สรุปสั้น

Google กำลังเตรียมกลไกความปลอดภัยใหม่ใน Chrome ที่จะบล็อกส่วนขยาย (extension) ซึ่งถูกติดตั้งผ่านนโยบายองค์กร (enterprise policy) ไม่ให้เข้าควบคุมหน้า New Tab หรือเปลี่ยนเครื่องมือค้นหาเริ่มต้นของเบราว์เซอร์ โดยกลไกนี้จะทำงานเฉพาะบนเครื่อง Windows และ macOS ที่ไม่ได้อยู่ใต้การบริหารจัดการขององค์กรจริง ๆ ซึ่ง Google เรียกว่าสภาพแวดล้อมที่มีความน่าเชื่อถือต่ำ (low-trust environment) เว็บไซต์ BleepingComputer พบร่องรอยของฟีเจอร์นี้จากชุดการเปลี่ยนแปลงโค้ดที่ยังทำไม่เสร็จบนระบบตรวจทานโค้ด Chromium Gerrit และ Google วางแผนจะเปิดใช้เป็นค่าเริ่มต้นทันทีที่การเปลี่ยนแปลงเหล่านั้นผ่านการอนุมัติ

ปัญหาที่ Google พยายามแก้คือการที่มัลแวร์นำกลไกนโยบายองค์กรซึ่งออกแบบมาให้ผู้ดูแลระบบใช้ควบคุมเบราว์เซอร์ ไปใช้บนเครื่องคอมพิวเตอร์ของผู้ใช้ทั่วไปที่ไม่มีองค์กรใดดูแล โปรแกรมประสงค์ร้ายสามารถเขียนคีย์นโยบายของ Chrome ลงเครื่องได้โดยผู้ใช้ไม่ได้อนุญาต แล้วบังคับติดตั้งส่วนขยายที่เข้ามาแทนที่หน้า New Tab เปลี่ยนเครื่องมือค้นหา หรือเปลี่ยนเส้นทางการค้นหาไปยังเว็บไซต์น่าสงสัย เมื่อ Chrome เข้าใจว่าส่วนขยายนั้นถูกติดตั้งโดยผู้ดูแลระบบ ผู้ใช้จะไม่สามารถลบหรือปิดการทำงานของมันได้ และในหลายกรณี Chrome ยังขึ้นข้อความ “Managed by your organization” ทั้งที่เครื่องนั้นไม่ได้เป็นของหรืออยู่ใต้การดูแลขององค์กรใดเลย

ภายใต้กลไกใหม่ Chrome จะยกเลิกการติดตั้งส่วนขยายลักษณะดังกล่าว บันทึกรหัสส่วนขยาย (extension ID) ไว้ในรายการที่ถูกบล็อก และเลิกพยายามดาวน์โหลดซ้ำในการตรวจสอบนโยบายรอบถัดไป นอกจากนี้ยังปิดอีกช่องทางที่มัลแวร์ใช้ คือการเปลี่ยนส่วนขยายที่ผู้ใช้ติดตั้งเองให้กลายเป็นส่วนขยายภายใต้นโยบายที่ลบไม่ได้ และหากเครื่องที่เคยอยู่ใต้การจัดการหลุดจากสถานะที่เชื่อถือได้แต่ยังมีคีย์นโยบายค้างอยู่ Chrome จะถอนส่วนขยายที่เข้าข่ายออกให้อัตโนมัติ ทั้งนี้โค้ดทั้งชุดยังอยู่ระหว่างการตรวจทาน จึงยังไม่ปรากฏใน Chrome รุ่นเสถียร และ Google ยังไม่ประกาศกำหนดการเผยแพร่

