สรุปสั้น
นักวิจัยด้านความมั่นคงปลอดภัยไซเบอร์แกะมัลแวร์ชื่อ JSCeal ออกมาได้สำเร็จ หลังมันถูกคอมไพล์เป็น V8 bytecode และซ้อนการพรางโค้ดไว้หลายชั้นจนเครื่องมือวิเคราะห์ตามปกติทำงานได้ไม่เต็มที่ ความสามารถหลักของมันครอบคลุมตั้งแต่การเก็บเกี่ยวข้อมูลยืนยันตัวตน การเฝ้าดูพฤติกรรมผู้ใช้ ไปจนถึงการดักและแก้ไขทราฟฟิกที่วิ่งผ่านเครื่องเหยื่อ จุดที่อันตรายที่สุดคือมันนำคุกกี้ที่ขโมยมาไปประกอบเซสชันของเบราว์เซอร์ขึ้นใหม่เพื่อสวมสิทธิ์เข้าบัญชี Google ของเหยื่อได้โดยไม่ต้องผ่านขั้นตอนยืนยันตัวตนอีกครั้ง
JSCeal ไม่ใช่ของใหม่เอี่ยม บริษัท Check Point เคยบันทึกไว้ครั้งแรกตั้งแต่เดือนกรกฎาคม 2568 โดยชี้ว่าผู้โจมตีสร้างเว็บไซต์เทรดคริปโตปลอมแล้วดึงผู้ใช้เข้าไปผ่านโฆษณาอันตรายบน Facebook และ Google เว็บปลอมเหล่านั้นจะสั่งให้เหยื่อดาวน์โหลดตัวติดตั้ง TradingView ปลอมซึ่งนำไปสู่การติดมัลแวร์ในที่สุด กิจกรรมชุดนี้ทับซ้อนกับคลัสเตอร์ภัยคุกคามที่ถูกติดตามในชื่อ WEEVILPROXY และ MeadowLocust
สิ่งที่รายงานฉบับล่าสุดเพิ่มเข้ามาคือภาพของการลงทุนอย่างต่อเนื่องของผู้พัฒนา ทั้งการพรางโค้ดที่ซับซ้อนขึ้น การขยายรายชื่อเบราว์เซอร์เป้าหมาย และการติดตั้งพร็อกซีในเครื่องพร้อมสร้างและติดตั้งใบรับรองเอง เพื่อแก้ไขคำขอและการตอบกลับของบริการที่เลือกไว้เป็นการเฉพาะ ซึ่งมีทั้ง Binance, Bybit และ Ledger รวมอยู่ด้วย
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 7 กันยายน 2569 ว่า นักวิจัยได้เปิดเผยผลการวิเคราะห์ JSCeal มัลแวร์ที่เขียนด้วยจาวาสคริปต์และถูกคอมไพล์เป็น V8 bytecode ซึ่งมีทั้งความสามารถในการเก็บข้อมูลยืนยันตัวตน เฝ้าดูพฤติกรรม และดักแก้ไขทราฟฟิกบนเครื่องเหยื่อ
บริษัท Check Point Research ระบุในรายงานเชิงเทคนิคที่เผยแพร่เมื่อสัปดาห์ที่ผ่านมาว่า “เพย์โหลดถูกป้องกันด้วย javascript-obfuscator ผ่านหลายเทคนิคพร้อมกัน ทั้งการเข้ารหัสสตริงด้วย RC4 การทำ control-flow flattening ฟังก์ชันตัวแทน และการห่อหุ้มการดำเนินการพื้นฐาน”
JSCeal ถูกบันทึกครั้งแรกโดย Check Point ในเดือนกรกฎาคม 2568 ซึ่งชี้ให้เห็นการใช้เว็บไซต์เทรดคริปโตเคอร์เรนซีปลอมที่ดึงผู้ใช้เข้าไปด้วยโฆษณาอันตรายบน Facebook และ Google โดยเว็บปลอมจะสั่งให้ดาวน์โหลดตัวติดตั้ง TradingView ปลอมและนำไปสู่การติดตั้งมัลแวร์ กิจกรรมนี้ทับซ้อนกับคลัสเตอร์ที่ถูกติดตามในชื่อ WEEVILPROXY และ MeadowLocust
