สรุปสั้น

ClickFix ได้กลายเป็นวิธีที่ผู้โจมตีใช้เจาะเข้าเครือข่ายองค์กรมากที่สุด และทำได้โดยไม่ต้องอาศัยช่องโหว่ ไฟล์แนบ หรือไฟล์บนดิสก์เลย รายงานภัยคุกคามระดับโลกฉบับใหม่ของบริษัท CTM360 ติดตามเทคนิคนี้ตั้งแต่ยังเป็นของแปลกในปลายปี 2566 จนกลายเป็นสินค้าแบบสมัครสมาชิกที่มีโครงสร้างพื้นฐานบนบล็อกเชนและมีผู้ใช้ระดับรัฐหนุนหลัง และอธิบายว่าเหตุใดการบล็อกโดเมนมุ่งร้ายจึงไม่ใช่แนวป้องกันที่ได้ผลอีกต่อไป

การโจมตีเริ่มจากหน้าเว็บที่นำเสนอปัญหาซึ่งผู้ใช้เชื่อว่าเป็นของตนเองที่ต้องแก้ เช่น การยืนยันว่าไม่ใช่บอทที่ทำไม่สำเร็จ เบราว์เซอร์ที่แสดงผลหน้าไม่ได้ เอกสารที่เปิดไม่ออก หรือเครื่อง Mac ที่พื้นที่จัดเก็บใกล้เต็ม หน้าเว็บจะเสนอ “วิธีแก้” ในรูปของคำสั่ง แอบเขียนคำสั่งนั้นลงคลิปบอร์ด แล้วขอให้ผู้ใช้เปิดหน้าต่างระบบที่ตนเชื่อถืออยู่แล้ว วางคำสั่ง และกด Enter เท่านี้ทั้งหมด ไม่มีช่องโหว่ให้สแกนเนอร์หา ไม่มีไฟล์แนบให้เกตเวย์อีเมลจุดชนวน และไม่มีไฟล์ดาวน์โหลดให้ระบบตรวจชื่อเสียงประเมิน เพราะคำสั่งถูกวางโดยผู้ใช้ที่ล็อกอินและโต้ตอบอยู่จริง ลงในไบนารีของระบบที่มีลายเซ็นถูกต้องและมีอยู่ทุกเครื่อง ซึ่งดูเหมือนงานดูแลระบบตามปกติทุกประการ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กันยายน 2569 อ้างรายงานของบริษัท CTM360 ว่า ClickFix ได้กลายเป็นเทคนิคเข้าถึงเครือข่ายในขั้นแรก (initial access) อันดับหนึ่งในข้อมูลเทเลเมทรีการบุกรุกองค์กร โดยบริษัท Microsoft ระบุว่า 47% ของกรณี initial access ที่ทีม Defender Experts รับมือในปี 2568 มาจาก ClickFix ซึ่งแซงหน้าฟิชชิงแบบดั้งเดิม ขณะที่บริษัท ESET วัดการเพิ่มขึ้นถึง 517% เข้าสู่ครึ่งแรกของปี 2568 และเพิ่มอีก 108% ระหว่างครึ่งหลังของปี 2568 ถึงครึ่งแรกของปี 2569 ด้าน MITRE ได้จัดให้พฤติกรรมนี้เป็นเทคนิคย่อยของตัวเองในรหัส T1204.004 (User Execution: Malicious Copy and Paste) เมื่อเดือนมีนาคม 2568 โดยระบุว่ากระทบทั้งแพลตฟอร์ม Windows, macOS และ Linux

รายงานฉบับนี้รวมการวิเคราะห์เชิงลึกจากแหล่งข้อมูลปฐมภูมิสองชุดเข้ากับงานวิจัยแบบเปิด ได้แก่ การวิเคราะห์ระดับแคมเปญที่ครอบคลุม URL ติดเชื้อกว่า 17,000 รายการซึ่งเสิร์ฟหน้ายืนยันตัวตน Cloudflare ปลอม (ราว 3,000 รายการยังเสิร์ฟหน้าหลอกอยู่ในขณะเขียนรายงาน) และการวิเคราะห์ระดับโฮสต์ของเว็บ WordPress ที่ถูกเจาะเพียงแห่งเดียว เมื่ออ่านประกอบกันจึงเห็นเส้นทางเต็มตั้งแต่หน้าเว็บที่ถูก inject จนถึงมัลแวร์ขโมยข้อมูลที่รันอยู่ในโปรเซสของ Microsoft ที่มีลายเซ็นถูกต้อง