รายละเอียดข่าว

เว็บไซต์ BleepingComputer รายงานเมื่อวันที่ 2 สิงหาคม พ.ศ. 2569 ว่า Google กำลังพัฒนามาตรการป้องกันใหม่สำหรับ Chrome ที่จะสกัดส่วนขยายซึ่งถูกบังคับติดตั้งผ่านนโยบายองค์กรไม่ให้เข้ายึดหน้า New Tab หรือเปลี่ยนเครื่องมือค้นหาเริ่มต้น โดยผู้สื่อข่าวสังเกตเห็นมาตรการนี้จากชุดการเปลี่ยนแปลงโค้ดที่เชื่อมโยงกันบนระบบ Chromium Gerrit ซึ่งเป็นระบบตรวจทานโค้ดของโครงการ Chromium และแม้ฟีเจอร์จะยังไม่ถูกปล่อยออกมา แต่ Google ระบุว่าตั้งใจจะเปิดใช้งานเป็นค่าเริ่มต้นเมื่อการเปลี่ยนแปลงผ่านการอนุมัติแล้ว

นาย Anunoy Ghosh ซึ่งทำงานอยู่ที่ Google เขียนอธิบายเหตุผลไว้ในบันทึกประกอบการเปลี่ยนแปลงโค้ดว่า “ในสภาพแวดล้อมที่มีความน่าเชื่อถือต่ำ (อุปกรณ์ผู้บริโภคที่ไม่ได้อยู่ใต้การบริหารจัดการ) การบังคับติดตั้งและการแนะนำผ่านนโยบายองค์กรถูกนำไปใช้ในทางที่ผิดเพื่อล็อกตัวจี้เครื่องมือค้นหาหรือหน้า New Tab เอาไว้” และระบุต่อว่าการเปลี่ยนแปลงชุดนี้เปิดใช้แฟล็กฟีเจอร์ชื่อ kBlockDseNtpOverrideExtensionsOnUnmanagedDevices เป็นค่าเริ่มต้น ซึ่งเท่ากับเปิดการป้องกันแบบครบวงจรบนอุปกรณ์ Windows และ macOS ที่ไม่ได้อยู่ใต้การบริหารจัดการ

ปัจจุบัน Chrome อนุญาตให้องค์กรใช้นโยบายองค์กรบังคับติดตั้งส่วนขยายและควบคุมการตั้งค่าเบราว์เซอร์ได้ ซึ่งไม่ใช่เรื่องผิดปกติสำหรับเครื่องที่ถูกจัดการอย่างถูกต้อง เช่น เครื่องที่เชื่อมต่อกับโดเมนหรืออยู่ในระบบบริหารจัดการอุปกรณ์เคลื่อนที่ (MDM) แต่ปัญหาคือมัลแวร์ได้นำกลไกเดียวกันนี้ไปใช้กับเครื่องคอมพิวเตอร์ของผู้ใช้ทั่วไป Google อธิบายว่าเครื่องเหล่านี้ถือเป็นสภาพแวดล้อมความน่าเชื่อถือต่ำ เพราะ Chrome อ่านนโยบายที่เก็บอยู่ในเครื่องโดยไม่มีการยืนยันจากผู้มีอำนาจที่เชื่อถือได้อย่างโดเมนหรือบริการ MDM มาประกอบ

Google ยังเพิ่มการเก็บสถิติ (metrics) เพื่อวัดว่าตัวจี้เบราว์เซอร์ที่อาศัยนโยบายลักษณะนี้ปรากฏบ่อยแค่ไหน และ Chrome บล็อกได้บ่อยเพียงใด ขณะเดียวกันก็เตรียมทางออกให้ผู้ดูแลระบบที่ใช้งานโดยชอบ ด้วยนโยบายสำหรับปิดการป้องกันนี้ในกรณีที่องค์กรจำเป็นต้องใช้ส่วนขยายที่เข้าไปแทนที่หน้า New Tab หรือเครื่องมือค้นหาจริง ๆ อย่างไรก็ตาม ชุดการเปลี่ยนแปลงบน Gerrit ยังอยู่ระหว่างการตรวจทาน ฟีเจอร์นี้จึงยังไม่มีใน Chrome รุ่นเสถียร และรายงานไม่ได้ระบุว่าจะมาถึงผู้ใช้ในเวอร์ชันใดหรือเมื่อใด