แคมเปญโฆษณาอันตรายที่ใช้แพร่มัลแวร์อาศัยไฟล์บีบอัด ZIP สองไฟล์ที่ถูกส่งผ่าน PowerShell ไฟล์หนึ่งบรรจุรันไทม์ของ Node.js และอีกไฟล์บรรจุเพย์โหลดหลักพร้อมองค์ประกอบเสริมอื่น ๆ
เมื่อเดือนที่ผ่านมา แพลตฟอร์มด้านความปลอดภัยของโฆษณา Confiant ได้เปิดเผยรายละเอียดปฏิบัติการโฆษณาอันตรายขนาดใหญ่ในชื่อรหัส SourTrade ซึ่งปลอมตัวเป็นแบรนด์เทรดและคริปโตที่ผู้ใช้ไว้ใจอย่าง Solana, Luno และ TradingView เพื่อเสิร์ฟหน้าเว็บเลียนแบบที่มีจาวาสคริปต์อันตรายสั่งให้เบราว์เซอร์ประกอบมัลแวร์ขึ้นในหน่วยความจำโดยตรง
แคมเปญดังกล่าวถูกประเมินว่าเคลื่อนไหวมาตั้งแต่ปลายปี 2567 เล็งนักเทรดรายย่อยและนักลงทุนคริปโตใน 12 ประเทศ 25 ภาษา โดยเน้นหนักที่ภูมิภาคเอเชีย-แปซิฟิกและลาตินอเมริกา และมีหลักฐานบ่งชี้ว่าทับซ้อนกับแคมเปญ JSCeal ที่บริษัท Bitdefender เคยบรรยายไว้เมื่อเดือนกันยายน 2568
Confiant อธิบายจุดที่ทำให้ SourTrade ต่างจากแคมเปญอื่นว่า “สิ่งที่เกิดขึ้นบนหน้า landing page คือความแตกต่างเชิงเทคนิคที่แท้จริง มันไม่ได้แจกจ่ายมัลแวร์ที่ประกอบเสร็จแล้ว แต่ส่งคำสั่งประกอบไปให้เบราว์เซอร์ของเหยื่อ ดึงไฟล์ที่ถูกต้องและสะอาดมาจากโครงสร้างพื้นฐานคนละชุด แล้วสั่งให้เบราว์เซอร์ประกอบมัลแวร์ตัวสุดท้ายขึ้นในหน่วยความจำบนเครื่องเหยื่อเอง ทำให้ไม่มีมัลแวร์ที่ประกอบเสร็จแล้ววิ่งอยู่บนเครือข่ายเลย”
วิธีการโจมตี
การพรางโค้ดของ JSCeal ใช้กลุ่มการแปลงสี่แบบซ้ำ ๆ กัน ได้แก่ การแทนที่ชื่อฟังก์ชันและตัวแปรด้วยตัวระบุสั้นหรือไร้ความหมาย การหั่นสตริงสำคัญออกเป็นชิ้น ๆ แล้วเข้ารหัสด้วย RC4 ก่อนประกอบกลับผ่านฟังก์ชันถอดรหัส การใช้ control-flow flattening เพื่อบีบลำดับการทำงานของโปรแกรมให้เหลือเป็นคำสั่ง switch ชั้นเดียวที่ควบคุมด้วยลูปไม่รู้จบและตัวแปรสถานะ และการส่งต่อการเรียกฟังก์ชันผ่านตัวช่วยที่ทำหน้าที่เป็นตัวแทน พร้อมห่อหุ้มการดำเนินการพื้นฐานอย่างการบวก ลบ เปรียบเทียบ หรือการเรียกฟังก์ชันไว้ในฟังก์ชันตัวช่วยเฉพาะ
บริษัทสัญชาติอิสราเอลรายนี้ระบุว่าได้พัฒนา “ไปป์ไลน์ถอดการพรางแบบสถิตเต็มรูปแบบ” ขึ้นมาเพื่อถอดรหัส V8 bytecode ที่ถูกป้องกันด้วยเครื่องมือดังกล่าว ทำให้มองเห็นทั้งลำดับการทำงานและความสามารถของมัลแวร์ ตั้งแต่การไล่รายชื่อเบราว์เซอร์ที่ติดตั้งอยู่ การดึงข้อมูลลับที่บันทึกไว้ คุกกี้ และโทเคน OAuth ไปจนถึงฟังก์ชันที่ทำหน้าที่เป็น “ตัวจัดเส้นทาง” คอยลงทะเบียนตัวจัดการข้อมูลที่เก็บได้แต่ละประเภท
