สรุปสั้น

บริษัท Jamf เปิดเผยการค้นพบมัลแวร์ขโมยข้อมูลตัวใหม่บนระบบปฏิบัติการ macOS ชื่อ AmnesiaStealer ซึ่งเขียนด้วยภาษา Rust และถูกแจกจ่ายผ่านหน้าดาวน์โหลด GitHub ปลอมในการโจมตีแบบ ClickFix ระลอกล่าสุด โดยหน้าเว็บปลอมจะหลอกให้เหยื่อคัดลอกคำสั่งไปวางใน Terminal ด้วยตัวเอง ซึ่งเป็นจุดเริ่มต้นของห่วงโซ่การติดเชื้อสามขั้น ประกอบด้วยสคริปต์เชลล์ที่ดึงและรันเพย์โหลด ตัวขโมยข้อมูลที่กวาดข้อมูลออกจากเครื่อง และโมดูลขั้นที่สามที่ถูกสั่งรันภายหลังเพื่อเข้าควบคุมเบราว์เซอร์ของเหยื่อแบบโต้ตอบได้

หลังรัน มัลแวร์จะสำรวจเครื่อง หลอกให้ผู้ใช้กรอกรหัสผ่านเข้าระบบแล้วตรวจสอบความถูกต้องในเครื่องทันที จากนั้นคัดลอก keychain ทั้งส่วนล็อกอินและส่วนป้องกันข้อมูล ดูดฐานข้อมูลของเบราว์เซอร์ตระกูล Chromium รวมถึงโน้ตจาก Apple Notes และไฟล์เอกสาร ก่อนพยายามหลบเลี่ยงกรอบการทำงาน Transparency, Consent, and Control หรือ TCC สองวิธีเพื่อเข้าถึงคุกกี้ของ Safari และสิทธิ์เข้าถึงดิสก์ทั้งลูก แล้วบีบอัดข้อมูลส่งออกไปยังเซิร์ฟเวอร์ควบคุม พร้อมติดตั้ง LaunchDaemon ไว้ฝังตัวถาวร

สิ่งที่ทำให้ AmnesiaStealer ต่างจากตระกูลที่เป้าหมายทับซ้อนกันอย่าง Atomic (AMOS), MacSync และ CrashStealer คือการตั้งค่าผ่านตัว builder การแยกตรรกะตามเวอร์ชันของระบบปฏิบัติการเพื่อไปหยิบช่องทางหลบเลี่ยงที่แอปเปิลแพตช์ไปแล้ว และโมดูลควบคุมระยะไกลในขั้นที่สอง

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 14 สิงหาคม 2569 ว่า นักวิจัยของบริษัท Jamf ตรวจพบมัลแวร์ขโมยข้อมูลหลายขั้นตอนตัวใหม่บน macOS ที่ถูกกระจายผ่านหน้าดาวน์โหลด GitHub ปลอม ซึ่งเป็นรูปแบบที่พบมากขึ้นเรื่อย ๆ ในการโจมตีแบบ ClickFix ที่อาศัยการหลอกให้เหยื่อลงมือรันคำสั่งเอง แทนการใช้ช่องโหว่ของระบบ

เมื่อเหยื่อวางคำสั่งลงใน Terminal ตามที่หน้าเว็บปลอมสั่ง เครื่องจะดาวน์โหลดสคริปต์เชลล์ที่ทำหน้าที่ดึงเพย์โหลดหลักมาติดตั้ง ตัวขโมยข้อมูลจะเริ่มต้นด้วยการสำรวจสภาพแวดล้อมของเครื่อง แล้วแสดงหน้าต่างขอรหัสผ่านเข้าระบบ โดยตรวจสอบความถูกต้องของรหัสผ่านในเครื่องทันทีเพื่อให้แน่ใจว่าได้รหัสที่ใช้งานได้จริง

จากนั้นมัลแวร์จะคัดลอก keychain ทั้งสองส่วน และเก็บกวาดฐานข้อมูลของเบราว์เซอร์ตระกูล Chromium รวม 6 ตัว ซึ่งครอบคลุม Chrome, Brave, Arc และ Edge พร้อมกับดึงข้อมูลจาก Apple Notes และไฟล์เอกสารของผู้ใช้

จุดที่นักวิจัยเน้นเป็นพิเศษคือ พบว่ามัลแวร์เขียนทับคีย์ Safe Storage ของแต่ละเบราว์เซอร์ใน login keychain ด้วยค่าที่ผู้โจมตีกำหนดเอง ผลคือรหัสผ่านและคุกกี้ที่ผู้ใช้บันทึกไว้ก่อนหน้านั้นกู้คืนกลับมาไม่ได้อีก

