สรุปสั้น

การโจมตีที่ปลอมตัวเป็นแบรนด์ AI ยอดนิยมอย่าง Claude, ChatGPT, GitHub Copilot และ Gemini กำลังเพิ่มขึ้นอย่างเห็นได้ชัด โดยเป้าหมายหลักคือพนักงานในองค์กรที่กำลังหาเครื่องมือ AI มาใช้เอง ผู้โจมตีทำหน้าติดตั้งปลอม เอกสารคู่มือที่ก๊อปมาจากของจริง และโฆษณาบนผลการค้นหา เพื่อหลอกให้เหยื่อวางคำสั่ง “ติดตั้ง” ลงเทอร์มินัล รันตัวติดตั้งปลอม หรือกรอกรหัสผ่านในหน้าต่างล็อกอินปลอมด้วยตัวเอง ปลายทางคือมัลแวร์ขโมยข้อมูล (infostealer) โทรจันควบคุมเครื่องระยะไกล (RAT) และภัยอื่น ๆ ที่เข้ามาอยู่ในเครือข่ายองค์กร

นักพัฒนาเป็นกลุ่มที่ตกเป็นเป้ามากที่สุด เพราะการติดตั้งเครื่องมือเขียนโค้ดด้วย AI ของจริงก็ต้องรันคำสั่งในเทอร์มินัลอยู่แล้ว คำสั่งอันตรายจึงกลืนไปกับขั้นตอนปกติได้ง่าย เมื่อเครื่องนักพัฒนาถูกยึด สิ่งที่หลุดตามไปได้มีทั้งซอร์สโค้ด คีย์ SSH โทเค็น CI/CD และ API key ของคลาวด์และบริการ AI ส่วนฝ่ายการตลาดมักถูกล่อด้วยโฆษณาปลอมและผลค้นหาที่ถูกปั่นอันดับ (SEO poisoning) ซึ่งเสี่ยงต่อบัญชีโฆษณาและสิทธิ์จ่ายเงิน อีกเทคนิคที่กำลังได้ผลคือ LLMshare ที่ผู้โจมตีสร้างแชตที่แชร์ได้ artifact หรือ custom GPT บนแพลตฟอร์ม AI ของจริง ทำให้ลิงก์อันตรายอยู่บนโดเมนที่ผู้ใช้ไว้ใจ

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 15 ตุลาคม 2569 ว่าอินเทอร์เน็ตเต็มไปด้วยข้อเสนอเครื่องมือ AI ปลอมที่ดูน่าเชื่อถือ แต่แทนที่จะให้เครื่องมือจริง กลับปล่อย infostealer, RAT และภัยอื่น ๆ เข้าไปในเครือข่ายองค์กร รายงานที่อ้างถึงสรุปว่าการโจมตีทุกรูปแบบมีจุดร่วมเดียวกัน คือ “พนักงานเป็นคนทำขั้นตอนชี้ขาดเอง” ไม่ว่าจะเป็นการวางคำสั่งติดตั้ง การรันตัวติดตั้งที่ดูน่าเชื่อ หรือการล็อกอินในหน้าต่างปลอม ผลที่ตามมาคือซอร์สโค้ด API key ของคลาวด์และ AI เซสชันธุรกิจที่ยังใช้งานอยู่ บัญชีโฆษณา และสิทธิ์ด้านการเรียกเก็บเงินตกอยู่ในความเสี่ยง จากการกระทำเพียงครั้งเดียวของผู้ใช้คนหนึ่ง

รายงานดังกล่าวมาจากบริษัท ANY.RUN ผู้ให้บริการแซนด์บ็อกซ์วิเคราะห์มัลแวร์ ซึ่ง The Hacker News เผยแพร่บทความที่ ANY.RUN เป็นผู้ให้ข้อมูลเมื่อวันเดียวกัน ระบุว่าบริษัทพบการวิเคราะห์ในแซนด์บ็อกซ์สาธารณะ 1,258 รายการที่โยงกับแคมเปญเครื่องมือ AI ปลอมระหว่างเดือนเมษายนถึงตุลาคม 2569 โดยเป้าหมายในสหรัฐฯ คิดเป็น 16% ของเป้าหมายที่ระบุประเทศได้ แบรนด์ที่ถูกปลอมมีทั้ง Claude, ChatGPT, GitHub Copilot, Gemini และบริการ AI อื่น ช่องทางล่อมีทั้งโฆษณาบนผลการค้นหา บริการโฮสติ้งที่ถูกกฎหมาย แชต AI ที่แชร์ไว้ และเว็บดาวน์โหลดปลอม ตัวเลขชุดนี้เป็นข้อมูลจากเทเลเมทรีของผู้ขายรายเดียวและไม่ได้ระบุชื่อตระกูลมัลแวร์หรือกลุ่มอุตสาหกรรมที่ถูกโจมตี