โมดูลขโมยข้อมูลจากเบราว์เซอร์เล็งเบราว์เซอร์ตระกูล Chromium เป็นรายการยาว ทั้ง Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Avast Secure Browser, Vivaldi และ Cốc Cốc โดยมัลแวร์จะเข้าไปยังตำแหน่งที่คาดว่าเป็นไดเรกทอรีข้อมูลผู้ใช้ของแต่ละเบราว์เซอร์ ไล่ดูโปรไฟล์ที่มีอยู่ แล้วดึงคุกกี้และรหัสผ่านออกมา
ความสามารถที่อันตรายที่สุดคือการนำคุกกี้ที่ขโมยมาไปสร้างเซสชันของเบราว์เซอร์ขึ้นใหม่ แล้วโจมตีแบบ session replay เพื่อข้ามขั้นตอนยืนยันตัวตนและเข้าถึงบัญชี Google ของเหยื่อโดยไม่ได้รับอนุญาต ขณะที่โมดูลที่สองซึ่งฝังอยู่ในมัลแวร์เดียวกันทำหน้าที่เฝ้าดูพฤติกรรม ทั้งการบันทึกการกดแป้นพิมพ์และการจับภาพหน้าจอ
Check Point ยังชี้ว่า JSCeal ทำตามรูปแบบที่โทรจันธนาคารนิยมใช้ นั่นคือติดตั้งพร็อกซีในเครื่องแล้วแทรกหรือแก้ไขเนื้อหาเว็บของบริการที่เลือกไว้ โดยโค้ดที่กู้คืนมาได้แสดงทั้งขั้นตอนตั้งค่าพร็อกซี การสร้างและติดตั้งใบรับรอง และการแก้ไขคำขอกับการตอบกลับเฉพาะบริการ “พร็อกซีตัวนี้ไม่ได้จำกัดอยู่แค่การดักฟังแบบเฉย ๆ โค้ดที่กู้คืนมามีตัวจัดการเฉพาะที่แก้ไขคำขอและการตอบกลับของบริการบางรายการ โดยฟังก์ชันตั้งค่าเปิดช่องให้กำหนดค่าทับแยกกันสำหรับ Binance, Bybit และ Ledger รวมถึงตัวจัดการทั่วไปสำหรับแทนที่ HTML บล็อกโฮสต์ และล้างคุกกี้ที่เลือกไว้” นอกจากนี้ยังมีตัวจัดการอีกหลายตัวที่มุ่งไปที่แพลตฟอร์มคริปโตโดยเฉพาะ ซึ่งตัวหนึ่งทำหน้าที่ดักข้อมูลบัญชีและบันทึกยอดคงเหลือของคริปโตเคอร์เรนซี
ผลกระทบ
กลุ่มที่รับความเสี่ยงเต็ม ๆ คือนักเทรดรายย่อยและนักลงทุนคริปโต ซึ่งเป็นเป้าหมายที่แคมเปญเล็งไว้ชัดเจนใน 12 ประเทศ 25 ภาษา โดยเน้นเอเชีย-แปซิฟิกและลาตินอเมริกา จุดที่ควรสังเกตสำหรับผู้อ่านในภูมิภาคนี้คือรายชื่อเบราว์เซอร์เป้าหมายมี Cốc Cốc ซึ่งเป็นเบราว์เซอร์ที่ใช้กันเฉพาะในเวียดนามรวมอยู่ด้วย การใส่เบราว์เซอร์เฉพาะประเทศเข้าไปในโมดูลขโมยข้อมูลไม่ใช่ผลพลอยได้ แต่เป็นสิ่งที่ต้องเขียนโค้ดรองรับเอง จึงเป็นหลักฐานว่าผู้ใช้ในอาเซียนอยู่ในกลุ่มเป้าหมายที่ตั้งใจเล็งจริง
ในเชิงเทคนิค ความสามารถ session replay ทำให้การเปิดการยืนยันตัวตนหลายปัจจัยไม่ใช่เกราะที่เพียงพออีกต่อไป เพราะผู้โจมตีไม่ได้พยายามล็อกอินใหม่ แต่หยิบเซสชันที่ผ่านการยืนยันแล้วไปใช้ต่อ ผลที่ตามมาคือบัญชี Google ซึ่งมักเป็นศูนย์กลางของอีเมล ไฟล์ และการกู้คืนบัญชีบริการอื่น อาจถูกยึดไปโดยที่เหยื่อไม่เห็นการแจ้งเตือนการล็อกอินผิดปกติเลย
