สรุปสั้น
โดเมน third-party[.]com ที่นิยมใช้เป็น placeholder ในเอกสารมานานหลายปี ถูกพบว่ากำลังเสิร์ฟตัวลวง ClickFix ให้เบราว์เซอร์บนวินโดวส์ ขณะที่แสดงหน้าลวงไม่มีพิษภัยให้ผู้ใช้รายอื่น นายแอ็กซ์ ชาร์มา (Ax Sharma) หัวหน้าฝ่ายวิจัยของบริษัท Manifold Security อธิบายว่า third-party[.]com ทำหน้าที่เป็น placeholder ในเอกสารมานาน เหมือนบทบาทของ example.com แต่ต่างกันตรงที่มันไม่ได้ถูกสงวนโดย IANA ใครก็จดทะเบียนได้ และก็มีคนจดไปแล้ว ทำให้ทุกเอกสาร เทสต์ และ skill ที่ฝังโดเมนนี้ไว้แบบตายตัวกลายเป็นตัวชี้ผู้อ่านไปยังโครงสร้างพื้นฐานของผู้โจมตี
ปัจจุบันโดเมนนี้ถูกทำเครื่องหมายว่าเป็นอันตรายและไม่ปลอดภัยทั้งบน VirusTotal และรายการ Safe Browsing ของ Google โดย Manifold ระบุว่าโดเมนเสิร์ฟตัวลวง ClickFix มาตั้งแต่อย่างน้อยเดือนมิถุนายน 2569 และการค้นบน GitHub พบว่าโดเมนถูกอ้างถึงในรีโพสาธารณะกว่า 1,700 แห่ง รวมถึงที่เกี่ยวกับ AI agent skills และเอกสาร MCP-server ที่ยกโดเมนนี้เป็นตัวอย่างปลายทาง
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กันยายน พ.ศ. 2569 ว่า บริษัท Manifold Security เปิดเผยการนำโดเมน placeholder third-party[.]com มาใช้เป็นอาวุธเพื่อเสิร์ฟกล ClickFix
ClickFix เป็นเทคนิควิศวกรรมสังคมที่เว็บไซต์ซึ่งเป็นอันตรายหรือเว็บของแท้ที่ถูกเจาะ จะแสดงข้อความแจ้งข้อผิดพลาด การแจ้งเตือนเบราว์เซอร์ หรือหน้ายืนยัน CAPTCHA เพื่อหลอกให้ผู้ใช้คัดลอกและรันคำสั่งที่ซ่อนไว้ผ่านกล่อง Windows Run หรือ Terminal โดยอ้างว่าเป็นการ “แก้ปัญหา” บ่อยครั้งหน้าเว็บที่ใช้ ClickFix อาศัยการยึดคลิปบอร์ด (clipboard hijacking) เพื่อ inject สคริปต์หรือคำสั่งอันตรายลงในคลิปบอร์ดของเหยื่อโดยอัตโนมัติ วิธีนี้บางครั้งเรียกว่า pastejacking
Manifold ระบุว่าผู้ใช้วินโดวส์ที่เข้าชมหน้าเว็บจะเห็นหน้าตรวจสอบ Cloudflare ที่วางคำสั่งลงคลิปบอร์ดของเหยื่อและสั่งให้วางกับรันผ่านกล่อง Windows Run โดยคำสั่งที่ถูกวางออกแบบมาเพื่อดึงและรัน payload PowerShell จากระยะไกล ขณะที่ผู้ใช้ macOS ที่เข้าชมหน้าเดียวกันจะเห็นข้อความว่า “macOS ไม่รองรับ เว็บไซต์นี้ต้องใช้พีซีวินโดวส์ กรุณาลองใหม่จากอุปกรณ์วินโดวส์” การใช้โดเมนที่ถูกไว้วางใจอย่างไม่ตั้งคำถามในลักษณะนี้ ยังเปิดช่องไปสู่ prompt injection และพฤติกรรมที่ไม่พึงประสงค์อื่น ๆ ได้ นายชาร์มาชี้ว่าในทุกจุดที่โดเมนถูกอ้าง มันคือสิ่งที่เห็น คือ placeholder ตัวอย่างและตัวแทน ซึ่งเป็นการใช้งานที่สมเหตุสมผลของทีมงาน แต่ตอนนี้มันกลายเป็นตัวชี้แบบสด ๆ ไปยังเซิร์ฟเวอร์ ClickFix
ขอบเขตปัญหาและโดเมน placeholder อื่น
Manifold เตือนว่ากรณีนี้เผยจุดอ่อนสำคัญ นั่นคือการสแกนไฟล์แบบ static มองไม่เห็นสิ่งที่เว็บไซต์เลือกจะส่งกลับมา ตามที่บริษัทระบุว่า “คุณสแกน skill อ่านไฟล์ resolve โดเมนจากกล่องวิเคราะห์ และสรุปว่าปลอดภัย แต่ก็ผิดโดยสิ้นเชิงเกี่ยวกับสิ่งที่เอเจนต์ของผู้ใช้วินโดวส์ได้รับเมื่อตามลิงก์เดียวกัน” เพราะร่องรอยจะปรากฏเฉพาะตอนส่งคำขอจริงจากผู้เรียกที่แท้จริงเท่านั้น
