สรุปสั้น
นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์เปิดเผยรายละเอียดของชุดเครื่องมือหลังเจาะระบบบนเบราว์เซอร์ตระกูล Chromium ชื่อ PEEP ที่ปลอมตัวเป็นส่วนขยายจัดการบุ๊กมาร์กในชื่อ Smart Bookmarks จุดเด่นของมันไม่ได้อยู่ที่การหลอกให้ผู้ใช้กดติดตั้ง แต่อยู่ที่ตัวติดตั้งซึ่งฝังส่วนขยายลงในโปรไฟล์ของ Chrome และ Edge โดยตรง พร้อมปลอมค่าตรวจสอบความถูกต้องที่ Chromium ใช้ยืนยันไฟล์ Secure Preferences ของตัวเอง ผลคือส่วนขยายถูกเปิดใช้งานโดยไม่ผ่านการตรวจของ Chrome Web Store และไม่มีหน้าต่างขออนุญาตจากผู้ใช้ปรากฏขึ้นเลย
สิ่งที่ทำให้ PEEP อันตรายกว่าตัวขโมยข้อมูลในเบราว์เซอร์ทั่วไปคือสะพานที่ชื่อ native messaging host ซึ่งเป็นกลไกปกติของ Chromium ที่อนุญาตให้ส่วนขยายคุยกับโปรแกรมภายนอกบนเครื่องได้ PEEP ใช้ช่องทางนี้เรียกไฟล์ nm_host.exe เพื่อสั่งรันคำสั่งเชลล์ จัดการไฟล์ และสำรวจกระบวนการกับบริการบนระบบ ทำให้มัลแวร์ข้ามขอบเขตแซนด์บ็อกซ์ของเบราว์เซอร์ออกไปถึงระดับระบบปฏิบัติการ และเพราะตรรกะหลักทำงานอยู่ภายในโปรเซสของเบราว์เซอร์ที่มีลายเซ็นถูกต้อง มันจึงเลี่ยงการตรวจจับที่จับจ้องไบนารีใหม่หรือไบนารีที่ไม่มีลายเซ็นไปได้
ต้องย้ำว่า PEEP ไม่มีวิธีเข้าถึงเครื่องเหยื่อในตัวเอง มันเป็นเครื่องมือขั้นหลังที่ผู้โจมตีต้องเจาะเครื่องด้วยวิธีอื่นและมีสิทธิ์ระดับผู้ดูแลระบบหรือรันโค้ดได้อยู่ก่อนแล้ว การพบ PEEP บนเครื่องจึงไม่ใช่จุดเริ่มต้นของเหตุการณ์ แต่เป็นสัญญาณว่าเครื่องนั้นถูกยึดไปก่อนหน้าแล้ว ปัจจุบันยังไม่มีการระบุว่าใครอยู่เบื้องหลัง แม้จะพบร่องรอยภาษาจีนในซอร์สโค้ดซึ่งชี้ไปที่ผู้โจมตีที่ใช้ภาษาจีนเท่านั้น
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 7 กันยายน 2569 ว่า บริษัท SOCRadar เปิดเผยการวิเคราะห์ชุดเครื่องมือหลังเจาะระบบชื่อ PEEP ซึ่งทำงานบนเบราว์เซอร์ตระกูล Chromium และปลอมตัวเป็นส่วนขยายจัดการบุ๊กมาร์กเพื่อฝังตัวอยู่ในเบราว์เซอร์ของเหยื่อ
รายงานระบุว่า “ด้วยเงื่อนไขว่าต้องมีสิทธิ์ผู้ดูแลระบบหรือความสามารถในการรันโค้ดอยู่ก่อนแล้ว ตัวติดตั้งของมันจะฝังส่วนขยายลงในโปรไฟล์ Chrome และ Edge โดยตรง ข้ามการตรวจสอบของ Web Store และการขออนุญาตจากผู้ใช้ด้วยการปลอมค่าความถูกต้องของ Secure Preferences ที่ Chromium ใช้เอง” และเสริมว่าเครื่องมือ native messaging ทำให้ขีดความสามารถขยายจากการเก็บข้อมูลในเบราว์เซอร์ไปสู่การสั่งคำสั่งและจัดการไฟล์ในระดับเครื่อง
