สรุปสั้น

นักวิจัยจากบริษัท JUMPSEC เปิดเผยว่า กลุ่มแฮ็กเกอร์เกาหลีเหนือ BlueNoroff (มีชื่อในระบบจัดกลุ่มว่า Sapphire Sleet) ซึ่งอยู่เบื้องหลังแคมเปญสไตล์ ClickFix ที่ใช้โดเมน Zoom และ Microsoft Teams ปลอม ได้เปิดใช้ชุดฟิชชิง (phishing kit) ที่ยังทำงานอยู่เพื่อปลอมตัวเป็นแพลตฟอร์มประชุมทางวิดีโอในแคมเปญวิศวกรรมสังคมที่ออกแบบมาส่งมัลแวร์ บริษัท JUMPSEC อธิบายว่า BlueNoroff ได้เปลี่ยนการฉวยความไว้วางใจให้กลายเป็นกระบวนการทำงานจริง โดยผสมการใช้ผู้ติดต่อในวงการที่ถูกยึดบัญชี วิศวกรรมสังคม การลาดตระเวนกระเป๋าเงินคริปโต และการส่งมัลแวร์เข้าด้วยกันเป็นสายพานหาเหยื่อที่ทำซ้ำได้ จุดเด่นคือแพลตฟอร์มนี้จะสแกนโปรไฟล์กระเป๋าเงินคริปโตของเหยื่อก่อนส่งมัลแวร์ ทำให้คัดเลือกโจมตีเฉพาะเหยื่อมูลค่าสูงได้

แคมเปญนี้เป็นแพลตฟอร์มหาเหยื่อที่ขับเคลื่อนโดยผู้ควบคุม (operator) โดยใช้บัญชีของผู้ติดต่อที่น่าเชื่อถือซึ่งถูกยึดเป็นช่องทางเข้าถึงเริ่มต้น สร้างเป็นสายการโจมตีที่แพร่ตัวเองผ่าน Telegram รายละเอียดถูกบันทึกมาตั้งแต่ต้นปี 2568 โดยบริษัท Sekoia ติดตามคลัสเตอร์ที่เกี่ยวข้องอีกกลุ่มภายใต้ชื่อ ClickFake Interview จากการใช้เหยื่อล่อแบบ ClickFix หลอกให้เป้าหมายรันคำสั่งอันตรายโดยอ้างว่าเป็นการแก้ปัญหากล้องหรือเสียง ซึ่งสะท้อนว่ากลวิธีนี้ถูกพัฒนาต่อเนื่องและมุ่งเป้าคนในวงการคริปโตโดยเฉพาะ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กรกฎาคม พ.ศ. 2569 ว่า ตามข้อมูลของบริษัท JUMPSEC ลิงก์ล่อจะถูกส่งจากบัญชีที่เป้าหมายไว้วางใจอยู่แล้วและเคยพบตัวจริง โดยผู้โจมตีจะยึดบัญชี Telegram ที่ถูกต้องของบุคคลในวงการคริปโตเพื่อส่งข้อความหาพนักงานระดับสูงของบริษัทใหญ่ พร้อมแชร์ลิงก์นัดประชุม Calendly ทุกเหยื่อที่รันเพย์โหลดขณะเปิด Telegram Web หรือมี Telegram Desktop ติดตั้งอยู่ จะกลายเป็นเป้าให้เซสชัน Telegram ถูกขโมยและนำไปใช้โจมตีผู้ติดต่อของตัวเองต่อ ทำให้การยึดบัญชีหนึ่งป้อนไปสู่บัญชีถัดไปเป็นวงจร

