เนื่องจากมัลแวร์พุ่งเป้าขโมยกระเป๋าคริปโต รหัสผ่านเบราว์เซอร์ และพวงกุญแจ Keychain ที่มักเก็บข้อมูลสำคัญขององค์กรไว้ ความเข้าใจผิดที่ว่าเครื่อง Mac ปลอดภัยจากมัลแวร์ยังทำให้ผู้ใช้จำนวนมากละเลยการป้องกัน และกลวิธีบีบบังคับด้วยการปิดแอปวนซ้ำก็อาจทำให้เหยื่อที่ตื่นตระหนกยอมพิมพ์รหัสผ่านได้ง่ายขึ้น
คำแนะนำ
หากเครื่อง Mac เริ่มปิดแอปของตัวเองซ้ำ ๆ และเหลือกล่องกรอกรหัสผ่านค้างบนหน้าจอ ห้ามพิมพ์รหัสผ่านเด็ดขาด เพราะไม่มีหน้ายืนยันตัวตนใดต้องการให้กรอกรหัสผ่านผ่านเทอร์มินัล และการตรวจสอบของ Cloudflare ทำงานในเบราว์เซอร์เท่านั้น บริษัท Group-IB แนะนำให้กดปุ่มเปิดปิดเครื่องค้างไว้จนกว่าเครื่องจะดับ แล้วบูตเข้าสู่ Safe Mode โดยบนเครื่องชิป Apple silicon ให้กดปุ่มเปิดปิดค้างจนขึ้นข้อความ “Loading startup options” เลือกวอลุ่ม จากนั้นกด Shift ค้างแล้วคลิก Continue in Safe Mode ผู้ที่เผลอรันสคริปต์นี้ไปแล้วควรเพิกถอนเซสชันเบราว์เซอร์ที่ยังทำงานอยู่ทั้งหมด และถือว่ารหัสผ่าน คุกกี้ และกุญแจกระเป๋าคริปโตทุกตัวที่บันทึกไว้รั่วไหลไปแล้ว ให้เปลี่ยนทันที ที่สำคัญคือแบ็กดอร์ goyim จะไม่ลบตัวเองแม้เหยื่อจะผ่านวงจรบีบบังคับไปแล้ว จึงต้องตรวจหาและกำจัดไฟล์ที่ทำงานในชื่อ SystemUIServerl จาก ~/Library/Application Support/iCloudsync ด้วย นอกจากนี้ผู้ใช้ควรอัปเดต macOS ให้เป็นรุ่น 26.4 ขึ้นไปเพื่อรับมาตรการเตือนเมื่อ Terminal ตรวจพบพฤติกรรมการวางที่น่าสงสัย
Indicators of Compromise (IoCs)
หมายเหตุ: ตัวบ่งชี้บางรายการถูกทำ defang (ใส่วงเล็บคั่น) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ
| ประเภท | ตัวบ่งชี้ | รายละเอียด |
|---|---|---|
| Relay (C2) | gsnc[.]eu:67 | ตัวส่งต่อของแบ็กดอร์ goyim (GSocket/gs-netcat) |
| ไฟล์ LaunchAgent | com.authirity.plist | วงจรปิดแอปทุก 210 มิลลิวินาที |
| ไฟล์ LaunchAgent | com.chromer.plist | วงจรปิดแอป + ดึงกุญแจ Chrome Safe Storage |
| Path ติดตั้ง | ~/Library/Application Support/iCloudsync | ที่อยู่ไฟล์ไบนารีแบ็กดอร์ (ชื่อ iCloud) |
| ชื่อกระบวนการ | SystemUIServerl | ปลอมชื่อกระบวนการจริง ต่างกันหนึ่งตัวอักษร |
| โฟลเดอร์ซ่อน | $HOME/.cacheb/ | ที่พักเพย์โหลดที่ดาวน์โหลดมา |