วิธีการโจมตี

เทคนิคที่มัลแวร์ใช้อยู่อาศัยความจริงที่ว่า Chrome เชื่อถือคีย์นโยบายที่อยู่ในเครื่องโดยไม่ตรวจสอบว่ามาจากผู้ดูแลระบบตัวจริงหรือไม่ เมื่อโปรแกรมประสงค์ร้ายรันบนเครื่องได้แล้ว มันจะเขียนคีย์นโยบายของ Chrome ลงไปโดยไม่ต้องขออนุญาตผู้ใช้ จากนั้นใช้นโยบายนั้นบังคับติดตั้งส่วนขยายที่เข้าไปแทนที่หน้า New Tab เปลี่ยนเครื่องมือค้นหาเริ่มต้น หรือเปลี่ยนเส้นทางผลการค้นหาไปยังเว็บไซต์ที่น่าสงสัย ผลลัพธ์ที่ผู้ใช้เจอคือส่วนขยายที่ปุ่มลบและปุ่มปิดการทำงานถูกล็อกไว้ พร้อมข้อความ “Managed by your organization” ที่ชวนสับสนบนเครื่องส่วนตัวซึ่งไม่มีองค์กรใดดูแลอยู่จริง

กลไกใหม่เข้าไปตัดวงจรนี้หลายจุด จุดแรกคือเมื่อมีการพยายามติดตั้งส่วนขยายที่ควบคุมด้วยนโยบายและเข้าไปแทนที่หน้า New Tab หรือเครื่องมือค้นหาบนเครื่องที่ไม่ได้อยู่ใต้การจัดการ Chrome จะยกเลิกการติดตั้งนั้นทิ้ง แล้วบันทึกรหัสส่วนขยายไว้ในค่ากำหนดรายการส่วนขยายที่ถูกบล็อก จุดที่สองคือ Chrome จะไม่พยายามดาวน์โหลดส่วนขยายที่ถูกบล็อกซ้ำอีกในการตรวจสอบนโยบายรอบต่อ ๆ ไป ซึ่งช่วยตัดวงจรการติดตั้งซ้ำและลดทราฟฟิกเครือข่ายที่ไม่จำเป็น

จุดที่สามเป็นการปิดกลลวงอีกแบบที่มัลแวร์ใช้ นั่นคือการเปลี่ยนสถานะส่วนขยายที่ผู้ใช้ติดตั้งเองด้วยมือให้กลายเป็นส่วนขยายที่ถูกล็อกภายใต้นโยบาย เมื่อกลไกใหม่ทำงาน ส่วนขยายที่ผู้ใช้ติดตั้งเองจะยังอยู่ในการควบคุมของผู้ใช้ต่อไป ปิดหรือลบออกได้ตามปกติ และจุดสุดท้ายคือกรณีเครื่องที่เคยอยู่ใต้การบริหารจัดการแล้วสูญเสียสถานะการจัดการที่เชื่อถือได้ แต่ยังมีคีย์นโยบายค้างอยู่ในเครื่อง Chrome จะถอนส่วนขยายที่เข้าไปแทนที่หน้า New Tab และเครื่องมือค้นหาออกโดยอัตโนมัติ

ผลกระทบ

การจี้หน้า New Tab และเครื่องมือค้นหาเป็นวิธีหารายได้ของแอดแวร์และโปรแกรมที่ไม่พึงประสงค์มาอย่างยาวนาน สิ่งที่ทำให้เทคนิคซึ่งอาศัยนโยบายองค์กรอันตรายกว่าปกติคือมันเปลี่ยนกลไกที่ออกแบบมาเพื่อให้ผู้ดูแลระบบมีอำนาจเหนือผู้ใช้ ไปเป็นเครื่องมือกันไม่ให้เจ้าของเครื่องแก้ไขอะไรได้ ผู้ใช้ทั่วไปที่เจอส่วนขยายลักษณะนี้มักลบไม่ออกด้วยวิธีปกติ ต้องไปไล่ลบคีย์นโยบายในรีจิสทรีหรือไฟล์คอนฟิกระดับระบบ ซึ่งเกินความสามารถของผู้ใช้ส่วนใหญ่ และการเปลี่ยนเส้นทางการค้นหายังเปิดทางไปสู่หน้าฟิชชิงหรือหน้าดาวน์โหลดมัลแวร์ต่อได้อีกชั้น

