สรุปสั้น

บริษัท Jamf เปิดเผยการค้นพบมัลแวร์ขโมยข้อมูลตัวใหม่บนระบบปฏิบัติการ macOS ชื่อ AmnesiaStealer ซึ่งเขียนด้วยภาษา Rust และถูกแจกจ่ายผ่านหน้าดาวน์โหลด GitHub ปลอมในการโจมตีแบบ ClickFix ระลอกล่าสุด โดยหน้าเว็บปลอมจะหลอกให้เหยื่อคัดลอกคำสั่งไปวางใน Terminal ด้วยตัวเอง ซึ่งเป็นจุดเริ่มต้นของห่วงโซ่การติดเชื้อสามขั้น ประกอบด้วยสคริปต์เชลล์ที่ดึงและรันเพย์โหลด ตัวขโมยข้อมูลที่กวาดข้อมูลออกจากเครื่อง และโมดูลขั้นที่สามที่ถูกสั่งรันภายหลังเพื่อเข้าควบคุมเบราว์เซอร์ของเหยื่อแบบโต้ตอบได้

หลังรัน มัลแวร์จะสำรวจเครื่อง หลอกให้ผู้ใช้กรอกรหัสผ่านเข้าระบบแล้วตรวจสอบความถูกต้องในเครื่องทันที จากนั้นคัดลอก keychain ทั้งส่วนล็อกอินและส่วนป้องกันข้อมูล ดูดฐานข้อมูลของเบราว์เซอร์ตระกูล Chromium รวมถึงโน้ตจาก Apple Notes และไฟล์เอกสาร ก่อนพยายามหลบเลี่ยงกรอบการทำงาน Transparency, Consent, and Control หรือ TCC สองวิธีเพื่อเข้าถึงคุกกี้ของ Safari และสิทธิ์เข้าถึงดิสก์ทั้งลูก แล้วบีบอัดข้อมูลส่งออกไปยังเซิร์ฟเวอร์ควบคุม พร้อมติดตั้ง LaunchDaemon ไว้ฝังตัวถาวร

สิ่งที่ทำให้ AmnesiaStealer ต่างจากตระกูลที่เป้าหมายทับซ้อนกันอย่าง Atomic (AMOS), MacSync และ CrashStealer คือการตั้งค่าผ่านตัว builder การแยกตรรกะตามเวอร์ชันของระบบปฏิบัติการเพื่อไปหยิบช่องทางหลบเลี่ยงที่แอปเปิลแพตช์ไปแล้ว และโมดูลควบคุมระยะไกลในขั้นที่สอง

รายละเอียดข่าว

เว็บไซต์ SecurityWeek รายงานเมื่อวันที่ 14 สิงหาคม 2569 ว่า นักวิจัยของบริษัท Jamf พบมัลแวร์ขโมยข้อมูลหลายขั้นตอนตัวใหม่บน macOS ที่แพร่ผ่านหน้าดาวน์โหลด GitHub ปลอม ซึ่งเป็นรูปแบบที่พบมากขึ้นในการโจมตีแบบ ClickFix ที่หลอกให้เหยื่อรันคำสั่งเองแทนการเจาะช่องโหว่ เมื่อเหยื่อวางคำสั่งลงใน Terminal ตามที่หน้าเว็บปลอมบอก เครื่องจะดาวน์โหลดสคริปต์เชลล์ที่ดึงเพย์โหลดหลักมาติดตั้ง ตัวขโมยข้อมูลจะสำรวจสภาพแวดล้อมของเครื่องก่อน แล้วแสดงหน้าต่างขอรหัสผ่านเข้าระบบ และตรวจรหัสในเครื่องทันทีเพื่อให้แน่ใจว่าใช้ได้จริง จากนั้นจึงคัดลอก keychain ทั้งสองส่วน กวาดฐานข้อมูลของเบราว์เซอร์ตระกูล Chromium 6 ตัว เช่น Chrome, Brave, Arc และ Edge และดึงข้อมูลจาก Apple Notes กับไฟล์เอกสารของผู้ใช้