วิธีการโจมตี

รายงานชี้ 3 จุดค้นพบที่สำคัญที่สุดสำหรับผู้ป้องกัน จุดแรกคือโครงสร้างพื้นฐานที่ถูกสร้างมาให้ทนต่อการถอดถอน สคริปต์ที่ถูก inject ลงในเว็บที่ถูกเจาะไม่มีโดเมนของผู้โจมตีอยู่เลย แต่เมื่อผู้เยี่ยมชมโหลดหน้าเว็บ เบราว์เซอร์ของเขาเองจะเรียกอ่านข้อมูลแบบไม่มีค่าใช้จ่ายไปยัง smart contract บนบล็อกเชน Polygon ซึ่งจะคืนสตริงที่เข้ารหัสไว้และถอดออกมาเป็นชื่อโฮสต์ของหน้าหลอกล่าสุด โดยไม่ต้องใช้กระเป๋าเงิน ไม่มีธุรกรรม และไม่มีต้นทุน เทคนิคนี้เรียกว่า EtherHiding ในการวิเคราะห์ช่วงหนึ่งวัน contract นี้คืนค่าโฮสต์หลอกถึง 3 แห่งเรียงต่อกัน โดยไม่มีเว็บที่ถูกเจาะสักแห่งถูกแก้ไข ผู้ควบคุมเพียงแก้ค่าบนบล็อกเชนค่าเดียว เว็บติดเชื้อทุกแห่งก็เปลี่ยนตามภายในไม่กี่วินาที ไม่มีผู้จดทะเบียนโดเมนให้ร้องเรียน ไม่มีผู้ให้บริการโฮสต์ให้แจ้ง แนวคิดเดียวกันนี้ยังปรากฏอีกในขั้นถัดไปของสายโซ่ ที่คำบรรยายช่อง Telegram และหน้าโปรไฟล์ Steam ทำหน้าที่แปลงเป็นที่อยู่ command-and-control ของมัลแวร์ ผลในทางปฏิบัติคือการบล็อกโดเมนหลอกแทบไม่มีประโยชน์ เพราะมันหมุนเปลี่ยนเร็วกว่าที่ blocklist ใด ๆ จะเผยแพร่ทัน

จุดที่สองคือการเลือกเป้าหมายที่ทำฝั่งเซิร์ฟเวอร์ เป็นรายบุคคล และจงใจต้านการวิเคราะห์ หน้าหลอกจะรายงานระบบปฏิบัติการและเวอร์ชันของผู้เยี่ยมชมกลับไปยังผู้ควบคุม ซึ่งจะตอบด้วยการตั้งค่าที่ระบุว่าจะโจมตีแพลตฟอร์มใดและเสิร์ฟหน้าใดให้แต่ละแพลตฟอร์ม ในตัวอย่างที่วิเคราะห์ Windows ถูกเปิดใช้งาน ส่วนหน้าสำหรับ macOS และ Linux ถูกสร้างไว้แล้วแต่เก็บสำรอง อุปกรณ์มือถือถูกปิดกั้นทั้งหมด และมีคุกกี้กดไม่ให้แสดงหน้าซ้อนกับผู้เยี่ยมชมซ้ำนานถึง 90 วัน ความเชื่อที่ว่า ClickFix เป็นปัญหาของ Windows จึงเป็นเพียงคำอธิบายการตั้งค่าปัจจุบัน ไม่ใช่ขีดความสามารถ เพราะสาขา macOS ถูกเตรียมไว้ครบและใช้งานได้จริง มีข้ออ้างของตัวเองรวมถึงหน้าหลอกเรื่องพื้นที่จัดเก็บที่ทำเลียนแบบบทความสนับสนุนของ Apple เบื้องหลังทั้งหมดยังมีระบบกระจายทราฟฟิก (TDS) ที่ตรวจสอบกับผู้ควบคุมทุก ๆ ราว 1.5 วินาที และสามารถทำเครื่องหมายเซสชันว่า “ยืนยันแล้ว” อย่างเงียบ ๆ โดยไม่แสดงคำสั่งมุ่งร้ายเลย นักวิจัย แซนด์บ็อกซ์ และครอว์เลอร์จึงได้หน้าเว็บสะอาด ส่วนเป้าหมายจริงได้หน้าหลอก

จุดที่สามคือเพย์โหลดที่ถูกผูกกับตัวตนของเครื่อง ในตัว dropper ที่กู้มาจากโฮสต์จริง มีการเข้ารหัส base64 ของลายนิ้วมือฮาร์ดแวร์และบัญชี ได้แก่ machine GUID, volume serial, ชื่อเครื่อง, ผู้ผลิต BIOS, รุ่นระบบ, GPU และชื่อผู้ใช้ ใส่ลงในเส้นทางดาวน์โหลดโดยตรง เซิร์ฟเวอร์ command-and-control จึงเห็นตัวตนของเหยื่อก่อนจะเสิร์ฟสิ่งใด และสามารถคืนเพย์โหลดที่เลือกตามแต่ละเครื่อง หรือไม่คืนอะไรเลยก็ได้ แซนด์บ็อกซ์ในที่นี้จึงไม่ได้เป็นเพียงถูกตรวจจับและหลบเลี่ยง แต่ถูกเสิร์ฟเนื้อหาเฉพาะเครื่องที่ไม่ใช่เพย์โหลดที่เหยื่อจริงได้รับ การตัดสินด้วยการจุดชนวน (detonation) บนสายโซ่นี้จึงไม่น่าเชื่อถือเชิงโครงสร้าง และการที่แซนด์บ็อกซ์ไม่เจอเพย์โหลดไม่ใช่หลักฐานว่าเว็บนั้นสะอาด

