สรุปสั้น

ทีมตอบสนองเหตุฉุกเฉินคอมพิวเตอร์ของยูเครน (CERT-UA) พบเว็บไซต์ที่ถูกเจาะมากกว่า 100 แห่งซึ่งถูกฝังจาวาสคริปต์อันตราย เมื่อผู้ใช้เข้าเว็บ จะเห็นหน้ายืนยัน Cloudflare ปลอมที่อ้างว่าต้องตรวจว่าเป็นมนุษย์ แล้วสั่งให้คัดลอกคำสั่งไปรันเอง (เทคนิค ClickFix) คำสั่งนั้นจะดาวน์โหลดและติดตั้งแพ็กเกจ MSI ที่ปล่อยอินโฟสตีลเลอร์ LunexStealer หรือที่รู้จักในชื่อ Psychedelic Stealer CERT-UA พบกิจกรรมนี้ในเดือนกันยายน 2569 และโยงกับกลุ่มที่ตั้งชื่อว่า UAC-0277 แต่ไม่ได้เปิดเผยว่าใครเป็นเหยื่อ หรือมีเครื่องใดติดมัลแวร์สำเร็จหรือไม่

ของใหม่ที่ CERT-UA เปิดเผยเพิ่มจากรายงานก่อนหน้ามีสามส่วน ส่วนแรกคือสคริปต์ใช้เทคนิค EtherHiding ดึงชื่อโดเมนของหน้าลวงและโหมดการทำงานจากสัญญาอัจฉริยะบน Polygon หรือ Ethereum ผู้โจมตีจึงเปลี่ยนพฤติกรรมของเว็บทั้งหมดได้โดยไม่ต้องแก้เว็บที่เจาะไว้ ส่วนที่สองคือตัวติดตั้ง MSI มีอย่างน้อย 3 แบบ แบบหนึ่งใช้ไดรเวอร์ AMD ที่มีช่องโหว่มาปิดตาซอฟต์แวร์ความปลอดภัย ส่วนที่สามคือมัลแวร์ฝังส่วนขยายเบราว์เซอร์ LUNARAXE ที่ปลอมเป็น “Microsoft Office Word Editor” ส่วนขยายนี้ขโมยคุกกี้และรหัสผ่านที่กรอกในฟอร์ม ลอก Content Security Policy (CSP) ออกจากหน้าเว็บ และเปิดให้ผู้โจมตีคุมเบราว์เซอร์และอ่านเขียนไฟล์ในเครื่องได้

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 7 ตุลาคม พ.ศ. 2569 ว่า CERT-UA ออกประกาศเตือนเกี่ยวกับแคมเปญที่ใช้เว็บไซต์ที่ถูกเจาะกว่า 100 แห่งเป็นฐานปล่อย LunexStealer โดย CERT-UA อธิบายว่า “เมื่อเข้าเว็บไซต์ดังกล่าว ผู้ใช้จะเห็นหน้ายืนยัน Cloudflare ปลอมที่อ้างว่าต้องยืนยันว่าผู้เข้าชมเป็นมนุษย์ แล้วสั่งให้รันคำสั่ง การรันคำสั่งทำให้แพ็กเกจ MSI อันตรายถูกดาวน์โหลดและติดตั้งจากเซิร์ฟเวอร์ระยะไกล”

แคมเปญนี้ต่อเนื่องจากที่บริษัท Arctic Wolf พบว่าเว็บธุรกิจยูเครนถูกฝังหน้า Cloudflare ปลอมเพื่อปล่อย Psychedelic Stealer (โพสต์ 09/192) และที่บริษัท Ontinue เปิดเผยว่า Psychedelic เป็นส่วนหนึ่งของแพลตฟอร์มมัลแวร์ให้เช่าชื่อ Lunex ที่ใช้ไดรเวอร์ AMD ทำ BYOVD (โพสต์ 09/222) ประกาศของ CERT-UA ให้ชื่อกลุ่มผู้ปฏิบัติการว่า UAC-0277 และเติมรายละเอียดเรื่องกลไกควบคุมหน้าลวงบนบล็อกเชนกับองค์ประกอบในเบราว์เซอร์ที่ยังไม่เคยมีการเปิดเผยมาก่อน

ข้อจำกัดของหลักฐานคือ CERT-UA ไม่ได้ระบุว่าเว็บที่ถูกเจาะเป็นของใคร อยู่ประเทศใด มีผู้ใช้หลงรันคำสั่งกี่ราย หรือมีระบบใดถูกยึดได้จริง ตัวเลขกว่า 100 เว็บจึงบอกขนาดของโครงสร้างที่ใช้ปล่อยมัลแวร์ ไม่ได้บอกจำนวนเหยื่อ

