สรุปสั้น

การโจมตีรูปแบบ ClickFix ที่หลอกให้เหยื่อคัดลอกคำสั่งไปวางรันด้วยตัวเอง กำลังถูกใช้ส่งมัลแวร์ขโมยข้อมูลบน macOS ที่เขียนด้วยภาษา Go ซึ่งมีความสามารถทั้งขโมยสินทรัพย์คริปโตเคอร์เรนซี รหัสผ่านที่เก็บไว้ในเบราว์เซอร์ ข้อมูลใน Apple iCloud Keychain และข้อมูลรับรองที่ระบบแคชไว้ โดยห่วงโซ่การติดเชื้อเริ่มจากสคริปต์เชลล์ที่สำรวจข้อมูลเครื่องเหยื่อก่อน แล้วจึงดึงเพย์โหลดที่ตรงกับสถาปัตยกรรมหน่วยประมวลผลของเครื่องนั้นลงมาติดตั้ง

จุดที่นักวิจัยของบริษัท Huntress ระบุว่าน่าสนใจที่สุดไม่ใช่การขโมยรหัสผ่าน แต่เป็นฟังก์ชันชื่อ DRAIN ที่ตรวจสอบว่ากระเป๋าคริปโตของเหยื่อมีเงินอยู่หรือไม่ ถ้ามีก็จะโอนออกไปยังกระเป๋าที่ผู้โจมตีควบคุม โดยเลือกได้ว่าจะโอนทั้งก้อนหรือเพียงบางส่วน และมัลแวร์ยังมีฟังก์ชันแยกสำหรับคำนวณว่า 1 เปอร์เซ็นต์ของยอดในกระเป๋าคิดเป็นมูลค่าเท่าไร แยกตามสกุลเงินที่เล็งไว้ ทั้ง Bitcoin, Litecoin, Dogecoin, Monero, Ethereum และ XRP ของ Ripple ซึ่ง Huntress ระบุว่าเป็นครั้งแรกที่เห็นมัลแวร์ที่สามารถถอนเงินออกจากกระเป๋าโดยเอาไปน้อยกว่ามูลค่าทั้งหมดได้

ในแง่โครงสร้างพื้นฐาน ทั้งเซิร์ฟเวอร์ที่ใช้เก็บเพย์โหลดอันตรายและเซิร์ฟเวอร์สั่งการหรือ C2 โยงกลับไปที่โครงสร้างพื้นฐานของ Aeza Group ผู้ให้บริการโฮสต์แบบกันกระสุนสัญชาติรัสเซียที่ถูกสหรัฐอเมริกา สหราชอาณาจักร และออสเตรเลียคว่ำบาตรจากการเอื้อประโยชน์ให้ผู้ก่ออาชญากรรม อย่างไรก็ตามรายงานฉบับนี้ยังไม่มีการเปิดเผยตัวบ่งชี้การบุกรุกสาธารณะ ไม่มีตัวเลขจำนวนเหยื่อ และไม่มีการระบุตัวผู้อยู่เบื้องหลังนอกเหนือจากผู้ให้บริการโฮสต์ที่ใช้

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 7 สิงหาคม 2569 ว่า บริษัท Huntress เผยแพร่การวิเคราะห์มัลแวร์ตัวใหม่บน macOS ที่ถูกส่งผ่านการโจมตีแบบ ClickFix ซึ่งเป็นเทคนิคหลอกลวงทางสังคมที่แสดงหน้าเว็บอ้างว่าต้องยืนยันตัวตนหรือแก้ปัญหาบางอย่าง แล้วให้ผู้ใช้คัดลอกคำสั่งไปวางรันในโปรแกรม Terminal ด้วยตัวเอง วิธีนี้เลี่ยงกลไกป้องกันของระบบปฏิบัติการได้หลายชั้น เพราะคำสั่งถูกรันโดยผู้ใช้ที่มีสิทธิ์อยู่แล้ว ไม่ใช่โดยไฟล์แนบหรือช่องโหว่

ClickFix attacks deliver Go-based macOS stealer that can drain crypto wallets

นาย Andrew Brandt นักวิจัยด้านความปลอดภัยของ Huntress ระบุว่า “แม้เพย์โหลดของมัลแวร์จะสามารถขโมยรหัสผ่านได้ แต่ฟังก์ชันที่น่าสนใจที่สุดคือความสามารถในการค่อย ๆ ลดยอดในบัญชีคริปโตเคอร์เรนซี โดยดูดเนื้อในออกไปยังบัญชีที่อยู่ใต้การควบคุมของผู้โจมตี” ซึ่งเป็นการอธิบายจุดต่างสำคัญของตัวนี้จากมัลแวร์ขโมยข้อมูลบน macOS ตัวอื่นที่มักเน้นกวาดข้อมูลรับรองแล้วจบ