Jamf ระบุว่าผู้พัฒนามัลแวร์ยอมรับความสูญเสียตรงนี้ เพราะบน macOS 26 มัลแวร์ไม่สามารถกู้คีย์เดิมออกมาได้ จึงเลือกสลับข้อมูลที่เหยื่อบันทึกไว้ให้เป็นคีย์ที่ผู้ปฏิบัติการรู้ค่าอยู่แล้ว เพื่อให้ทุกอย่างที่ถูกเข้ารหัสหลังจากนั้นถอดรหัสได้จากฝั่งผู้โจมตี

ในการขโมยคุกกี้ของ Safari และเข้าถึงฐานข้อมูล TCC มัลแวร์อาศัยช่องทางหลบเลี่ยง TCC เก่าอย่าง CVE-2020-9771 ซึ่งบน macOS 26 จะใช้ได้ก็ต่อเมื่อ Terminal หรือกระบวนการของมัลแวร์มีสิทธิ์ Full Disk Access อยู่ก่อนแล้วเท่านั้น

รายงานยังระบุด้วยว่า มัลแวร์ตัวนี้มีเป้าหมายทับซ้อนกับตระกูลที่วงการรู้จักดีอย่าง Atomic (AMOS), MacSync และ CrashStealer แต่แยกตัวออกมาด้วยสามลักษณะ ได้แก่ การกำหนดค่าผ่าน builder ตรรกะที่แตกแขนงตามเวอร์ชันของระบบปฏิบัติการ และโมดูลควบคุมระยะไกลในขั้นที่สอง

วิธีการโจมตี

ห่วงโซ่การโจมตีเริ่มจากหน้าดาวน์โหลด GitHub ปลอมที่ทำหน้าที่เป็นกับดัก ClickFix กล่าวคือหลอกให้ผู้ใช้เชื่อว่าต้องคัดลอกคำสั่งหนึ่งบรรทัดไปวางใน Terminal เพื่อแก้ปัญหาหรือดำเนินการติดตั้งให้เสร็จ วิธีนี้ทำให้มัลแวร์ไม่ต้องพึ่งช่องโหว่ใด ๆ เพราะเหยื่อเป็นผู้อนุญาตให้โค้ดรันด้วยตัวเอง

ขั้นแรกคือสคริปต์เชลล์ที่ดึงเพย์โหลดหลักลงมาและสั่งรัน ขั้นที่สองคือตัวขโมยข้อมูลที่เขียนด้วย Rust ทำหน้าที่สำรวจเครื่อง หลอกเก็บรหัสผ่าน คัดลอก keychain กวาดข้อมูลเบราว์เซอร์ Chromium ทั้งหก รวมถึง Apple Notes และเอกสาร แล้วบีบอัดส่งออกไปยังเซิร์ฟเวอร์ควบคุม ก่อนติดตั้ง LaunchDaemon เพื่อคงอยู่ในเครื่องหลังรีบูต

ระหว่างทางมัลแวร์จะพยายามหลบเลี่ยงกรอบการทำงาน TCC สองวิธี เพื่อเปิดทางเข้าถึงคุกกี้ของ Safari และสิทธิ์อ่านดิสก์ทั้งลูก โดยหนึ่งในนั้นคือการอาศัย CVE-2020-9771 ซึ่งเป็นช่องทางเก่า และบนระบบรุ่นใหม่จะสำเร็จเฉพาะกรณีที่กระบวนการต้นทางมีสิทธิ์ Full Disk Access อยู่แล้ว

ขั้นสุดท้ายคือโมดูลชื่อ stream ซึ่งจะทำงานก็ต่อเมื่อได้รับคำสั่ง remote_stream จากเซิร์ฟเวอร์ควบคุม โมดูลนี้จะโคลนโปรไฟล์เบราว์เซอร์ของเหยื่อแล้วเปิดสำเนาแบบ headless ขึ้นมา จากนั้นใช้ Chrome DevTools Protocol หรือ CDP สร้างช่องทางถ่ายทอด ทำให้ผู้โจมตีเข้าควบคุมเซสชันเบราว์เซอร์ของเหยื่อได้โดยตรง

