สรุปสั้น
ทีม Microsoft Threat Intelligence ของบริษัท Microsoft เปิดเผยการโจมตี ClickFix รูปแบบใหม่ที่ใช้เทคนิค “browser cache smuggling” โดยเว็บไซต์ที่ถูกเจาะจะสั่งให้เบราว์เซอร์ของผู้เข้าชมดาวน์โหลดสคริปต์อันตรายมาเก็บไว้ในแคชล่วงหน้า โดยปลอมตัวเป็นไฟล์รูปภาพ PNG จากนั้นจึงแสดงหน้าหลอกให้เหยื่อคัดลอกคำสั่งไปวางในหน้าต่าง Run ของ Windows ตามสูตร ClickFix เดิม ความต่างคือคำสั่งที่เหยื่อวางไม่ได้ดาวน์โหลด payload จากอินเทอร์เน็ต แต่ไปค้นหาไฟล์ที่อยู่ในแคชบนเครื่องอยู่แล้วแล้วสั่งรัน ทำให้คำสั่งสั้น ดูไม่น่าสงสัย และหลบข้อจำกัดของหน้าต่าง Run ที่ตัดข้อความเกินราว 260 ตัวอักษรทิ้ง
ห่วงโซ่ที่ Microsoft สังเกตได้เริ่มจาก VBScript ที่ซ่อนอยู่ในแคชของ Firefox ไปจนถึง PowerShell หลายชั้น และจบที่ .NET assembly ที่ถูกโหลดในหน่วยความจำแล้ว inject โค้ดเข้าโปรเซส timeout.exe ของ Windows เพื่อขโมยข้อมูลรับรองในเบราว์เซอร์และบนเครื่อง เทคนิคซ่อน payload ในแคชไม่ใช่เรื่องใหม่ทั้งหมด เพราะเคยมีการสาธิตในงาน red team มาแล้วเมื่อปี 2568 แต่ครั้งนี้เป็นการใช้งานจริงกับเหยื่อผ่านเว็บไซต์ที่ถูกเจาะ ซึ่งเป็นสัญญาณว่า ClickFix ยังพัฒนาต่อเนื่องเพื่อหลบการตรวจจับที่เน้นดูเหตุการณ์ดาวน์โหลดไฟล์
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 6 ตุลาคม 2569 อ้างโพสต์ของทีม Microsoft Threat Intelligence บน X ว่าพบการโจมตี ClickFix ที่ใช้เว็บไซต์ที่ถูกเจาะหลอกให้ผู้ใช้รัน payload ที่ถูกเก็บไว้ในแคชของเบราว์เซอร์ “แทนที่จะดาวน์โหลดและรัน payload จากระยะไกลตามรูปแบบการโจมตีทั่วไป ในการโจมตีนี้เว็บไซต์จะดึงสคริปต์ payload มาเก็บในแคชเบราว์เซอร์ล่วงหน้า โดยปลอมตัวเป็นไฟล์ PNG” Microsoft ระบุ เมื่อเหยื่อถูกหลอกให้วางและรันคำสั่ง สิ่งที่ถูกรันจึงเป็นเนื้อหาจากเว็บไซต์ที่อยู่บนเครื่องอยู่แล้ว
จุดเด่นของวิธีนี้คือช่วยให้ผู้โจมตีซ่อนสคริปต์ payload และหลบข้อจำกัดจำนวนตัวอักษรของหน้าต่าง Run (เปิดด้วย Win + R) ซึ่งตัดข้อความที่ยาวเกินราว 260 ตัวอักษรทิ้ง คำสั่ง ClickFix แบบเดิมที่ต้องฝังตรรกะดาวน์โหลดและถอดรหัสไว้ในบรรทัดเดียวจึงมักยาวและดูผิดสังเกต ขณะที่คำสั่งแบบใหม่ทำหน้าที่เพียงค้นหาและคัดลอกไฟล์แคชเท่านั้น
เทคนิคนี้เคยถูกบันทึกมาก่อน เมื่อเดือนตุลาคม 2568 บริษัท Expel รายงานห่วงโซ่การโจมตีที่ใช้ cache smuggling ส่งไฟล์ ZIP ที่มีมัลแวร์ ซึ่งภายหลังถูกระบุว่าเป็นการทดสอบแบบ red team ของบริษัท Intrinsec ข่าวครั้งนี้จึงเป็นรายงานการใช้งานในการโจมตีจริงจากผู้ผลิตระบบปฏิบัติการเอง ทั้งนี้ Microsoft ยังไม่ได้ระบุชื่อกลุ่มผู้อยู่เบื้องหลัง จำนวนเว็บไซต์ที่ถูกเจาะ หรือจำนวนเหยื่อ และระบุว่าขนาดไฟล์ที่ใช้เป็นเงื่อนไขค้นหาแตกต่างกันไปตามแต่ละเวอร์ชันของการโจมตี
