เว็บธุรกิจยูเครนถูกแฮ็กเสิร์ฟหน้า Cloudflare ปลอมด้วยกล ClickFix ปล่อยอินโฟสตีลเลอร์ Psychedelic

สรุปสั้น

บริษัท Arctic Wolf พบแคมเปญ ClickFix ที่กำลังเดินสายอยู่ ซึ่งเจาะเว็บไซต์ธุรกิจของแท้ในยูเครนเพื่อ inject หน้ายืนยันตัวตน Cloudflare ปลอมลงไป แล้วหลอกให้เหยื่อดาวน์โหลดอินโฟสตีลเลอร์ตัวใหม่ที่ยังไม่เคยมีบันทึกมาก่อนชื่อ Psychedelic เมื่อผู้เข้าชมโต้ตอบกับหน้าเว็บ ตัวลวงจะคัดลอกคำสั่ง Windows Installer ไปไว้ในคลิปบอร์ดแล้วสั่งให้ผู้ใช้นำไปวางในกล่อง Windows Run กล ClickFix นี้ใช้คำสั่ง msiexec.exe ดึงตัวติดตั้ง MSI ของวินโดวส์มาเพื่อส่งมัลแวร์ตัวขโมยข้อมูล

Psychedelic ถูกออกแบบมาเก็บรหัสผ่านเบราว์เซอร์ โทเคนบัญชี และข้อมูลกระเป๋าเงินคริปโต ตั้งการคงอยู่ผ่าน scheduled task และติดต่อเซิร์ฟเวอร์สั่งการและควบคุม (C2) เพื่อรับงานเพิ่มเติม นักวิจัยพบแผงจัดการตัวลวงที่เปิดโล่งชื่อ РУБЛЁВКА TDS (Rublevka TDS) ซึ่งบันทึกยอดเข้าชม 557 ครั้ง คลิก 426 ครั้ง และเหตุการณ์สำเร็จ 79 ครั้งใน 32 ประเทศ โดยยูเครนคิดเป็นสัดส่วนมากที่สุด ร่องรอยแบรนดิงภาษารัสเซียชี้ว่าผู้ปฏิบัติการน่าจะพูดภาษารัสเซีย และเป้าหมายที่ตั้งใจคือผู้ใช้ชาวยูเครนอย่างชัดเจน

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กันยายน พ.ศ. 2569 ว่า บริษัท Arctic Wolf Labs เปิดเผยแคมเปญ ClickFix ที่เจาะเว็บธุรกิจยูเครนเพื่อปล่อยอินโฟสตีลเลอร์ Psychedelic

Arctic Wolf ระบุในรายงานเชิงเทคนิคที่แบ่งปันกับ The Hacker News ว่า “เมื่อผู้เข้าชมโต้ตอบกับหน้าเว็บ ตัวลวงจะคัดลอกคำสั่ง Windows Installer ไปไว้ในคลิปบอร์ดและสั่งให้ผู้เข้าชมวางลงในกล่อง Windows Run” เว็บไซต์ที่ถูกเจาะบางส่วนได้แก่ คลินิกรักษาเส้นผม ผู้ผลิตโมเดลจำลอง ร้านหนังสือเฉพาะทางและสำนักพิมพ์ สถานบริการด้านจิตวิทยา ร้านขายเครื่องมือ และร้านขายสินค้ายานยนต์ โดยเว็บที่ได้รับผลกระทบมีการ inject องค์ประกอบ iframe ที่รับหน้าที่รันจาวาสคริปต์ที่ผู้โจมตีควบคุม (fsputnik[.]com/tds/tracker[.]js)

คำสั่ง ClickFix จะดึงตัวติดตั้ง MSI ชื่อ elita.msi ที่โฮสต์อยู่บนโดเมน uasputnik[.]com ซึ่งจดทะเบียนเมื่อวันที่ 9 กันยายน 2569 นอกจากนี้ยังพบ payload MSI อื่น ๆ ได้แก่ miks.msi, astra.msi, harbor.msi, neon.msi, sova.msi และ vyse.msi หน้าเว็บที่ผู้โจมตีควบคุมเลียนแบบหน้าจอยืนยันตัวตนของ Cloudflare พร้อมคำสั่งเป็นภาษายูเครน โดยการคัดลอกลงคลิปบอร์ดเกิดขึ้นก่อนที่ตัวลวงจะแสดงคำสั่ง Windows Run และหลังหมุนสัญลักษณ์รอ 3 วินาที หน้าเว็บจะแสดงกล่องคำสั่งพร้อมปิดปุ่ม “Done” ไว้อีกราว 35 วินาที ซึ่ง Arctic Wolf ชี้ว่าการหน่วงเวลานี้เป็นเพียงการควบคุมลำดับการแสดงผล ไม่ได้ตรวจว่าเหยื่อเปิด Windows Run วางคำสั่ง หรือติดตั้ง payload จริงหรือไม่