ลิงก์ Calendly จะพาเหยื่อไปยังสิ่งที่ดูเหมือน URL การประชุม Zoom แต่แท้จริงเป็นโดเมนปลอมที่เลียนแบบบริการประชุม เมื่อเหยื่อเข้าหน้าฟิชชิงจะถูกขอให้กรอกชื่อและอนุญาตให้เข้าถึงเว็บแคม แต่เมื่อให้สิทธิ์แล้ว สตรีมเว็บแคมจะถูกส่งไปยังแผงควบคุมของผู้โจมตีอย่างเงียบ ๆ ผ่าน mediasoup WebRTC ในขั้นสุดท้ายหลังเหยื่อเข้าห้องประชุม จะเห็นหน้าที่ดูเหมือนอยู่ในสาย Zoom คนเดียวพร้อมข้อความ “waiting for other participants” ซึ่งเป็นการปูทางไปสู่เฟสถัดไป โดยผู้ควบคุมจะใช้แผงควบคุมสั่งส่งข้อความปลอมว่า “ไมค์ของคุณไม่ทำงาน” และกระตุ้น “Zoom SDK Update” จนนำไปสู่เพย์โหลด ClickFix

พร้อมกันนั้น ชุดเครื่องมือจะรันขั้นตอนเก็บลายนิ้วมือ (fingerprinting) บนเว็บเบราว์เซอร์เพื่อสำรวจกระเป๋าเงินคริปโตที่ติดตั้งอยู่ จุดที่แยบยลคือวิดีโอที่เหยื่อเห็นไม่ใช่สตรีมสด แต่เป็นวิดีโอที่ตัดต่อไว้ล่วงหน้าซึ่งใช้ใบหน้าที่สร้างจาก AI ด้วย OpenAI ChatGPT ซ้อนทับกับการเคลื่อนไหวร่างกายจริงที่จับภาพจากการประชุมครั้งก่อน ทำให้แต่ละการโจมตีที่สำเร็จป้อนวัตถุดิบให้ภาพตัดต่อที่ใช้กับเหยื่อรายถัดไป เมื่อรวมกับวิธียึดบัญชี Telegram ทำให้การประชุมปลอมแสดงใบหน้าที่ดูคุ้นเคยและน่าเชื่อถือ

วิธีการโจมตี

บริษัท JUMPSEC จับภาพเหยื่อล่อได้ 2 รูปแบบ แยกสำหรับ Zoom และ Microsoft Teams โดยรุ่น Teams ถูกประเมินว่าประณีตกว่ารุ่น Zoom รองรับ emoji reaction บล็อกอุปกรณ์มือถือ/แท็บเล็ต และมีการตรวจสอบกระเป๋าเงินขั้นสูงกว่าก่อนส่งมัลแวร์ สายการโจมตี ClickFix ทำงานได้ทั้ง Windows และ macOS

สำหรับ Windows คำสั่ง ClickFix จะรัน PowerShell loader ที่ดาวน์โหลดและรัน VBScript ปิด Microsoft Defender เพิ่มโฟลเดอร์ “C:\Users” เข้ารายการยกเว้น (exclusion) แล้วบังคับรีสตาร์ต Defender ให้ยกเว้นมีผล จากนั้น VBScript implant จะตรวจหาไฟล์ที่เกี่ยวกับ Telegram Web ในโปรไฟล์ของ Google Chrome, Microsoft Edge, Brave และ Mozilla Firefox เพื่อดูว่าเหยื่อมีบัญชี Telegram ที่ใช้งานอยู่หรือไม่ และอาจขโมยคุกกี้เซสชันเพื่อยึดบัญชีไปโจมตีคนอื่นต่อ implant ยังไล่รายการส่วนขยาย (extension) ทั้งใน Chrome, Chrome Beta, Chrome Dev, Chromium, Edge, Brave, Opera, Opera GX, Vivaldi และ Firefox แล้วรายงาน extension ID เทียบกับส่วนขยายกระเป๋าเงินที่รู้จักอย่าง MetaMask เพื่อระบุเหยื่อมูลค่าสูง พร้อมความสามารถส่งเพย์โหลดขั้นถัดไปที่ยังไม่ทราบลักษณะแน่ชัด