จุดที่นักวิจัยเน้น คือ มัลแวร์เขียนทับคีย์ Safe Storage ของแต่ละเบราว์เซอร์ใน login keychain ด้วยค่าที่ผู้โจมตีกำหนด รหัสผ่านและคุกกี้ที่บันทึกไว้ก่อนหน้าจึงกู้คืนไม่ได้อีก Jamf อธิบายว่าผู้พัฒนายอมเสียข้อมูลส่วนนี้ เพราะบน macOS 26 มัลแวร์กู้คีย์เดิมออกมาไม่ได้ จึงเปลี่ยนเป็นคีย์ที่ผู้ปฏิบัติการรู้ค่า เพื่อให้ทุกอย่างที่เข้ารหัสหลังจากนั้นถอดได้จากฝั่งผู้โจมตี ส่วนการขโมยคุกกี้ของ Safari และเข้าถึงฐานข้อมูล TCC มัลแวร์ใช้ช่องโหว่เก่า CVE-2020-9771 ซึ่งบน macOS 26 ใช้ได้เฉพาะเมื่อ Terminal หรือกระบวนการของมัลแวร์มีสิทธิ์ Full Disk Access อยู่แล้ว รายงานยังระบุว่ามัลแวร์นี้มีเป้าหมายทับซ้อนกับ Atomic (AMOS), MacSync และ CrashStealer แต่ต่างออกไปสามจุด ได้แก่ การตั้งค่าผ่าน builder ตรรกะที่แตกแขนงตามเวอร์ชันระบบปฏิบัติการ และโมดูลควบคุมระยะไกลในขั้นที่สอง

วิธีการโจมตี

ห่วงโซ่การโจมตีเริ่มจากหน้าดาวน์โหลด GitHub ปลอมที่ทำหน้าที่เป็นกับดัก ClickFix กล่าวคือหลอกให้ผู้ใช้เชื่อว่าต้องคัดลอกคำสั่งหนึ่งบรรทัดไปวางใน Terminal เพื่อแก้ปัญหาหรือดำเนินการติดตั้งให้เสร็จ วิธีนี้ทำให้มัลแวร์ไม่ต้องพึ่งช่องโหว่ใด ๆ เพราะเหยื่อเป็นผู้อนุญาตให้โค้ดรันด้วยตัวเอง

ขั้นแรกคือสคริปต์เชลล์ที่ดึงเพย์โหลดหลักลงมาและสั่งรัน ขั้นที่สองคือตัวขโมยข้อมูลที่เขียนด้วย Rust ทำหน้าที่สำรวจเครื่อง หลอกเก็บรหัสผ่าน คัดลอก keychain กวาดข้อมูลเบราว์เซอร์ Chromium ทั้งหก รวมถึง Apple Notes และเอกสาร แล้วบีบอัดส่งออกไปยังเซิร์ฟเวอร์ควบคุม ก่อนติดตั้ง LaunchDaemon เพื่อคงอยู่ในเครื่องหลังรีบูต

ระหว่างทางมัลแวร์จะพยายามหลบเลี่ยงกรอบการทำงาน TCC สองวิธี เพื่อเปิดทางเข้าถึงคุกกี้ของ Safari และสิทธิ์อ่านดิสก์ทั้งลูก โดยหนึ่งในนั้นคือการอาศัย CVE-2020-9771 ซึ่งเป็นช่องทางเก่า และบนระบบรุ่นใหม่จะสำเร็จเฉพาะกรณีที่กระบวนการต้นทางมีสิทธิ์ Full Disk Access อยู่แล้ว

ขั้นสุดท้ายคือโมดูลชื่อ stream ซึ่งจะทำงานก็ต่อเมื่อได้รับคำสั่ง remote_stream จากเซิร์ฟเวอร์ควบคุม โมดูลนี้จะโคลนโปรไฟล์เบราว์เซอร์ของเหยื่อแล้วเปิดสำเนาแบบ headless ขึ้นมา จากนั้นใช้ Chrome DevTools Protocol หรือ CDP สร้างช่องทางถ่ายทอด ทำให้ผู้โจมตีเข้าควบคุมเซสชันเบราว์เซอร์ของเหยื่อได้โดยตรง

Jamf อธิบายว่าผู้ปฏิบัติการจะได้รับภาพถ่ายทอดสดของเซสชันที่ราว 3 เฟรมต่อวินาที และสั่งงานได้ครบชุดทั้งคีย์บอร์ด เมาส์ การเลื่อนหน้าจอ การนำทาง และการจัดการแท็บ ซึ่งทั้งหมดจะถูกแปลงเป็นคำสั่ง CDP ยิงใส่เบราว์เซอร์ headless แบบเรียลไทม์ นักวิจัยย้ำว่านี่คือเซสชันเบราว์เซอร์ที่มีคนลงมือควบคุมจริง ไม่ใช่สคริปต์ดูดข้อมูลอัตโนมัติ