เมื่อติดตั้งสำเร็จ เอเจนต์ของ PEEP จะติดต่อเซิร์ฟเวอร์สั่งการ (C2) ที่ 206.237.30[.]232 หรือ xfjcc[.]fun ทุก 30 วินาทีผ่าน HTTP แบบไม่เข้ารหัส เพื่อรับคำสั่งใหม่ พร้อมส่งประวัติการท่องเว็บ ข้อมูลของแท็บที่กำลังเปิดอยู่ และคุกกี้เซสชันออกไป นอกจากนั้นยังทำหน้าที่เป็นเครื่องมือเข้าถึงระยะไกลและเฝ้าดูพฤติกรรมบนเบราว์เซอร์ สั่งรันคำสั่งบนเครื่อง ขโมยข้อมูลยืนยันตัวตน ยึดเซสชัน และแก้ไขหน้าเว็บที่ผู้ใช้เห็นได้ด้วย
PEEP ถูกสร้างขึ้นบนฐานของเฟรมเวิร์กโอเพนซอร์สสำหรับวิเคราะห์ข้อมูลเบราว์เซอร์และงาน red team ชื่อ RedExt ซึ่งเคยถูกนำไปใช้ในการโจมตี GlassWorm มาก่อน แต่ PEEP ต่อยอดออกไปด้วยชุดคำสั่งติดตั้งเฉพาะทาง สะพานเชื่อมกับโฮสต์ การส่งสัญญาณ heartbeat ช่องทางอัปเดตตัวเอง และชุดคำสั่งที่กว้างกว่าเดิม จนถือได้ว่าเป็นสายพันธุ์ที่แตกออกมาจาก RedExt
ส่วนขยายตัวนี้ใช้ชื่อ “Smart Bookmarks” รหัส ejkndncpkdcjcikfhiamcdehdoegilbj และทำหน้าที่เป็นเอเจนต์หลักที่วนรอบติดต่อ C2 ผ่านเส้นทาง /api/commands เก็บข้อมูลจากเบราว์เซอร์ รับงานเพิ่มเติม แล้วส่งผลลัพธ์กลับไป โดยคำสั่งที่ทำงานอยู่ในขอบเขตเบราว์เซอร์ เช่น การจับภาพหน้าจอ อ่านคลิปบอร์ด หรือแทรกจาวาสคริปต์ จะถูกรันในเครื่องเอง ส่วนคำสั่งที่ต้องแตะระบบปฏิบัติการจะถูกส่งต่อไปยังไฟล์ nm_host.exe
บริษัท SOCRadar ยังพบว่า PEEP รักษาการฝังตัวไว้ด้วยหลายวิธีพร้อมกัน ทั้งการ sideload นโยบายบังคับติดตั้งระดับองค์กร การแก้ไขค่าความถูกต้องของไฟล์ตั้งค่า และการใช้ ScriptCache เป็นทางสำรอง โดยมีสคริปต์ PowerShell ช่วยงานนี้อย่างน้อยสามตัว และยังพบสคริปต์ Python ชื่อ patch_secure_prefs_linux.py ซึ่งบ่งชี้ว่าผู้โจมตีกำลังทำซ้ำพฤติกรรมเดียวกันเพื่อเล่นงานเครื่อง Linux ด้วย
ประเด็นที่น่าสนใจอีกข้อคือรายงานพบการอ้างถึงการใช้งานแบบ “Authorized CTF” หลายจุดในโค้ด ซึ่ง SOCRadar ตั้งข้อสังเกตว่าอาจเป็นการสวมกรอบให้ดูเหมือนงานแข่งขันด้านความปลอดภัย เพื่อลดการ์ดของเครื่องมือ AI ที่ผู้โจมตีใช้ช่วยพัฒนามัลแวร์ ขณะเดียวกันเส้นทาง /health ของแผงควบคุมซึ่งเปิดให้เข้าถึงได้โดยไม่ต้องล็อกอิน แสดงตัวเลขเอเจนต์ 34 รายการ เซสชันที่ยังทำงานอยู่ 10 รายการ และข้อมูลที่เก็บได้ 507 รายการ แต่ยังไม่มีทางแยกได้ว่ารายการใดเป็นเครื่องที่ติดจริงและรายการใดเป็นการทดสอบของผู้พัฒนาเอง
วิธีการโจมตี
หัวใจของ PEEP อยู่ที่การแก้ไขไฟล์ Secure Preferences ซึ่งเป็นไฟล์ที่ Chromium ใช้เก็บค่าตั้งค่าสำคัญพร้อมค่าตรวจสอบความถูกต้อง (integrity value) เพื่อกันไม่ให้โปรแกรมอื่นมาแก้ค่าโดยพลการ เมื่อมัลแวร์คำนวณและปลอมค่าเหล่านั้นได้ ส่วนขยายที่ไม่เคยผ่าน Chrome Web Store จึงถูกทำเครื่องหมายว่าเป็นส่วนขยายที่ถูกอนุญาตแล้วและเปิดใช้งานอัตโนมัติทุกครั้งที่เปิดเบราว์เซอร์ นอกจากนี้ยังใช้นโยบายระดับองค์กรอย่าง ExtensionInstallForcelist และ ExtensionSettings ซึ่งปกติผู้ดูแลระบบใช้บังคับติดตั้งส่วนขยายให้พนักงาน มาเป็นช่องทางส่งมอบเช่นกัน