วิธีการโจมตี

ตัวติดตั้ง MSI จะรับหน้าที่ดึง payload ขั้นถัดไปชื่อ psychedeliclove.exe จาก URL 107.175.82[.]242:9000 ไฟล์ปฏิบัติการวินโดวส์ 64 บิตนี้คือ Psychedelic Stealer ซึ่งทำงานหลายอย่าง ได้แก่ เก็บข้อมูลล็อกอินจากเบราว์เซอร์ตระกูล Chromium ทั้ง Google Chrome, Microsoft Edge, Brave, Opera, Opera GX, Vivaldi และ Yandex แล้วส่งออกผ่านปลายทาง /api/v1/ext/passwords, เก็บโทเคนบัญชีที่ผูกกับเบราว์เซอร์ส่งออกผ่าน /api/v1/ext/tokens, สแกนหาส่วนขยายกระเป๋าเงินคริปโต (MetaMask, Trust Wallet, OKX Wallet, SafePal) และแอปเดสก์ท็อป (Exodus, Atomic Wallet, Electrum, Bitcoin Core, Litecoin Core) แล้วส่งออกผ่าน /api/v1/ext/wallets และเก็บข้อมูลเครื่องอย่างละเอียดส่งผ่าน /api/v1/checkin

นอกจากนี้มัลแวร์ยังปิดโปรเซสเบราว์เซอร์ที่เลือกไว้ แตกไฟล์ archive ส่วนขยายที่ฝังมาลงในโปรไฟล์เบราว์เซอร์ และตั้งสะพาน native messaging Arctic Wolf ระบุว่าองค์ประกอบเหล่านี้ขยายปฏิบัติการให้เกินกว่าการเก็บข้อมูลครั้งเดียว เพราะการแก้ไขโปรไฟล์เบราว์เซอร์และ native messaging เปิดกลไกให้เนื้อหาในเบราว์เซอร์สื่อสารกับองค์ประกอบในเครื่องได้ และมีรูทีนเบื้องหลังที่วนกลับมาทำงานเกี่ยวกับส่วนขยายก่อนจะ poll เซิร์ฟเวอร์ C2 เพื่อรับงาน Psychedelic ยังสามารถรับงานเพิ่มผ่านปลายทาง /api/v1/agent/tasks?hwid=%s โดย hwid คือตัวระบุเหยื่อแบบไม่ซ้ำ ทำให้รันไฟล์ EXE, COM, BAT, CMD, MSI และ PowerShell ได้ ซึ่งเปิดทางให้ผู้ปฏิบัติการนำมัลแวร์เพิ่มเข้ามา

Arctic Wolf พบแผงจัดการตัวลวงที่เปิดโล่งชื่อ РУБЛЁВКА TDS (Rublevka TDS) บนโดเมน uasputnik[.]com ซึ่งแยกจาก C2 ของอิมพลานต์ (193.178.159[.]128:8080) ใช้ตั้งค่าคำสั่งบนหน้าลวงและบันทึกการโต้ตอบ ในช่วงที่วิเคราะห์ แผงบันทึกยอดเข้าชม 557 ครั้ง คลิก 426 ครั้ง และเหตุการณ์สำเร็จ 79 ครั้งใน 32 ประเทศ โดยยูเครนคิดเป็น 446 เข้าชม 351 คลิก และ 71 เหตุการณ์สำเร็จ ประเทศเป้าหมายอื่น ได้แก่ สหรัฐฯ โปแลนด์ เยอรมนี แคนาดา และเนเธอร์แลนด์

ClickFix ส่ง RemotePanel และ BoundSiphon

ในช่วงเวลาเดียวกัน บริษัท Blackpoint Cyber เปิดเผยว่าพบมัลแวร์ .NET ที่ยังไม่เคยมีบันทึก 2 องค์ประกอบซึ่งถูกส่งมาพร้อมกันผ่านกล ClickFix ได้แก่ RemotePanel แพลตฟอร์มการเข้าถึงระยะไกลแบบคงอยู่ และ BoundSiphon ตัวขโมยข้อมูลล็อกอินและคริปโตที่เล่นงานทั้งเบราว์เซอร์ Chromium และ Firefox โดย RemotePanel ตั้งการคงอยู่ด้วยการปลอมเป็นบริการ Windows Time และให้ผู้ปฏิบัติการควบคุมเครื่องได้กว้างขวางทั้ง PowerShell การจัดการไฟล์และโปรเซส การเข้าถึงหน้าจอ hVNC แบบโมดูลาร์ และการจัดการเครื่องเป็นกลุ่ม ส่วน BoundSiphon ทำงานจากหน่วยความจำเป็นหลักและเล็งข้อมูลล็อกอินเบราว์เซอร์ เซสชัน กระเป๋าคริปโต ข้อมูลโปรแกรมจัดการรหัสผ่าน และเอกสารที่เลือก รวมถึงความลับที่ป้องกันด้วย Chromium App-Bound Encryption