ผลกระทบ

ผู้ใช้ macOS ที่ถูกหลอกด้วยหน้าดาวน์โหลดปลอมจะสูญเสียมากกว่าไฟล์และรหัสผ่านที่ถูกดูดออกไป เพราะโมดูลควบคุมเบราว์เซอร์ทำให้ผู้โจมตีเข้าไปนั่งอยู่ในเซสชันที่ล็อกอินค้างไว้แล้ว การป้องกันที่อาศัยรหัสผ่านหรือการยืนยันตัวตนสองชั้นตอนล็อกอินจึงไม่ช่วย เพราะขั้นตอนนั้นผ่านไปแล้วก่อนที่ผู้โจมตีจะเข้ามาใช้เซสชัน

พฤติกรรมเขียนทับคีย์ Safe Storage สร้างความเสียหายอีกชั้นที่ไม่ใช่แค่การขโมย เพราะรหัสผ่านและคุกกี้ที่เหยื่อบันทึกไว้ในเบราว์เซอร์ก่อนติดเชื้อจะกู้กลับไม่ได้เลย ผู้ใช้ที่พึ่งพาตัวจัดการรหัสผ่านในตัวเบราว์เซอร์เป็นหลักจึงมีโอกาสสูญเสียข้อมูลถาวร ไม่ใช่แค่ต้องเปลี่ยนรหัสผ่านใหม่

ในเชิงองค์กร เครื่อง macOS ที่ผู้ใช้มีสิทธิ์ผู้ดูแลเครื่องตัวเองและมี Terminal ที่ได้ Full Disk Access ไว้ก่อนแล้วจากการติดตั้งเครื่องมือของนักพัฒนา คือกลุ่มที่เสี่ยงสูงสุด เพราะเงื่อนไขนั้นเองที่ทำให้ช่องทางหลบเลี่ยง TCC ยังทำงานได้บนระบบรุ่นใหม่

อย่างไรก็ตาม รายงานนี้ยังไม่ระบุจำนวนเหยื่อ ประเทศเป้าหมาย หรือกลุ่มผู้อยู่เบื้องหลัง และไม่ได้เปิดเผยตัวชี้วัดการบุกรุกในเนื้อรายงานที่เผยแพร่ จึงยังประเมินขนาดของแคมเปญไม่ได้จากข้อมูลชุดนี้

คำแนะนำ

ผู้ดูแลระบบควรถือว่าคำสั่งที่หน้าเว็บใด ๆ ขอให้คัดลอกไปวางใน Terminal เป็นสัญญาณอันตรายเสมอ และสื่อสารกฎข้อนี้กับผู้ใช้ให้ชัด เพราะ ClickFix ทำงานได้ด้วยความยินยอมของเหยื่อล้วน ๆ ไม่มีช่องโหว่ให้แพตช์

ควรตรวจสอบและจำกัดรายชื่อแอปที่ได้สิทธิ์ Full Disk Access โดยเฉพาะ Terminal และ iTerm ซึ่งมักถูกให้สิทธิ์ค้างไว้จากงานติดตั้งครั้งเดียว รวมถึงเฝ้าระวังการสร้าง LaunchDaemon ใหม่ และกระบวนการเบราว์เซอร์ที่ถูกเปิดด้วยพารามิเตอร์ headless หรือเปิดพอร์ตดีบักของ CDP ซึ่งไม่ใช่พฤติกรรมปกติของผู้ใช้ทั่วไป

ในระดับเครือข่าย ควรเฝ้าดูการเชื่อมต่อขาออกที่มีลักษณะสตรีมต่อเนื่องจากเครื่องผู้ใช้ และตรวจสอบว่าโปรไฟล์เบราว์เซอร์ถูกคัดลอกไปยังตำแหน่งผิดปกติหรือไม่ ส่วนผู้ใช้ที่สงสัยว่าติดเชื้อแล้วควรเปลี่ยนรหัสผ่านของทุกบัญชีจากอุปกรณ์เครื่องอื่น เพิกถอนเซสชันที่ยังเปิดค้างอยู่ทั้งหมด และหลีกเลี่ยงการเก็บรหัสผ่านไว้ในเบราว์เซอร์โดยตรง

แหล่งอ้างอิง