ประเด็นที่ Huntress ย้ำเกี่ยวกับฟังก์ชัน DRAIN คือ “แม้นี่อาจไม่ใช่ความสามารถใหม่ถอดด้าม แต่เป็นครั้งแรกที่เราเห็นมัลแวร์ที่สามารถถอนกระเป๋าคริปโตเคอร์เรนซีในลักษณะที่เอาออกไปน้อยกว่ามูลค่าทั้งหมดของกระเป๋าได้” และเสริมว่า “มัลแวร์มีฟังก์ชันแยกกันสำหรับคำนวณว่า 1 เปอร์เซ็นต์ของยอดในกระเป๋าคิดเป็นมูลค่าเท่าไร ขึ้นอยู่กับว่ามัลแวร์เล็งสกุลเงินคริปโตใด” ซึ่งพฤติกรรมการดูดทีละน้อยแบบนี้มีนัยต่อการตรวจจับ เพราะเจ้าของกระเป๋าอาจไม่รู้ตัวเร็วเท่ากรณีที่ยอดหายทั้งก้อนในครั้งเดียว

การเปิดเผยครั้งนี้เกิดขึ้นพร้อมกับที่มีรายงานการโจมตีแบบ ClickFix ออกมาต่อเนื่องในช่วงหลายสัปดาห์ที่ผ่านมา รายการแรกคือแคมเปญ ClickFix บน macOS ที่แจกจ่ายมัลแวร์ MacSync และ Atomic Stealer โดยใช้กลุ่มโดเมนที่ตั้งชื่อคล้ายของจริง และวางด่านตรวจฝั่งเซิร์ฟเวอร์ที่เก็บลายนิ้วมือของเบราว์เซอร์พร้อมตรวจสอบคุณสมบัติฮาร์ดแวร์ เพื่อส่งหน้าล่อลวงให้เฉพาะผู้เข้าชมที่สภาพแวดล้อมดูสอดคล้องกับเบราว์เซอร์บน macOS จริงเท่านั้น ส่วนบอตเก็บข้อมูล แซนด์บ็อกซ์ และเครื่องมือวิเคราะห์อัตโนมัติบางตัวจะถูกบล็อกไม่ให้เห็นเนื้อหาอันตราย

อีกรายการเป็น ClickFix สายวินโดวส์ที่นำไฟล์ pcalua.exe ซึ่งเป็นไบนารีที่มาพร้อมระบบสำหรับตัวช่วยความเข้ากันได้ของโปรแกรม มาใช้เป็นตัวเรียกโปรแกรมเพื่อเลี่ยงการตรวจจับที่อาศัยการดูกระบวนการแม่ โดยบริษัท Palo Alto Networks Unit 42 อธิบายว่า “เหยื่อถูกหลอกผ่านหน้าล่อ ClickFix ให้วางคำสั่งที่ถูกประดิษฐ์ไว้ ซึ่งจะเรียก PowerShell ขึ้นมา แล้วใช้ WMI สร้าง cmd.exe ต่อ จากนั้นเมานต์แชร์ WebDAV จากระยะไกลและโหลด DLL อันตรายผ่าน rundll32.exe” ทั้งนี้แชร์ WebDAV ถูกเปิดผ่าน HTTPS บนโครงสร้างพื้นฐานที่มี CDN คั่นหน้า และใช้ URL ที่มีโทเคนเฉพาะรายเหยื่อในรูปแบบเส้นทาง UUIDv4 เพื่อส่ง DLL ให้แต่ละเป้าหมาย