วิธีการโจมตี

คุมหน้าลวงจากบล็อกเชน (EtherHiding) สคริปต์ที่ฝังในเว็บไม่ได้เก็บที่อยู่ของหน้าลวงไว้ในตัว แต่ไปอ่านชื่อโดเมนของแหล่งที่โหลดหน้ายืนยันปลอม และโหมดทำงานของสคริปต์ จากสัญญาอัจฉริยะบนเครือข่าย Polygon หรือ Ethereum ผู้โจมตีจึงเปลี่ยนโดเมนหรือสั่งพักแคมเปญได้ด้วยการแก้ค่าบนเชนเพียงจุดเดียว และการยึดหรือปิดโดเมนเดียวไม่ทำให้เครือข่ายเว็บที่เจาะไว้หยุดทำงาน โหมดมีสามค่า ได้แก่ 0 คือไม่ทำงาน, 1 คือแอบติดตามผู้เข้าชม โดยเก็บข้อมูลเว็บและหน้าที่ผู้เข้าชมมาจาก และ 2 คือแสดงหน้ายืนยันปลอม

คัดกรองเหยื่อ ในโหมด 2 หน้าลวงจะแสดงเฉพาะผู้ใช้ Windows ที่เข้ามาจากผลการค้นหาของเสิร์ชเอนจิน และแสดงไม่เกินสองครั้งในรอบ 12 ชั่วโมง การจำกัดแบบนี้ทำให้เจ้าของเว็บที่เข้าเว็บตัวเองโดยตรงหรือนักวิจัยที่เข้าซ้ำ ๆ มีโอกาสเห็นหน้าลวงน้อยลง

ตัวติดตั้ง MSI 3 แบบ CERT-UA พบแพ็กเกจ MSI อย่างน้อย 3 แบบ แบบที่ 1 ติดตั้ง LunexStealer ตรง ๆ แบบที่ 2 พยายามข้าม User Account Control (UAC) ตั้งค่ายกเว้นใน Microsoft Defender แล้วใช้ไดรเวอร์ AMD ของแท้ที่มีช่องโหว่ (PDFWKRNL.sys) ปิดตาซอฟต์แวร์ความปลอดภัย (BYOVD) ก่อนดึง LunexStealer จากเซิร์ฟเวอร์ระยะไกลมารัน แบบที่ 3 ใช้ DLL sideloading ผ่านไฟล์ของแท้ FnHotkeyUtility.exe ให้โหลด DLL ปลอมชื่อ spkvol.dll ซึ่งถอดรหัสและรันตัวขโมยข้อมูล

ส่วนขยาย LUNARAXE ตามที่ Arctic Wolf Labs และ Ontinue บันทึกไว้ LunexStealer ติดตั้งส่วนขยายเบราว์เซอร์อันตรายชื่อ LUNARAXE ที่ปลอมตัวเป็น “Microsoft Office Word Editor” ภายในมีสามโมดูล ได้แก่

  • LUNARAXE.CORE ติดต่อเซิร์ฟเวอร์สั่งการ (C2) รับและรันคำสั่ง ส่งข้อมูลเบราว์เซอร์ออก ทั้งคุกกี้ ประวัติการท่องเว็บ บุ๊กมาร์ก รายการส่วนขยาย และรหัสผ่านที่ดักได้ จัดการแท็บ เปิดปิดส่วนขยาย แสดงการแจ้งเตือน รันจาวาสคริปต์บนหน้าเว็บ และวางหน้าจอซ้อนปลอม (overlay) และถ้ามี NAIVEMESS ก็คัดลอก เขียน และรันไฟล์ในเครื่องได้
  • LUNARAXE.STEALER ดักรหัสผ่านที่ผู้ใช้กรอกในฟอร์มเว็บ แล้วส่งพร้อม URL ของหน้าไปให้ CORE
  • LUNARAXE.STRIP ลบ header CSP ออกจาก HTTP response เพื่อปลดการป้องกันของหน้าเว็บ และรันจาวาสคริปต์ใดก็ได้บนหน้านั้น

NAIVEMESS สะพานจากเบราว์เซอร์สู่ไฟล์ในเครื่อง มัลแวร์ยังติดตั้งองค์ประกอบเสริมชื่อ NAIVEMESS ตามคอนฟิกที่ได้รับจาก C2 ทำหน้าที่เป็น Native Messaging Host ที่เขียนด้วย PowerShell ให้ LUNARAXE เข้าถึงระบบไฟล์ของ Windows ได้ CERT-UA ระบุว่า NAIVEMESS “แสดงรายการไดรฟ์ ไล่ดูไดเรกทอรี อ่าน สร้าง และเขียนทับไฟล์ รวมถึงรันไฟล์ได้” ไฟล์ถูกส่งเป็นชิ้น ๆ ที่เข้ารหัส Base64 ส่วนไดเรกทอรีและกลุ่มไฟล์จะถูกบีบเป็น ZIP ก่อน NAIVEMESS ไม่ได้คุยกับ C2 เอง แต่รับคำสั่งผ่านส่วนขยาย การสั่งงานทั้งหมดจึงวิ่งผ่านเบราว์เซอร์ซึ่งเป็นทราฟฟิกที่ดูปกติ