วิธีการโจมตี
ขั้นแรก เหยื่อเข้าเว็บไซต์ที่ถูกเจาะ ซึ่งสั่งให้เบราว์เซอร์โหลดไฟล์ที่ประกาศตัวเป็นรูป PNG แต่เนื้อในคือ VBScript เบราว์เซอร์จึงเก็บไฟล์นี้ลงแคชตามปกติโดยไม่มีเหตุการณ์ดาวน์โหลดไฟล์ให้ระบบป้องกันเห็น จากนั้นหน้าเว็บแสดงเหยื่อล่อแบบ ClickFix เช่น หน้ายืนยันว่าไม่ใช่บอตหรือข้อความแจ้งข้อผิดพลาด แล้วสั่งให้ผู้ใช้กด Win + R วางคำสั่งที่ถูกคัดลอกไว้ในคลิปบอร์ด และกด Enter
คำสั่งที่วางจะเรียก cmd.exe ไล่ค้นไฟล์แบบ recursive ในโฟลเดอร์โปรไฟล์ของเบราว์เซอร์ เช่น %LOCALAPPDATA%\Mozilla\Firefox\Profiles เพื่อหาไฟล์ที่ชื่อขึ้นต้นด้วย “f_” ซึ่งเป็นรูปแบบชื่อไฟล์แคช แล้วเทียบขนาดไบต์ของแต่ละไฟล์กับค่าที่กำหนดไว้ “แทนที่จะค้นหา marker ในเนื้อไฟล์เหมือนการโจมตีครั้งก่อน คำสั่งจะคัดลอกไฟล์แคชที่ขนาดตรงไปไว้ที่ %LOCALAPPDATA%\Temp\t.vbs ให้นามสกุล VBScript แล้วรันด้วย wscript.exe” Microsoft อธิบาย โดยผลลัพธ์และข้อผิดพลาดของการคัดลอกถูกซ่อนไว้ทั้งหมด
VBScript ที่ได้จะเก็บข้อมูลเครื่องผ่าน Windows Management Instrumentation (WMI) แล้วดึงสคริปต์ PowerShell ชื่อ v.ps1 จาก cocojambo[.]us[.]com/alfa มารัน สคริปต์นี้ทำหน้าที่เป็นทางผ่านไปยัง PowerShell ชั้นกลางที่ดาวน์โหลดไฟล์ cab.dat แล้วอ่านเนื้อหาและรันในหน้าต่างที่ซ่อนไว้ ขั้นสุดท้ายคือ .NET assembly ที่ถูกโหลดในหน่วยความจำ และ inject โค้ดเข้าโปรเซส timeout.exe ที่เปิดขึ้นใหม่ เพื่อขโมยข้อมูลรับรองในเบราว์เซอร์และบนเครื่อง โปรเซสที่ถูก inject ยังเปิด PowerShell เพื่อดึงสเตจถัดไปแบบในหน่วยความจำจาก capsysnet[.]vg และเชื่อมต่อออกไปยัง ciliabula[.]cc
ผลกระทบ
ClickFix กลายเป็นวิธีเข้าถึงระบบครั้งแรกที่ได้รับความนิยมสูงในช่วงสองปีที่ผ่านมา ทั้งกับกลุ่มอาชญากรไซเบอร์และกลุ่มที่รัฐหนุนหลัง เพราะให้เหยื่อเป็นคนรันมัลแวร์เองด้วยเครื่องมือที่ติดมากับระบบ บริษัท CrowdStrike รายงานว่าเหตุการณ์ที่ใช้เหยื่อล่อแบบ CAPTCHA ปลอมเพิ่มขึ้นถึง 563% ในปี 2568 และพบกลุ่ม Stardust Chollima (หรือ BlueNoroff) ที่เชื่อมโยงกับเกาหลีเหนือ ใช้เว็บประชุมวิดีโอปลอมหลอกพนักงานบริษัทการเงินรายหนึ่งเมื่อกรกฎาคม 2569 ให้วางคำสั่งที่ติดตั้งมัลแวร์ GeniexLoader และ GeniexRAT ขณะที่กลุ่ม Sandworm ของรัสเซียก็ใช้ ClickFix เล็งชาวยูเครนที่ทำงานในองค์กรในฝรั่งเศส สหรัฐฯ และแคนาดา ส่วนบริษัท CTM360 พบเว็บไซต์ WordPress ที่ถูกเจาะผ่านปลั๊กอินที่มีช่องโหว่ เช่น CVE-2026-6854 มากกว่า 3,000 แห่งที่ยังเสิร์ฟหน้า ClickFix และใช้เทคนิค EtherHiding หมุนโดเมนผ่านบล็อกเชนก่อนปล่อย Vidar Stealer (เทียบโพสต์ 2026/09/186 ที่รายงาน CTM360 วิเคราะห์ 17,000 URL)