รายการที่สามคือแคมเปญ ClickFix ที่สร้างโมดูล WebAssembly ขึ้นมาแบบทันทีทันใดในหน้าเว็บ ร่วมกับการซ่อนข้อมูลในภาพ SVG เพื่อเลี่ยงการตรวจจับระดับเครือข่าย โดยอาศัยเว็บไซต์ที่ถูกต้องตามกฎหมายแต่ถูกเจาะเป็นตัวรันจาวาสคริปต์ที่ฝังไว้ สคริปต์นั้นจะประกอบโมดูล wasm ที่ส่งออก URL สำหรับดาวน์โหลดไฟล์ SVG มาประกอบเป็น URL ของ ClickFix แล้ว Unit 42 ระบุว่า “URL ClickFix สุดท้ายนี้จะถูกวางลงใน DOM ด้วยแท็กสคริปต์เพื่อแสดงหน้ายืนยันตัวตนปลอม” ซึ่งหน้านั้นมีช่องกาถูก และเมื่อคลิกก็จะแสดงคำแนะนำให้วางเนื้อหาลงในหน้าต่าง Run

นอกจากนี้ยังพบแคมเปญมัลแวร์ขโมยข้อมูลอีกสองชุดในช่วงเดียวกัน ชุดหนึ่งส่ง Lumma Stealer ผ่านไฟล์ที่ปลอมเป็นภาพยนตร์เรื่อง The Odyssey ในรูปแบบ 1080p WEBRip และ Blu-ray ซึ่งเป็นภาพยนตร์ที่ดัดแปลงจากมหากาพย์กรีกโบราณและเพิ่งเข้าฉาย และอีกชุดใช้ซอฟต์แวร์ที่ถูกแคร็กและเกมละเมิดลิขสิทธิ์เป็นเหยื่อล่อ โฮสต์บนเว็บไซต์ปลอมที่ดันอันดับด้วยการปั่นผลการค้นหา เพื่อปล่อยมัลแวร์ชื่อ Remus ซึ่งเป็นเวอร์ชัน 64 บิตของ Lumma Stealer

วิธีการโจมตี

ห่วงโซ่การโจมตีเริ่มต้นเมื่อเหยื่อวางคำสั่ง ClickFix ลงในโปรแกรม Terminal ซึ่งจะเรียกสคริปต์ Bash ที่ทำหน้าที่เป็นตัวสำรวจและตัวโหลดในเวลาเดียวกัน สคริปต์นี้เก็บรายละเอียดของระบบอย่างละเอียดก่อน แล้วจึงดึงเพย์โหลดในรูปแบบ Mach-O ที่ตรงกับสถาปัตยกรรมหน่วยประมวลผลของเหยื่อลงมา ซึ่งหมายความว่าเครื่อง Mac ที่ใช้ชิป Apple Silicon และเครื่องที่ใช้ชิป Intel จะได้ไบนารีต่างตัวกัน วิธีนี้ช่วยให้ผู้โจมตีไม่ต้องส่งไฟล์ที่ใหญ่หรือมีร่องรอยมากเกินจำเป็นไปยังเครื่องที่รันไม่ได้

เพย์โหลดที่ได้คือมัลแวร์ขโมยข้อมูลที่เขียนด้วยภาษา Go ซึ่งกวาดรหัสผ่านที่เก็บไว้ในเบราว์เซอร์ ข้อมูลใน Apple Keychain และข้อมูลรับรองที่ระบบแคชไว้ แล้วส่งออกไปยังเซิร์ฟเวอร์ระยะไกลที่ผู้โจมตีควบคุม การเลือกใช้ Go มีผลในทางปฏิบัติคือคอมไพล์ข้ามสถาปัตยกรรมได้ง่ายและได้ไบนารีที่รวมทุกอย่างไว้ในตัว ไม่ต้องพึ่งไลบรารีบนเครื่องเหยื่อ

เช่นเดียวกับมัลแวร์ขโมยข้อมูลบน macOS ตัวอื่น ตัวนี้พยายามยกระดับสิทธิ์ด้วยการหลอกให้เหยื่อกรอกรหัสผ่านของระบบผ่านหน้าต่างแจ้งเตือนปลอม โดยอ้างว่าเกิด “ข้อผิดพลาดของระบบที่ไม่คาดคิด” และกำลังซ่อมแซมไฟล์ระบบที่เสียหาย ซึ่งเป็นข้ออ้างที่ดูสมเหตุสมผลในสายตาผู้ใช้ที่เพิ่งรันคำสั่งแก้ปัญหาไปเมื่อครู่ตามคำแนะนำของหน้า ClickFix