สำหรับ macOS คำสั่ง ClickFix จะรัน shell script ที่ดาวน์โหลดตัวติดตั้ง Teams (หรือ Zoom) ปลอม แล้วรันเพย์โหลด stealer หลักเพื่อดึงและส่งข้อมูลอ่อนไหวออก รวมถึง metadata ของระบบและ Google Chrome master key จาก iCloud Keychain ส่งไปยังผู้โจมตีผ่านช่อง Telegram ชื่อ “Aurora” การวิเคราะห์เพิ่มเติมพบว่าฟังก์ชัน exfiltration บน Telegram ฝัง bot token และ chat ID ไว้ในไบนารีของ stealer และการสอบถาม Telegram API ด้วย bot token เชื่อมโยงไปยังผู้ควบคุมที่ใช้ชื่อ “John” (@alchemy_john_mac) ซึ่งเมื่อเดือนพฤษภาคม 2569 ถูกพบว่าถามแอดมินของกลุ่มคริปโต MAIV เรื่องสัญญา vesting และการถอนเงิน นอกจากนี้การตรวจสอบโครงสร้างพื้นฐานยังพบชุดฟิชชิง 5 เวอร์ชันที่แตกต่างกันระหว่าง 31 พฤษภาคมถึง 14 กรกฎาคม 2569 บ่งชี้ถึงการพัฒนาและปรับแต่งอย่างต่อเนื่อง

ผลกระทบต่อไทย

แม้แคมเปญนี้จะเจาะจงผู้บริหารและบุคคลในวงการคริปโต Web3 และ venture capital เป็นหลัก แต่วงการสินทรัพย์ดิจิทัลและสตาร์ตอัพในไทยก็เติบโตขึ้นมาก มีผู้ก่อตั้ง นักลงทุน และพนักงานบริษัทคริปโตจำนวนไม่น้อยที่ใช้ Zoom และ Teams เป็นเครื่องมือประชุมหลัก กลวิธีของ BlueNoroff ที่อาศัยการยึดบัญชี Telegram ของคนรู้จักจริงแล้วส่งลิงก์นัดประชุม ทำให้เหยื่อแทบไม่มีทางระแวง เพราะข้อความมาจากคนที่เคยพบตัวจริง อีกทั้งการใช้ใบหน้า AI ซ้อนกับการเคลื่อนไหวจริงยิ่งเพิ่มความแนบเนียนจนแยกยาก

ที่สำคัญ เป้าหมายสูงสุดคือการขโมยสินทรัพย์คริปโตและยึดบัญชี Telegram เพื่อขยายวงการโจมตี ซึ่งหมายความว่าเหยื่อรายเดียวในไทยที่ถูกยึดบัญชี อาจกลายเป็นสะพานส่งการโจมตีไปยังผู้ติดต่อในวงการทั้งหมด องค์กรและบุคคลที่ถือครองหรือบริหารสินทรัพย์ดิจิทัลจึงควรถือว่าตัวตน ความสัมพันธ์ และช่องทางการสื่อสารเป็นส่วนสำคัญของการป้องกัน ไม่ใช่แค่โครงสร้างพื้นฐานทางเทคนิค

คำแนะนำ

ผู้ที่อยู่ในวงการคริปโตและผู้บริหารควรระมัดระวังลิงก์นัดประชุมที่ส่งมาทาง Telegram แม้จะมาจากคนที่รู้จัก โดยตรวจสอบ URL การประชุมให้ละเอียด เพราะโดเมนปลอมมักใช้ซับโดเมนเลียนแบบ Zoom/Teams อย่างแนบเนียน (เช่น us.zoom.06webin.us) และควรยืนยันผ่านช่องทางอื่นก่อนกดลิงก์หรือให้สิทธิ์เข้าถึงกล้อง สิ่งสำคัญที่สุดคือ ห้ามรันคำสั่งใด ๆ ที่หน้าเว็บหรือ “การอัปเดต SDK” สั่งให้คัดลอกไปวางใน PowerShell หรือ Terminal เด็ดขาด เพราะนี่คือหัวใจของการโจมตีแบบ ClickFix นอกจากนี้ควรเปิดใช้การยืนยันตัวตนหลายปัจจัย (MFA) กับบัญชี Telegram และกระเป๋าเงิน แยกอุปกรณ์ที่ใช้จัดการสินทรัพย์ออกจากการใช้งานทั่วไป และหมั่นตรวจสอบเซสชันที่ล็อกอินอยู่ในบัญชี Telegram เพื่อตัดเซสชันแปลกปลอม

แหล่งอ้างอิง