หลังการเปิดเผย Manifold ยังพบโดเมน placeholder อีก 13 รายการที่ไม่ถูกสงวนโดย IANA โดยสองในนั้นคือ yoursite[.]com และ your-domain[.]com กำลังเสิร์ฟสแกมและ scareware ให้ผู้เข้าชม macOS พร้อมแสดงหน้า parking ธรรมดาให้ผู้ใช้อื่น นักวิจัยนายโคดี แนช (Cody Nash) ระบุว่า บนเบราว์เซอร์ macOS โดเมน your-domain[.]com แสดงหน้า “MacOS Security Center” ปลอมที่อ้างว่าพบไวรัส 4 ตัวและขายการต่ออายุ McAfee ปลอมลดราคา 55% ส่วน yoursite[.]com แสดงบทความข่าว ZDF ปลอมโฆษณาแผนการลงทุนหลอกลวง โดเมนทั้งหมดที่ผ่านการตรวจแบบ static ได้แก่ your-domain[.]com, yourdomain[.]com, your-site[.]com, yoursite[.]com, your-app[.]com, yourapp[.]com, myapp[.]com, mysite[.]com, acme[.]com, company[.]com, mycompany[.]com, vendor[.]com และ foo[.]com ที่แย่ไปกว่านั้นคือ สองโดเมนที่เสิร์ฟสแกมและ scareware ปรากฏอยู่ในไฟล์ GitHub นับแสนไฟล์และ agent skill นับร้อย
ผลกระทบ
กรณีนี้เป็นการโจมตีห่วงโซ่อุปทานรูปแบบใหม่ที่อาศัยความไว้วางใจในโดเมนตัวอย่าง เมื่อ placeholder ที่ดูไม่มีพิษภัยถูกฝังตายไว้ในเอกสาร เทสต์ และ skill จำนวนมหาศาล การที่ใครสักคนจดทะเบียนโดเมนนั้นได้ก็เท่ากับยึดจุดที่นักพัฒนาและเอเจนต์ AI นับไม่ถ้วนจะวิ่งเข้าหา ความเสี่ยงยิ่งรุนแรงในยุคที่เอเจนต์ AI ตามลิงก์ในเอกสารและ skill โดยอัตโนมัติ เพราะผู้ใช้อาจไม่ได้ตรวจปลายทางด้วยตาเลย และการที่หน้าเว็บส่งเนื้อหาต่างกันตามระบบปฏิบัติการหรือผู้เรียก ทำให้การสแกนแบบ static ให้ความมั่นใจลวง ๆ ว่าปลอดภัย
คำแนะนำ
- ตรวจสอบเอกสาร โค้ด เทสต์ และ skill ขององค์กร แล้วแทนที่โดเมน placeholder ที่ไม่ถูกสงวน (เช่น third-party.com, yourcompany.com, your-api.com) ด้วยโดเมนที่สงวนไว้จริงอย่าง example.com, example.org หรือ example.net เท่านั้น
- ถือว่าโดเมน placeholder ที่ฟังดูสมเหตุสมผลแต่ไม่อยู่ในการควบคุมของคุณเป็นโดเมนที่ squattable และเปิดให้ผู้โจมตีนำไปใช้ได้
- อย่าพึ่งการสแกนไฟล์แบบ static เพียงอย่างเดียว เพราะมองไม่เห็นเนื้อหาที่เว็บเลือกส่งตามผู้เรียก ควรทดสอบการ resolve จริงจากบริบทที่เอเจนต์/ผู้ใช้จะเจอ
- บล็อกและเฝ้าระวังโดเมนในรายการด้านล่าง และห้ามรันคำสั่งที่คัดลอกจากหน้าเว็บในกล่อง Windows Run หรือ Terminal
Indicators of Compromise (IoCs)
หมายเหตุ: โดเมนถูก defang ไว้ (เช่น
[.]) ให้ re-fang เฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM เท่านั้น
| ประเภท | ตัวบ่งชี้ | คำอธิบาย |
|---|---|---|
| Domain | third-party[.]com | เสิร์ฟกล ClickFix ให้ผู้ใช้วินโดวส์ (ตั้งแต่ ~มิ.ย. 2569) |
| Domain | your-domain[.]com | เสิร์ฟ scareware “MacOS Security Center” ปลอม/McAfee ปลอม |
| Domain | yoursite[.]com | เสิร์ฟบทความ ZDF ปลอมโฆษณาการลงทุนหลอกลวง |
| Domain | yourdomain[.]com, your-site[.]com, your-app[.]com, yourapp[.]com, myapp[.]com, mysite[.]com, acme[.]com, company[.]com, mycompany[.]com, vendor[.]com, foo[.]com | โดเมน placeholder ที่ไม่ถูกสงวนโดย IANA และผ่านการตรวจแบบ static |