ส่วนที่แยกมัลแวร์ตัวนี้ออกจากตัวอื่นคือรูทีน DRAIN ซึ่งจะตรวจก่อนว่ากระเป๋าคริปโตที่พบบนเครื่องมีเงินอยู่หรือไม่ ถ้ามีจึงเปลี่ยนเส้นทางบางส่วนหรือทั้งหมดไปยังกระเป๋าที่ผู้โจมตีควบคุม และรูทีนนี้มีหลายเวอร์ชันแยกตามสกุลเงินคริปโตที่เล็งไว้ ครอบคลุม Bitcoin, Litecoin, Dogecoin, Monero, Ethereum และ XRP ของ Ripple พร้อมฟังก์ชันคำนวณสัดส่วน 1 เปอร์เซ็นต์ของยอดในแต่ละสกุลแยกกัน ซึ่งบ่งชี้ว่าการดูดทีละน้อยเป็นความสามารถที่ตั้งใจออกแบบมา ไม่ใช่ผลพลอยได้

ในด้านโครงสร้างพื้นฐาน ทั้งเซิร์ฟเวอร์ที่ใช้พักเพย์โหลดอันตรายและเซิร์ฟเวอร์ C2 โยงกลับไปที่ Aeza Group ซึ่งเป็นผู้ให้บริการโฮสต์แบบกันกระสุนสัญชาติรัสเซียที่ถูกสหรัฐอเมริกา สหราชอาณาจักร และออสเตรเลียคว่ำบาตรจากการเอื้อประโยชน์แก่ผู้ก่ออาชญากรรม การใช้ผู้ให้บริการที่ถูกคว่ำบาตรอยู่แล้วเป็นสัญญาณที่ฝ่ายป้องกันใช้ได้ทันที เพราะการบล็อกช่วงที่อยู่ไอพีของผู้ให้บริการกลุ่มนี้เป็นมาตรการที่ต้นทุนต่ำและกระทบการใช้งานปกติน้อย

ทั้งนี้ต้องระบุข้อจำกัดของหลักฐานให้ครบ คือรายละเอียดของมัลแวร์ตัวนี้มาจากรายงานของ Huntress เป็นแหล่งหลักเพียงแหล่งเดียว ยังไม่มีการเปิดเผยตัวบ่งชี้การบุกรุกสาธารณะพร้อมข่าว ไม่มีการระบุจำนวนเหยื่อหรือมูลค่าคริปโตที่ถูกขโมยไปได้ ไม่มีการตั้งชื่อกลุ่มผู้โจมตี และไม่มีข้อมูลว่าแคมเปญนี้เจาะจงภูมิภาคใดเป็นพิเศษ

ผลกระทบ

ผู้ที่ได้รับผลกระทบตรงที่สุดคือผู้ใช้ macOS ที่เก็บกระเป๋าคริปโตไว้บนเครื่องเดียวกับที่ใช้งานทั่วไป เพราะการโจมตีนี้ไม่ต้องอาศัยช่องโหว่ใดเลย แต่อาศัยการที่เหยื่อรันคำสั่งด้วยมือตัวเองแล้วยอมกรอกรหัสผ่านระบบให้ ซึ่งเป็นสองขั้นที่กลไกป้องกันของ macOS อย่าง Gatekeeper และการตรวจลายมือชื่อไฟล์ช่วยได้จำกัด เพราะไม่มีไฟล์แอปที่ถูกดาวน์โหลดมาเปิดตามปกติให้ตรวจ

ความสามารถดูดกระเป๋าทีละส่วนมีผลต่อระยะเวลาที่ผู้โจมตีอยู่ในระบบได้ก่อนถูกจับ เพราะถ้ายอดหายไปทั้งก้อน เจ้าของมักรู้ตัวเกือบทันทีและเริ่มเปลี่ยนรหัสผ่าน แจ้งตลาดแลกเปลี่ยน หรือย้ายสินทรัพย์ที่เหลือ แต่การหายไปทีละ 1 เปอร์เซ็นต์อาจถูกเข้าใจผิดว่าเป็นค่าธรรมเนียมหรือความผันผวนของราคา ทำให้ผู้โจมตีคงอยู่บนเครื่องและถอนเงินต่อได้อีกหลายรอบ ซึ่งแปลว่าความเสียหายรวมอาจสูงกว่าการดูดครั้งเดียว