การติดตั้งพร็อกซีพร้อมใบรับรองในเครื่องยกระดับความเสียหายไปอีกขั้น เพราะสิ่งที่เหยื่อเห็นบนหน้าเว็บของแพลตฟอร์มเทรดอาจไม่ใช่สิ่งที่เซิร์ฟเวอร์ส่งมาจริง ยอดคงเหลือ ที่อยู่กระเป๋าเงิน หรือรายละเอียดธุรกรรมสามารถถูกแก้ไขระหว่างทางได้ ทำให้การ “ตรวจสอบบนหน้าจอก่อนกดยืนยัน” ซึ่งเป็นวิธีที่ผู้ใช้ทั่วไปพึ่งพา ใช้ไม่ได้ผลกับเครื่องที่ติดมัลแวร์ตัวนี้
สำหรับฝ่ายวิเคราะห์ ประเด็นสำคัญคือการรวมรูปแบบ V8 ที่ผูกกับเวอร์ชันเข้ากับการพรางโค้ดหลายชั้นก่อนคอมไพล์ ตามที่นักวิจัยชื่อ Aleksandra “Hasherezade” Doniec สรุปไว้ว่าทั้งสองอย่างรวมกันไม่ได้ทำให้มัลแวร์ถอดไม่ได้ แต่ผลักมันออกไปนอกกระบวนการทำงานที่นักวิเคราะห์ใช้ตามปกติ ซึ่งแปลว่าต้นทุนเวลาในการวิเคราะห์สูงขึ้นและการออกลายเซ็นตรวจจับก็ช้าลงตาม
คำแนะนำ
ให้ถือว่าเครื่องที่เคยติดมัลแวร์ขโมยข้อมูลมีเซสชันที่หลุดไปแล้วทั้งหมด การกู้คืนจึงต้องเพิกถอนเซสชันของทุกบัญชีที่เคยล็อกอินบนเครื่องนั้น ไม่ใช่แค่เปลี่ยนรหัสผ่าน สำหรับบัญชี Google ให้ใช้ฟังก์ชันออกจากระบบทุกอุปกรณ์ แล้วจึงตั้งรหัสผ่านใหม่และตรวจรายการอุปกรณ์กับแอปพลิเคชันที่ได้รับสิทธิ์เข้าถึงบัญชี
ตรวจสอบว่ามีใบรับรอง root ที่ไม่รู้จักถูกติดตั้งอยู่ในที่เก็บใบรับรองของเครื่องหรือไม่ และตรวจการตั้งค่าพร็อกซีของระบบกับของเบราว์เซอร์ เพราะเป็นร่องรอยโดยตรงของโมดูลดักแก้ไขทราฟฟิกที่มัลแวร์ตัวนี้ใช้
เฝ้าระวังการทำงานของ Node.js ที่ถูกวางไว้ในตำแหน่งผิดปกติ เช่น ในโฟลเดอร์ผู้ใช้หรือโฟลเดอร์ชั่วคราว รวมถึงการที่ PowerShell แตกไฟล์ ZIP แล้วเรียกรันไทม์ที่ไม่ได้ติดตั้งผ่านช่องทางปกติขององค์กร ซึ่งเป็นรูปแบบการส่งมอบที่แคมเปญนี้ใช้
ควบคุมช่องทางเข้าถึงตั้งแต่ต้นทางด้วยการอบรมผู้ใช้ว่าอย่าดาวน์โหลดโปรแกรมเทรดจากลิงก์โฆษณา และให้ติดตั้งจากเว็บไซต์ทางการที่พิมพ์ที่อยู่เอง เพราะจุดเริ่มของแคมเปญนี้คือโฆษณาบน Facebook และ Google ที่พาไปยังหน้าเลียนแบบ
สำหรับองค์กรที่มีผู้ใช้ในภูมิภาคอาเซียน ควรรวมเบราว์เซอร์ทางเลือกที่นิยมเฉพาะประเทศไว้ในขอบเขตการตรวจสอบด้วย เพราะรายการเป้าหมายของมัลแวร์ครอบคลุมไปถึงเบราว์เซอร์กลุ่มนี้แล้ว ขณะที่นโยบายความปลอดภัยขององค์กรมักครอบคลุมเฉพาะเบราว์เซอร์กระแสหลัก