สคริปต์ที่ใช้ประกอบมีอย่างน้อยสามตัว ได้แก่ install_silent.ps1 ที่เปิดโหมดนักพัฒนาเพื่อให้ sideload ส่วนขยายใดก็ได้ patch_secure_prefs.ps1 ที่แก้ไขไฟล์ Secure Preferences และ force_enable.ps1 ที่ลบรายการส่วนขยายออกจาก external_uninstalls ในไฟล์ Preferences วางไฟล์ CRX ไว้ที่ %LOCALAPPDATA%\PEEP\crx ลงทะเบียนใหม่ผ่านคีย์ Extensions ใน HKCU และไฟล์ External Extensions JSON แล้วรีสตาร์ตเบราว์เซอร์เพื่อให้ค่าที่แก้ไว้มีผล
เมื่อเริ่มทำงาน ส่วนขยายจะอ่านไฟล์ตั้งค่าเพื่อดึงข้อมูล C2 และเปิดการเก็บข้อมูลอัตโนมัติ พร้อมฝังสคริปต์คู่หู content.js ลงในทุกหน้าเว็บที่เปิดอยู่ ซึ่งเป็นจุดที่ทำให้มันแก้ไขเนื้อหาหน้าเว็บที่ผู้ใช้กำลังดูได้ ส่วนการสื่อสารกับ C2 แบ่งเป็นหลายเส้นทางชัดเจน ได้แก่ /api/register สำหรับลงทะเบียนเครื่องที่ติด /api/agents//heartbeat สำหรับส่งข้อมูล User-Agent ระบบปฏิบัติการ และเขตเวลา /api/extension_update/ กับ /api/extension_crx/ สำหรับอัปเดตตัวส่วนขยายเอง /api/agents//task_result สำหรับส่งผลลัพธ์ของคำสั่ง และ /api/exfil สำหรับส่งข้อมูลที่เก็บอัตโนมัติ เช่น คุกกี้ ประวัติล่าสุด แท็บที่เปิดอยู่ URL ที่กำลังใช้งาน หมายเลขไอพีสาธารณะ ภาษา และเขตเวลา ขณะที่แผงควบคุมของผู้โจมตีเปิดหน้าล็อกอินไว้ที่พอร์ต 5001
ผลกระทบ
สิ่งที่ PEEP เปลี่ยนไปคือสถานะของเบราว์เซอร์ในสายตาของทีมป้องกัน จากเดิมที่เบราว์เซอร์เป็นเพียงแอปพลิเคชันที่ต้องระวังเรื่องปลั๊กอินอันตราย มันกลายเป็นจุดพักเท้าของผู้โจมตีที่มีทั้งข้อมูลยืนยันตัวตน เซสชันที่ล็อกอินค้างไว้ และช่องทางออกไปสั่งงานระบบปฏิบัติการในตัวเดียวกัน คุกกี้เซสชันที่ถูกดูดออกไปมีค่ามากเป็นพิเศษ เพราะทำให้ผู้โจมตีสวมสิทธิ์บัญชีต่อได้โดยไม่ต้องผ่านการยืนยันตัวตนหลายปัจจัยอีกรอบ
ในแง่การตรวจจับ การที่โค้ดทำงานอยู่ในโปรเซสของเบราว์เซอร์ที่มีลายเซ็นถูกต้องทำให้กลไกที่คอยจับไบนารีแปลกหน้าไม่มีอะไรให้จับ ทราฟฟิกที่วิ่งออกก็เป็นคำขอ HTTP ธรรมดาจากเบราว์เซอร์ซึ่งกลืนไปกับการใช้งานปกติได้ง่าย ส่วนการฝังตัวผ่านนโยบายบังคับติดตั้งระดับองค์กรยังทำให้ส่วนขยายอันตรายดูเหมือนของที่ฝ่ายไอทีตั้งใจติดตั้งเอง ซึ่งเป็นจุดที่ผู้ใช้ทั่วไปแทบไม่มีทางแยกออก