รายละเอียดเพิ่มเติม

เมื่อนำการวิเคราะห์สองชุดมาอ่านประกอบกัน ชุดหนึ่งหยุดที่ dropper เพราะเพย์โหลดถูกล็อกด้วยลายนิ้วมือเครื่อง ส่วนอีกชุดตามสายโซ่ไปจนสุด ผ่านตัวแปลงที่อยู่แบบ dead-drop บน Telegram สามชั้นและการถอดรหัส AES สองชั้น จนถึงมัลแวร์ Vidar Stealer ที่รันอยู่ในไบนารีของ Microsoft ที่มีลายเซ็นถูกต้องด้วยเทคนิค DLL side-loading ทั้งสองชุดพบรูปแบบ API ของระบบกระจายทราฟฟิกเดียวกัน ซึ่งชี้ว่าเป็นชุดเครื่องมือ (kit) ร่วมกันมากกว่าการออกแบบที่บังเอิญตรงกัน งานวิจัยแบบเปิดของบริษัท Sekoia เมื่อเดือนมิถุนายน 2569 ที่วิเคราะห์เฟรมเวิร์กชื่อ ErrTraffic ระบุว่า Polygon contract ตัวเดียวกับที่พบนี้เป็นของกลุ่มผู้ควบคุมที่กระจาย Vidar โดยเฉพาะ ซึ่ง CTM360 ประเมินความเชื่อมโยงนี้ที่ระดับความมั่นใจปานกลาง เนื่องจากเฟรมเวิร์กถูกขายให้ affiliate หลายรายในราคาราว 380 ดอลลาร์ต่อเดือน ส่วนสาเหตุที่ WordPress ปรากฏซ้ำ ๆ เป็นเพราะมันคือฐานที่ธุรกิจการส่งมัลแวร์ตั้งอยู่ ทั้งโดเมนจริง ใบรับรองที่ถูกต้อง ทราฟฟิกขาเข้าของจริง และในหลายกรณีไม่มีใครเฝ้าติดตาม ซึ่งเป็นชื่อเสียงที่หาซื้อได้ในราคาถูกเช่นนี้ไม่ได้จากที่อื่น

ผลกระทบ

ClickFix เปลี่ยนสมมติฐานพื้นฐานของการป้องกันหลายอย่าง เพราะมาตรการที่พึ่งพาการจดจำโครงสร้างพื้นฐานของผู้โจมตี เช่น การบล็อกโดเมนหรือ IP จะเสื่อมค่าภายในไม่กี่ชั่วโมงเนื่องจากผู้โจมตีหมุนเปลี่ยนที่อยู่ผ่านบล็อกเชนและช่องทางที่ถอดถอนไม่ได้ ขณะเดียวกันการที่เพย์โหลดถูกเสิร์ฟตามลายนิ้วมือเครื่องก็ทำให้เครื่องมือตรวจแบบจุดชนวนในแซนด์บ็อกซ์ไม่น่าเชื่อถือ องค์กรที่ยังวางใจว่า “ไม่เจอมัลแวร์ในแซนด์บ็อกซ์แปลว่าปลอดภัย” จึงเสี่ยงตกเป็นเหยื่อ ที่สำคัญเทคนิคนี้อาศัยการหลอกให้ผู้ใช้ที่ล็อกอินอยู่รันคำสั่งด้วยตัวเอง จึงข้ามการป้องกันแบบเดิมที่มองหาช่องโหว่หรือไฟล์แนบไปได้ทั้งหมด และเมื่อ ClickFix ถูกขายเป็นบริการพร้อมผู้ใช้ระดับรัฐ ความเสี่ยงจึงกระจายทั้งต่อองค์กรทั่วไปและเป้าหมายเชิงยุทธศาสตร์

คำแนะนำ

รายงานสรุปว่ามาตรการที่คงคุณค่าไว้ได้ในทุกรูปแบบของ ClickFix คือมาตรการที่จำกัดสิ่งที่ผู้ใช้ซึ่งโต้ตอบอยู่ได้รับอนุญาตให้รัน องค์กรควรพิจารณาปิดหรือจำกัดการใช้กล่อง Run (Win+R) ผ่านนโยบายกลุ่ม จำกัดการรัน PowerShell ด้วย Constrained Language Mode และควบคุมการรันสคริปต์จากคลิปบอร์ด ควรอบรมผู้ใช้ให้รู้ทันรูปแบบการหลอกที่ขอให้คัดลอกคำสั่งไปวางในหน้าต่างระบบ ไม่ว่าจะอ้างเป็นการยืนยันว่าไม่ใช่บอทหรือการซ่อมเบราว์เซอร์ เฝ้าระวังพฤติกรรมการรันคำสั่งผิดปกติจากโปรเซสของระบบที่มีลายเซ็นถูกต้อง (เช่น การ side-load DLL) และตรวจสอบการเชื่อมต่อออกไปยังบริการอย่าง Telegram หรือ Steam ที่อาจถูกใช้เป็นตัวแปลงที่อยู่ C2 แทนการพึ่งพา blocklist โดเมนเพียงอย่างเดียว

แหล่งอ้างอิง