สรุปสั้น

นักวิจัยความปลอดภัยไซเบอร์ระบุกลุ่มแพ็กเกจ npm จำนวน 101 ตัวที่ถูกใช้ดักนักพัฒนาเข้าสู่แคมเปญเพิ่มผู้ติดตามกลุ่ม WhatsApp ที่ตั้งชื่อว่า PhantomSub โดยทีมนักวิจัยของบริษัท OX Security ได้แก่ นาย Nir Zadok, นาย Moshe Siman Tov Bustan และนาย Vitalii Chepurko ระบุในรายงานเชิงเทคนิคที่เผยแพร่เมื่อวันจันทร์ว่าแพ็กเกจอันตรายเหล่านี้ใช้ประโยชน์จากโปรเจกต์โอเพนซอร์ส Baileys ในการเพิ่มเหยื่อเข้ากลุ่มโดยไม่ได้รับความยินยอม แพ็กเกจทั้งหมดถูกดาวน์โหลดรวมกัน 490,000 ครั้ง ในจำนวนนี้ 116,000 ครั้งเกิดขึ้นใน 30 วันที่ผ่านมา รายละเอียดของกิจกรรมนี้เริ่มปรากฏครั้งแรกในเดือนสิงหาคม 2026 เมื่อ SafeDep ระบุชุด Baileys npm fork ที่มีพฤติกรรมมุ่งร้าย เช่น แอบทำให้บัญชี WhatsApp ของผู้ติดตั้งไปติดตามช่องที่ผู้เขียนแพ็กเกจควบคุม และ inject URL โฆษณาของผู้เขียนลงในทุกภาพและวิดีโอที่บอทส่งออกไป ต่อมาต้นเดือนนี้ ทีม Xygeni Security Research ก็เปิดเผยรายละเอียดของ Baileys mod อีกตัวชื่อ “@dappaoffc/baileys-mod” ที่แอบสมัครเซสชันบอท WhatsApp ที่ยืนยันตัวตนแล้วเข้ากับช่อง newsletter ที่ผู้โจมตีควบคุม

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 29 กันยายน 2569 ว่าการวิเคราะห์ของ OX Security พบมัลแวร์สามสายพันธุ์ที่จัดการรูทีนการสมัครสมาชิกต่างกัน โดยสายพันธุ์แรก (19 แพ็กเกจ) ดึงรหัสช่อง (channel ID) จาก GitHub ขณะรันไทม์ สายพันธุ์ที่สอง (60 แพ็กเกจ) ฝังรหัสช่องไว้ในซอร์สโค้ดแบบข้อความธรรมดา และสายพันธุ์ที่สาม (14 แพ็กเกจ) ฝังรหัสช่องไว้ในซอร์สโค้ดในรูปแบบที่เข้ารหัสและ obfuscate หนึ่งในกลุ่ม WhatsApp ถูกประเมินว่าตั้งอยู่ในอินโดนีเซียและโฆษณาขายบัญชีสำหรับเกมและแอปพลิเคชันบนมือถือ เช่น Mobile Legends: Bang Bang และ TikTok โดยโพสต์เหล่านี้ยังระบุหมายเลขโทรศัพท์ที่เชื่อมโยงกับบัญชี WhatsApp ธุรกิจของอินโดนีเซียชื่อ “Dan” ส่วนกลุ่มและช่องอื่นที่ระบุได้ ได้แก่ Neural (798 ผู้ติดตาม) ที่ทำการตลาดขาย Resource Supplies ในเกม, MONTE – BMG (1,000 ผู้ติดตาม), CORTANA TECH (1,300 ผู้ติดตาม) และ Fyxzpedia.ID – Utama (4,800 ผู้ติดตาม) OX Security ระบุว่าช่องที่ระบุได้ส่วนใหญ่เป็นช่องขายบอตและช่อง “market” ขนาดเล็ก ส่วนใหญ่เป็นของอินโดนีเซีย ที่ใช้จำนวนผู้ติดตามเป็นเครื่องพิสูจน์ทางสังคมในการขายสคริปต์บอต บริการสร้างบอต APK “พรีเมียม” และบริการปั่นยอดโซเชียลมีเดีย