ผลกระทบ

แคมเปญนี้แสดงให้เห็นว่ามัลแวร์ตระกูลนี้ไม่ได้จบที่การขโมยรหัสผ่านครั้งเดียว ส่วนขยาย LUNARAXE และ NAIVEMESS ทำให้เบราว์เซอร์ของเหยื่อเป็นช่องทางควบคุมระยะไกลถาวร ผู้โจมตีอ่านคุกกี้เซสชันเพื่อสวมรอยบัญชีที่ผ่าน MFA แล้วได้ แก้หน้าเว็บที่เหยื่อเปิดอยู่ได้ และอ่านเขียนไฟล์ในเครื่องได้ การลอก CSP ยังทำให้การป้องกันฝั่งเว็บแอปที่องค์กรตั้งไว้ใช้ไม่ได้ผลบนเครื่องที่ติด เพราะส่วนขยายแก้ response ก่อนถึงหน้าเว็บ

การคุมหน้าลวงผ่านบล็อกเชนทำให้การรื้อโครงสร้างทำได้ยาก การปิดโดเมนปลายทางทีละโดเมนไม่พอ ต้องล้างสคริปต์ออกจากเว็บที่ถูกเจาะทุกแห่ง ส่วนการคัดกรองเฉพาะผู้ใช้ที่มาจากเสิร์ชเอนจินทำให้เจ้าของเว็บอาจไม่รู้ตัวว่าเว็บของตนกำลังปล่อยมัลแวร์

มีข้อขัดกันที่ผู้ดูแลระบบควรรู้ CERT-UA และ Microsoft แนะนำให้เปิด vulnerable driver blocklist เพื่อกันไดรเวอร์ BYOVD แต่ Ontinue เคยทดสอบแล้วรายงานว่าทั้ง HVCI และ blocklist เวอร์ชันที่ใช้อยู่ตอนนั้นไม่กันไดรเวอร์ PDFWKRNL.sys รุ่นที่ Lunex ใช้ (โพสต์ 09/222) การเปิด blocklist อย่างเดียวจึงอาจไม่พอ ควรมีกฎ Application Control บล็อกไดรเวอร์ตัวนี้โดยตรงด้วย

คำแนะนำ

  • ห้ามผู้ใช้ทั่วไปเปิดกล่อง Windows Run ผ่าน Group Policy และอบรมว่าหน้า CAPTCHA หรือหน้ายืนยัน Cloudflare ของจริงไม่เคยสั่งให้คัดลอกคำสั่งไปรัน
  • จำกัดการติดตั้งแพ็กเกจ MSI ให้เฉพาะผู้มีสิทธิ์ผู้ดูแลระบบ และเฝ้าระวังการรัน msiexec.exe ที่ดึงไฟล์จาก URL ภายนอก
  • เปิด Microsoft vulnerable driver blocklist และกฎ ASR “Block abuse of exploited vulnerable signed drivers” และเพิ่มกฎ WDAC หรือ App Control บล็อก PDFWKRNL.sys รุ่นที่มีช่องโหว่โดยตรง เพราะ blocklist อาจยังไม่ครอบคลุม
  • กำหนด allowlist ส่วนขยายเบราว์เซอร์ผ่านนโยบายองค์กร แล้วไล่หาส่วนขยายชื่อ “Microsoft Office Word Editor” และ Native Messaging Host ที่ไม่รู้จักในรีจิสทรีและโปรไฟล์เบราว์เซอร์
  • ตรวจหา FnHotkeyUtility.exe ที่โหลด spkvol.dll จากตำแหน่งผิดปกติ และการตั้งค่ายกเว้น Microsoft Defender ที่ไม่ได้มาจากทีมไอที
  • เครื่องที่พบว่าติด ให้ถือว่าคุกกี้เซสชันทั้งหมดรั่ว ยกเลิกเซสชันและเปลี่ยนรหัสผ่านของบัญชีที่เคยล็อกอินบนเครื่องนั้น ไม่ใช่แค่ลบมัลแวร์
  • เจ้าของเว็บไซต์ควรตรวจหาสคริปต์แปลกปลอมที่ถูกฝังเข้ามา โดยเฉพาะสคริปต์ที่เรียก RPC ของ Polygon หรือ Ethereum

แหล่งอ้างอิง