ความหมายของ cache smuggling ต่อฝ่ายป้องกันคือ ระบบตรวจจับที่อาศัยเหตุการณ์ดาวน์โหลดไฟล์หรือการเชื่อมต่อจาก PowerShell ไปยัง URL ภายนอกในจังหวะที่ผู้ใช้วางคำสั่ง จะไม่เห็นสัญญาณในขั้นแรก เพราะ payload มาถึงเครื่องในรูปทราฟฟิกเว็บปกติก่อนหน้านั้นแล้ว และบรรทัดคำสั่งที่บันทึกใน RunMRU ก็สั้นจนดูเหมือนคำสั่งดูแลระบบทั่วไป ทั้งนี้ข้อมูลที่เปิดเผยยังมาจากโพสต์สั้นของ Microsoft เป็นหลัก รายละเอียดเรื่องขอบเขตและกลุ่มผู้อยู่เบื้องหลังยังมีน้อย
คำแนะนำ
- เปิดใช้ cloud-delivered protection, web protection และ network protection ใน Microsoft Defender หรือผลิตภัณฑ์ EDR ที่ใช้อยู่ ตามที่ Microsoft แนะนำ
- ใช้ application control (เช่น WDAC หรือ AppLocker) จำกัดการรัน wscript.exe/cscript.exe และ PowerShell สำหรับผู้ใช้ทั่วไปที่ไม่จำเป็นต้องใช้ หรือปิด Windows Script Host ผ่าน Group Policy
- เปิด PowerShell Script Block Logging และส่งล็อกเข้า SIEM เพื่อเห็นสคริปต์ที่ถูกถอดรหัสแล้วในหน่วยความจำ
- ล่าภัยจากพฤติกรรม ไม่ใช่แค่เหตุการณ์ดาวน์โหลด: ตรวจคีย์ RunMRU (HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU) ที่มีคำสั่งอ้างโฟลเดอร์โปรไฟล์เบราว์เซอร์ การคัดลอกไฟล์จากโฟลเดอร์แคชไปเป็น .vbs ใน %TEMP% โปรเซสลูกของ WScript/PowerShell และ timeout.exe ที่สร้างการเชื่อมต่อเครือข่าย
- บล็อกและค้นหาโดเมน cocojambo[.]us[.]com, capsysnet[.]vg และ ciliabula[.]cc ใน DNS/proxy log
- อบรมผู้ใช้ให้จำหลักง่าย ๆ ว่า CAPTCHA หรือหน้าแก้ปัญหาใด ๆ ไม่ควรสั่งให้วางคำสั่งลงใน Run, Terminal หรือ PowerShell และให้รายงานทีมความปลอดภัยทันทีเมื่อพบ
Indicators of Compromise (IoCs)
indicator ทั้งหมด defang แล้ว (
[.]) ก่อนนำไปใช้ต้องแปลงกลับ
| ประเภท | Indicator | คำอธิบาย |
|---|---|---|
| URL | cocojambo[.]us[.]com/alfa | แหล่งดาวน์โหลดสคริปต์ PowerShell v.ps1 |
| โดเมน | capsysnet[.]vg | แหล่งสเตจถัดไปที่โหลดในหน่วยความจำ |
| โดเมน | ciliabula[.]cc | ปลายทางการเชื่อมต่อขาออกจากโปรเซสที่ถูก inject |
| ไฟล์ | %LOCALAPPDATA%\Temp\t.vbs | ไฟล์แคชที่ถูกคัดลอกออกมารันเป็น VBScript |
| ไฟล์ | v.ps1 / cab.dat | สคริปต์ PowerShell และ payload ชั้นกลาง |
| โปรเซส | timeout.exe | โปรเซสที่ถูก inject โค้ด .NET เพื่อขโมยข้อมูลรับรอง |