วิธีการโจมตี

แกนหลักของแคมเปญคือการนำ Baileys ซึ่งเป็นไลบรารีโอเพนซอร์สสำหรับเชื่อมต่อ WhatsApp มาดัดแปลง เมื่อนักพัฒนาติดตั้งแพ็กเกจปลอมและเชื่อมต่อบัญชี WhatsApp ของตนกับบอท โค้ดอันตรายจะสั่งให้บัญชีนั้นเข้าร่วมหรือติดตามช่องที่ผู้โจมตีกำหนดโดยอัตโนมัติและไม่แจ้งเหยื่อ OX Security ชี้ว่าแพ็กเกจจำนวนมากในแคมเปญนี้ไม่ได้เป็นอิสระต่อกัน เพราะพบรหัสช่องชุดเดียวกัน รายชื่อช่องระยะไกลชุดเดียวกัน และบัญชี GitHub เดียวกันปรากฏข้ามแพ็กเกจที่มีชื่อและผู้เผยแพร่ต่างกัน การใช้ช่องร่วมกันหมายความว่ามีผู้รับผลประโยชน์ร่วมกัน กล่าวคือ ใครก็ตามที่เป็นเจ้าของช่องจะเก็บผู้ติดตามจากทุกแพ็กเกจที่พุ่งเป้าไปยังช่องนั้น ไม่ว่าใครจะเป็นผู้เผยแพร่แพ็กเกจก็ตาม รูปแบบนี้ทำให้แคมเปญขยายฐานผู้ติดตามได้อย่างรวดเร็วผ่านห่วงโซ่อุปทานซอฟต์แวร์

ผลกระทบ

เหยื่อหลักของแคมเปญนี้คือนักพัฒนาที่ติดตั้งแพ็กเกจ Baileys ปลอมและเชื่อมต่อบัญชี WhatsApp ส่วนตัวเข้ากับบอท ซึ่งจะถูกเพิ่มเข้ากลุ่มหรือช่องโดยไม่ยินยอม กลายเป็นตัวเลขผู้ติดตามที่ผู้ขายบอตใช้เป็นเครื่องมือการตลาด การที่แพ็กเกจถูกดาวน์โหลดรวมถึง 490,000 ครั้งและยังมีแนวโน้มเพิ่มขึ้นในช่วง 30 วันล่าสุดสะท้อนว่าแคมเปญนี้ยังทำงานอยู่และมีผลกระทบเป็นวงกว้าง นอกจากความรำคาญจากการถูกเพิ่มเข้ากลุ่มสแปมแล้ว การมอบสิทธิ์ควบคุมบัญชี WhatsApp ให้กับโค้ดของบุคคลที่สามยังเปิดความเสี่ยงต่อการถูกนำบัญชีไปใช้ในทางที่ผิด และตอกย้ำถึงภัยของการพึ่งพาแพ็กเกจโอเพนซอร์สที่ดัดแปลงโดยไม่ตรวจสอบที่มา

คำแนะนำ

นักพัฒนาควรตรวจสอบว่าตนถูกเพิ่มเข้ากลุ่มหรือช่อง WhatsApp โดยไม่รู้ตัวหรือไม่ และบล็อกกลุ่มเหล่านั้น ควรตั้งกฎตรวจจับเพื่อบล็อกแพ็กเกจ npm Baileys ที่เป็นอันตราย และหลีกเลี่ยงการใช้แพ็กเกจที่ต้องเชื่อมต่อบัญชี WhatsApp ส่วนตัวเข้ากับบอท ในเชิงองค์กร ทีมความปลอดภัยควรบังคับใช้การตรวจสอบ dependency ในไปป์ไลน์ CI/CD ล็อกเวอร์ชันแพ็กเกจ และเฝ้าระวังการติดตั้งแพ็กเกจที่มีพฤติกรรมเชื่อมต่อออกไปยัง GitHub หรือปลายทางภายนอกขณะรันไทม์ เพื่อลดความเสี่ยงจากการโจมตีห่วงโซ่อุปทานผ่าน npm

แหล่งอ้างอิง