อีกประเด็นที่กว้างกว่าตัวมัลแวร์คือการที่ ClickFix กลายเป็นวิธีส่งมัลแวร์ที่ใช้ได้ทั้งบน macOS และวินโดวส์ และรายงานทั้งสี่ชุดในช่วงเดียวกันแสดงว่าผู้โจมตีลงทุนพัฒนาชั้นหลบเลี่ยงเพิ่มขึ้นเรื่อย ๆ ทั้งการเก็บลายนิ้วมือเบราว์เซอร์เพื่อคัดกรองนักวิจัยออก การอาศัยไบนารีที่มาพร้อมระบบเป็นตัวเรียกโปรแกรม และการซ่อนขั้นตอนสร้าง URL ไว้ในโมดูล WebAssembly กับภาพ SVG ทั้งหมดนี้ล้วนออกแบบมาเพื่อให้เครื่องมือตรวจจับที่ดูแค่โดเมนหรือกระบวนการแม่มองไม่เห็นสิ่งผิดปกติ

คำแนะนำ

มาตรการที่ตรงจุดที่สุดสำหรับ ClickFix ไม่ใช่เครื่องมือ แต่เป็นกฎเดียวที่สื่อสารให้ผู้ใช้จำได้ คือไม่มีเว็บไซต์ที่ถูกต้องตามกฎหมายรายใดที่ต้องให้ผู้ใช้คัดลอกคำสั่งไปวางใน Terminal เพื่อยืนยันว่าตนไม่ใช่บอตหรือเพื่อแก้ปัญหาการแสดงผล หากเจอหน้าเว็บที่ขอให้ทำอย่างนั้น ให้ปิดหน้านั้นทันที และหากเผลอรันไปแล้ว ควรถือว่าข้อมูลรับรองทั้งหมดบนเครื่องนั้นรั่วแล้ว

ผู้ใช้ที่ถือคริปโตเคอร์เรนซีควรแยกกระเป๋าที่มีมูลค่าสูงออกจากเครื่องที่ใช้ท่องเว็บและทำงานทั่วไป โดยใช้กระเป๋าฮาร์ดแวร์ที่ต้องยืนยันธุรกรรมบนตัวอุปกรณ์ เพราะรูทีนแบบ DRAIN ทำงานได้เมื่อคีย์หรือส่วนขยายกระเป๋าอยู่บนเครื่องที่ถูกเจาะ นอกจากนี้ควรตั้งการแจ้งเตือนธุรกรรมทุกรายการแม้ยอดน้อย เพราะการดูดทีละ 1 เปอร์เซ็นต์คือรูปแบบที่การเฝ้าดูยอดรวมเป็นระยะจับไม่ได้

ฝ่ายไอทีควรเพิ่มการตรวจจับที่จับพฤติกรรมของห่วงโซ่นี้โดยตรง ได้แก่ การที่โปรแกรม Terminal เรียกสคริปต์ Bash ที่ดาวน์โหลดไฟล์จากอินเทอร์เน็ตทันที การมีไบนารี Mach-O ใหม่ถูกเขียนลงพื้นที่ชั่วคราวแล้วรันต่อ และหน้าต่างขอรหัสผ่านที่ไม่ได้มาจากกระบวนการของระบบจริง สำหรับฝั่งวินโดวส์ควรเพิ่มการเฝ้าดู pcalua.exe ที่เรียก PowerShell ต่อ และการเมานต์แชร์ WebDAV จากภายนอกซึ่งแทบไม่มีเหตุผลทางธุรกิจในเครื่องผู้ใช้ทั่วไป

ในระดับเครือข่าย การบล็อกช่วงที่อยู่ไอพีของผู้ให้บริการโฮสต์แบบกันกระสุนที่ถูกคว่ำบาตรอย่าง Aeza Group เป็นมาตรการที่คุ้มค่า เพราะกระทบการใช้งานปกติน้อยแต่ตัดทั้งช่องทางรับเพย์โหลดและช่องทาง C2 ในคราวเดียว เว็บไซต์ Cloud Thunder เคยรายงานการโจมตีที่ใช้กลไกใกล้เคียงกันไว้แล้ว ทั้งกรณี Contagious Interview ใช้หน้าอัปเดต macOS ปลอมหลอกวางคำสั่งใน Terminal เพื่อขโมยคริปโต กรณี แฮ็กเกอร์ใช้ฟีเจอร์ shared chat ของ Claude.ai โฮสต์คำสั่ง ClickFix ปล่อย MacSync และกรณี ClickLock ที่บังคับปิดแอปทุก 210 มิลลิวินาทีจนเหยื่อยอมพิมพ์รหัสผ่าน

แหล่งอ้างอิง