ห่วงโซ่โจมตีเริ่มจากคำสั่ง ClickFix ที่ใช้ PowerShell เริ่มกระบวนการหลายขั้น โดยองค์ประกอบกลางทางตัวหนึ่งใช้ COM object ชื่อ CMSTPLUA เพื่อข้าม User Account Control (UAC) และยกระดับสิทธิ์เป็นผู้ดูแลระบบโดยไม่ถามผู้ใช้ จากนั้นตั้งค่ายกเว้น Microsoft Defender เป็นวงกว้างก่อนดึงและรัน payload สองตัว Blackpoint ยังไม่ได้ระบุตัวผู้อยู่เบื้องหลัง แต่กู้ร่องรอยที่ชี้ว่าน่าจะเป็นสภาพแวดล้อมการพัฒนาที่พูดภาษารัสเซีย รวมถึงการตรวจในซอร์สโค้ดเพื่อหลีกเลี่ยงการรันบนเครื่องที่ตั้งเลย์เอาต์แป้นพิมพ์รัสเซีย

ผลกระทบ

แคมเปญนี้สะท้อนว่า ClickFix ยังเป็นเทคนิควิศวกรรมสังคมที่ได้ผล เพราะอาศัยเหยื่อเป็นผู้รันคำสั่งเอง จึงข้ามการป้องกันที่หน้าเว็บและอีเมลได้ การใช้เว็บธุรกิจของแท้ที่ถูกเจาะเป็นฐานปล่อยมัลแวร์ยังทำให้เหยื่อไว้ใจหน้าเว็บมากขึ้น ในกรณีนี้เป้าหมายหลักเป็นผู้ใช้ยูเครน แต่แผงควบคุมบันทึกยอดคลิกจากถึง 32 ประเทศ แสดงว่าโครงสร้างแบบนี้ขยายไปยังภูมิภาคอื่นได้ทันที ที่น่ากังวลคือ Psychedelic ไม่ได้หยุดที่การขโมยข้อมูล แต่ยังฝังส่วนขยายเบราว์เซอร์และตั้ง native messaging เพื่อคงการทำงานต่อเนื่อง อีกทั้งยังรับ payload เพิ่มได้ ทำให้เครื่องที่ติดกลายเป็นหัวสะพานสำหรับการโจมตีขั้นต่อไป

คำแนะนำ

• อย่านำคำสั่งที่คัดลอกจากหน้าเว็บไปวางและรันในกล่อง Windows Run หรือ Terminal ไม่ว่าหน้าเว็บจะอ้างว่าเป็นการยืนยันตัวตน Cloudflare หรือ CAPTCHA ก็ตาม
• พิจารณาปิดหรือจำกัดการเข้าถึงกล่อง Windows Run ผ่านนโยบายกลุ่มสำหรับผู้ใช้ที่ไม่จำเป็น
• เฝ้าระวังการเรียก msiexec.exe และ PowerShell ที่ดึงไฟล์จากอินเทอร์เน็ต รวมถึงการตั้งค่ายกเว้น Microsoft Defender ที่ผิดปกติ
• ตรวจสอบและบล็อกตัวบ่งชี้ในตาราง IoC ด้านล่าง โดยเฉพาะโดเมน sputnik และ payload MSI ที่ระบุ
• องค์กรที่ดูแลเว็บไซต์ควรตรวจหา iframe หรือสคริปต์แปลกปลอมที่ถูก inject เข้ามาในหน้าเว็บของตน

Indicators of Compromise (IoCs)

หมายเหตุ: ที่อยู่ IP และโดเมนถูก defang ไว้ (เช่น [.]) เพื่อป้องกันการเชื่อมต่อโดยไม่ตั้งใจ ให้ re-fang เฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM เท่านั้น

แหล่งอ้างอิง

• Hacked Ukrainian Sites Serve Fake Cloudflare ClickFix Lures for Psychedelic Stealer — The Hacker News
• Psychedelic Stealer: Fake ClickFix CAPTCHA Targets Ukraine — Arctic Wolf
• RemotePanel and BoundSiphon: A Dual-Payload Toolkit — Blackpoint Cyber