ในมุมองค์กร กลไกนี้ช่วยลดภาระทีมสนับสนุนด้านไอทีได้ระดับหนึ่ง เพราะข้อความ “Managed by your organization” ที่โผล่บนเครื่องส่วนตัวเป็นสาเหตุคลาสสิกที่ทำให้ผู้ใช้เข้าใจผิดว่าองค์กรเข้ามาควบคุมเครื่องของตน ขณะเดียวกันผู้ดูแลระบบที่ใช้ส่วนขยายภายในซึ่งจำเป็นต้องเปลี่ยนหน้า New Tab หรือเครื่องมือค้นหาจริง ๆ ควรตรวจสอบว่าเครื่องในองค์กรถูกจัดว่าอยู่ใต้การบริหารจัดการอย่างถูกต้อง เพราะเครื่องที่ลงทะเบียนไม่สมบูรณ์อาจถูกจัดเป็นสภาพแวดล้อมความน่าเชื่อถือต่ำและโดนกลไกใหม่บล็อกส่วนขยายที่ใช้งานอยู่ไปด้วย ซึ่ง Google ได้เตรียมนโยบายสำหรับปิดการป้องกันไว้รองรับกรณีนี้แล้ว

ข้อจำกัดที่ต้องเน้นคือมาตรการนี้ยังไม่ได้ออกสู่ผู้ใช้ ชุดโค้ดอยู่ระหว่างการตรวจทานบน Gerrit ยังไม่มีกำหนดเวอร์ชันที่แน่นอน ครอบคลุมเฉพาะ Windows และ macOS และป้องกันได้เฉพาะการกระทำสองอย่างคือการแทนที่หน้า New Tab กับการเปลี่ยนเครื่องมือค้นหาเริ่มต้น ไม่ได้แก้ปัญหาที่รากซึ่งคือมัลแวร์ยังเขียนคีย์นโยบายลงเครื่องได้ตั้งแต่แรก หากเครื่องถูกเจาะจนรันโปรแกรมประสงค์ร้ายได้แล้ว ผู้โจมตียังมีวิธีรบกวนเบราว์เซอร์ในรูปแบบอื่นที่มาตรการนี้ไม่ครอบคลุม

คำแนะนำ

  1. ผู้ใช้ทั่วไปที่พบข้อความ “Managed by your organization” ใน Chrome ทั้งที่เครื่องเป็นเครื่องส่วนตัว ให้ถือเป็นสัญญาณของการติดมัลแวร์ และตรวจสอบที่ chrome://policy ว่ามีนโยบายแปลกปลอมถูกตั้งไว้หรือไม่
  2. ตรวจรายการส่วนขยายที่ chrome://extensions หากพบส่วนขยายที่ปุ่มลบถูกล็อก ให้ไล่ลบคีย์นโยบายที่มัลแวร์เขียนไว้ (บน Windows อยู่ใต้ HKLM\SOFTWARE\Policies\Google\Chrome และในบางกรณีอยู่ใต้ HKCU) แล้วรีสตาร์ตเบราว์เซอร์
  3. สแกนเครื่องด้วยโปรแกรมป้องกันมัลแวร์ที่อัปเดตล่าสุด เพราะการมีคีย์นโยบายแปลกปลอมแปลว่ามีโปรแกรมประสงค์ร้ายรันบนเครื่องมาก่อนแล้ว การลบส่วนขยายอย่างเดียวไม่ได้กำจัดต้นเหตุ
  4. ผู้ดูแลระบบองค์กรควรตรวจว่าเครื่องทั้งหมดลงทะเบียนกับโดเมนหรือ MDM อย่างสมบูรณ์ เพื่อไม่ให้ถูกจัดเป็นเครื่องที่ไม่ได้อยู่ใต้การบริหารจัดการเมื่อกลไกนี้เปิดใช้งานจริง
  5. องค์กรที่ใช้ส่วนขยายภายในซึ่งจำเป็นต้องเปลี่ยนหน้า New Tab หรือเครื่องมือค้นหา ควรเตรียมแผนใช้นโยบายยกเว้นที่ Google เตรียมไว้ และทดสอบกับ Chrome รุ่นทดสอบก่อนฟีเจอร์เข้าสู่รุ่นเสถียร

แหล่งอ้างอิง