ข้อจำกัดที่ควรระบุไว้ให้ชัดคือขนาดของการระบาดยังประเมินไม่ได้ ตัวเลข 34 เอเจนต์และ 507 ระเบียนข้อมูลบนหน้า /health เป็นข้อมูลที่ผู้โจมตีเปิดทิ้งไว้เอง และปนกันระหว่างเครื่องที่ติดจริงกับรายการทดสอบ อีกทั้งยังไม่มีข้อมูลว่าใครคือกลุ่มเป้าหมาย ร่องรอยภาษาจีนในโค้ดก็เป็นเพียงสัญญาณของภาษาที่ผู้พัฒนาใช้ ไม่ใช่หลักฐานเชื่อมโยงกับกลุ่มใดกลุ่มหนึ่งหรือกับรัฐใด
คำแนะนำ
ตรวจสอบรายการส่วนขยายที่ติดตั้งอยู่บน Chrome และ Edge ของเครื่องในองค์กร โดยเทียบกับรายการที่อนุญาตจริง และให้ความสนใจเป็นพิเศษกับส่วนขยายที่ไม่มีต้นทางจาก Chrome Web Store รวมถึงรหัสส่วนขยาย ejkndncpkdcjcikfhiamcdehdoegilbj ที่ระบุในรายงาน
บังคับใช้นโยบายควบคุมส่วนขยายจากฝั่งองค์กรแทนการปล่อยตามค่าเริ่มต้น ใช้ ExtensionInstallAllowlist กำหนดรายการที่อนุญาต และเฝ้าดูการเปลี่ยนแปลงของนโยบาย ExtensionInstallForcelist และ ExtensionSettings เพราะกลุ่มนี้ใช้กลไกเดียวกันกับที่องค์กรใช้ควบคุมเครื่อง
เฝ้าระวังการสร้างและแก้ไขไฟล์ Native Messaging Host manifest รวมถึงคีย์รีจิสทรีที่เกี่ยวข้อง เพราะเป็นจุดที่ทำให้ส่วนขยายข้ามจากเบราว์เซอร์ไปสั่งคำสั่งระดับระบบได้ และเป็นสัญญาณที่ตรวจจับได้ชัดกว่าตัวส่วนขยายเอง
ตรวจจับการเชื่อมต่อออกไปยัง 206.237.30[.]232 และโดเมน xfjcc[.]fun รวมถึงรูปแบบทราฟฟิกที่วิ่งซ้ำทุก 30 วินาทีจากโปรเซสเบราว์เซอร์ไปยังปลายทางเดียวแบบ HTTP ไม่เข้ารหัส ซึ่งผิดปกติสำหรับการท่องเว็บทั่วไป
หากพบร่องรอย ให้ถือว่าเครื่องนั้นถูกยึดมาก่อนหน้าแล้ว งานจึงไม่จบที่การลบส่วนขยาย ต้องไล่หาช่องทางเข้าถึงเดิมที่ผู้โจมตีใช้ ตรวจสิทธิ์ผู้ดูแลระบบที่ถูกใช้ติดตั้ง และเพิกถอนเซสชันกับหมุนรหัสผ่านของบัญชีที่เคยล็อกอินผ่านเบราว์เซอร์เครื่องนั้นทั้งหมด
Indicators of Compromise (IoCs)
| ประเภท | ตัวบ่งชี้ | คำอธิบาย |
|---|---|---|
| IP | 206.237.30[.]232 | เซิร์ฟเวอร์สั่งการ (C2) ติดต่อผ่าน HTTP ไม่เข้ารหัสทุก 30 วินาที |
| โดเมน | xfjcc[.]fun | โดเมน C2 อีกช่องทางหนึ่ง |
| Extension ID | ejkndncpkdcjcikfhiamcdehdoegilbj | ส่วนขยายปลอมชื่อ “Smart Bookmarks” |
| ไฟล์ | nm_host.exe (com.peep.lab) | Native Messaging Host ที่ใช้สั่งคำสั่งระดับระบบปฏิบัติการ |
| ไฟล์ | install_silent.ps1, patch_secure_prefs.ps1, force_enable.ps1 | สคริปต์ PowerShell สำหรับ sideload และแก้ไข Secure Preferences |
| ไฟล์ | patch_secure_prefs_linux.py | สคริปต์ Python รุ่นสำหรับเป้าหมายบน Linux |
| พาธ | %LOCALAPPDATA%\PEEP\crx | ตำแหน่งเก็บไฟล์ CRX ของส่วนขยาย |
| พอร์ต | 5001 | พอร์ตหน้าล็อกอินของแผงควบคุม C2 |
หมายเหตุ: ไอพีและโดเมนข้างต้นถูก defang แล้วเพื่อป้องกันการคลิกโดยไม่ตั้งใจ