Jamf อธิบายว่าผู้ปฏิบัติการจะได้รับภาพถ่ายทอดสดของเซสชันที่ราว 3 เฟรมต่อวินาที และสั่งงานได้ครบชุดทั้งคีย์บอร์ด เมาส์ การเลื่อนหน้าจอ การนำทาง และการจัดการแท็บ ซึ่งทั้งหมดจะถูกแปลงเป็นคำสั่ง CDP ยิงใส่เบราว์เซอร์ headless แบบเรียลไทม์ นักวิจัยย้ำว่านี่คือเซสชันเบราว์เซอร์ที่มีคนลงมือควบคุมจริง ไม่ใช่สคริปต์ดูดข้อมูลอัตโนมัติ

ผลกระทบ

ผู้ใช้ macOS ที่ถูกหลอกด้วยหน้าดาวน์โหลดปลอมจะสูญเสียมากกว่าไฟล์และรหัสผ่านที่ถูกดูดออกไป เพราะโมดูลควบคุมเบราว์เซอร์ทำให้ผู้โจมตีเข้าไปนั่งอยู่ในเซสชันที่ล็อกอินค้างไว้แล้ว การป้องกันที่อาศัยรหัสผ่านหรือการยืนยันตัวตนสองชั้นตอนล็อกอินจึงไม่ช่วย เพราะขั้นตอนนั้นผ่านไปแล้วก่อนที่ผู้โจมตีจะเข้ามาใช้เซสชัน

พฤติกรรมเขียนทับคีย์ Safe Storage สร้างความเสียหายอีกชั้นที่ไม่ใช่แค่การขโมย เพราะรหัสผ่านและคุกกี้ที่เหยื่อบันทึกไว้ในเบราว์เซอร์ก่อนติดเชื้อจะกู้กลับไม่ได้เลย ผู้ใช้ที่พึ่งพาตัวจัดการรหัสผ่านในตัวเบราว์เซอร์เป็นหลักจึงมีโอกาสสูญเสียข้อมูลถาวร ไม่ใช่แค่ต้องเปลี่ยนรหัสผ่านใหม่

ในเชิงองค์กร เครื่อง macOS ที่ผู้ใช้มีสิทธิ์ผู้ดูแลเครื่องตัวเองและมี Terminal ที่ได้ Full Disk Access ไว้ก่อนแล้วจากการติดตั้งเครื่องมือของนักพัฒนา คือกลุ่มที่เสี่ยงสูงสุด เพราะเงื่อนไขนั้นเองที่ทำให้ช่องทางหลบเลี่ยง TCC ยังทำงานได้บนระบบรุ่นใหม่

อย่างไรก็ตาม รายงานนี้ยังไม่ระบุจำนวนเหยื่อ ประเทศเป้าหมาย หรือกลุ่มผู้อยู่เบื้องหลัง และไม่ได้เปิดเผยตัวชี้วัดการบุกรุกในเนื้อรายงานที่เผยแพร่ จึงยังประเมินขนาดของแคมเปญไม่ได้จากข้อมูลชุดนี้

คำแนะนำ

ผู้ดูแลระบบควรถือว่าคำสั่งที่หน้าเว็บใด ๆ ขอให้คัดลอกไปวางใน Terminal เป็นสัญญาณอันตรายเสมอ และสื่อสารกฎข้อนี้กับผู้ใช้ให้ชัด เพราะ ClickFix ทำงานได้ด้วยความยินยอมของเหยื่อล้วน ๆ ไม่มีช่องโหว่ให้แพตช์

ควรตรวจสอบและจำกัดรายชื่อแอปที่ได้สิทธิ์ Full Disk Access โดยเฉพาะ Terminal และ iTerm ซึ่งมักถูกให้สิทธิ์ค้างไว้จากงานติดตั้งครั้งเดียว รวมถึงเฝ้าระวังการสร้าง LaunchDaemon ใหม่ และกระบวนการเบราว์เซอร์ที่ถูกเปิดด้วยพารามิเตอร์ headless หรือเปิดพอร์ตดีบักของ CDP ซึ่งไม่ใช่พฤติกรรมปกติของผู้ใช้ทั่วไป

ในระดับเครือข่าย ควรเฝ้าดูการเชื่อมต่อขาออกที่มีลักษณะสตรีมต่อเนื่องจากเครื่องผู้ใช้ และตรวจสอบว่าโปรไฟล์เบราว์เซอร์ถูกคัดลอกไปยังตำแหน่งผิดปกติหรือไม่ ส่วนผู้ใช้ที่สงสัยว่าติดเชื้อแล้วควรเปลี่ยนรหัสผ่านของทุกบัญชีจากอุปกรณ์เครื่องอื่น เพิกถอนเซสชันที่ยังเปิดค้างอยู่ทั้งหมด และหลีกเลี่ยงการเก็บรหัสผ่านไว้ในเบราว์เซอร์โดยตรง

แหล่งอ้างอิง