ทีมวิจัยของ ANY.RUN คาดว่าเหยื่อล่อธีม AI จะยิ่งพบบ่อยขึ้น เพราะเครื่องมือ AI ตัวใหม่เปิดตัวต่อเนื่องและความสนใจของสาธารณะยังสูง ผู้ใช้มักค้นหาวิธีติดตั้งโดยไม่รู้ว่าแหล่งไหนเชื่อถือได้ และผู้โจมตีก็ฉวยจุดนี้

วิธีการโจมตี

เทคนิคหลักคือ InstallFix และ ClickFix ธีม AI ผู้โจมตีทำตัวติดตั้งแบบ CLI ปลอมของเครื่องมือ AI ต่าง ๆ ไว้บนหน้า GitHub หรือก๊อปเอกสารการติดตั้งไปโฮสต์บนแพลตฟอร์มที่คนไว้ใจ เช่น Cloudflare Pages, GitLab Pages, Google Sites, GitHub หรือแม้แต่บนแพลตฟอร์ม AI เอง เพื่อเจาะเครื่องนักพัฒนาแล้วเก็บซอร์สโค้ด คีย์ SSH โทเค็น CI/CD และ API key ของคลาวด์และ AI ตัวแทนของ ANY.RUN ระบุว่าวิธีนี้ได้ผลกับนักพัฒนาเป็นพิเศษ เพราะเมื่อการติดตั้งเครื่องมือเขียนโค้ด AI ของจริงต้องรันคำสั่งในเทอร์มินัลอยู่แล้ว คำสั่งอันตรายก็พรางตัวเป็นขั้นตอนติดตั้งปกติได้ง่าย

ตัวอย่างหนึ่งที่ ANY.RUN วิเคราะห์คือหน้าดาวน์โหลด Claude ปลอมที่หน้าตาเหมือนหน้าดาวน์โหลดทางการ เมื่อเหยื่อกดปุ่มดาวน์โหลดสำหรับ Windows หน้าเว็บจะคัดลอกคำสั่งลงคลิปบอร์ดแล้วแสดงคำแนะนำให้นำไปรันใน PowerShell คำสั่งนั้นเรียก mshta.exe ไปดึงไฟล์ HTA อันตราย แล้วเริ่มสาย PowerShell ที่เข้ารหัสไว้ ผลการวิเคราะห์ที่รันจนจบพบพฤติกรรมของ infostealer พฤติกรรมที่พบซ้ำในแคมเปญชุดนี้ได้แก่ คำสั่งติดตั้งผ่าน PowerShell ที่ผิดปกติ การรัน mshta.exe คำสั่งดาวน์โหลดที่เข้ารหัส และการสร้าง scheduled task ที่เปิดเบราว์เซอร์เพื่อขโมยเซสชัน

เทคนิคที่สองคือ LLMshare ซึ่งบริษัท Push Security ติดตามมาตั้งแต่ช่วงกลางปี ผู้โจมตีสร้างเนื้อหาบนแพลตฟอร์ม AI ในรูปแชตที่แชร์ได้ ซึ่งมักทำทีเป็นคู่มือติดตั้งหรือประกาศอัปเดตบริการที่มีมัลแวร์แฝงอยู่ แล้วใช้โฆษณาอันตราย (malvertising) และ SEO poisoning ดึงคนเข้าไปที่แชตนั้น ส่วนรูปแบบ shared artifact ก็ทำแบบเดียวกันโดยเผยแพร่เนื้อหาอันตรายลงบนแพลตฟอร์ม AI โดยตรง ตัวอย่างที่ BleepingComputer รายงานเมื่อเดือนพฤษภาคม 2569 คือโฆษณา Google ที่พาผู้ค้นหา ChatGPT ไปยังลิงก์แชร์บน chatgpt.com/s/ ซึ่งแสดงหน้าแจ้งว่าเว็บใช้งานไม่ได้ชั่วคราวและให้ดาวน์โหลดแอปเดสก์ท็อปแทน ปุ่มดาวน์โหลดพาไปยังโดเมน openew[.]app ที่ปลอมเป็นพอร์ทัลดาวน์โหลดของ OpenAI และใช้ cloaking แสดงเว็บไซต์บริษัทอื่นให้เครื่องสแกนเห็นแทน

นาย Dan Green นักวิจัยของ Push Security ให้สัมภาษณ์กับ Dark Reading ว่ารูปแบบล่าสุดที่ใช้แชตที่แชร์ artifact และ custom GPT นั้น “ร้ายเป็นพิเศษ” เพราะอยู่บนเว็บไซต์ AI ของจริง ทั้งโดเมนของ Claude และ ChatGPT ผู้ใช้จึงไม่คาดคิดว่าจะเจอลิงก์อันตรายที่นั่น เขาระบุว่าทั้ง InstallFix และ LLMshare ได้ผลสูงเพราะอาศัย “การใช้งานออนไลน์ที่ปกติมาก” ในยุคที่ทุกคนถูกส่งเสริมให้ใช้ AI และหลายเครื่องมือติดตั้งผ่านบรรทัดคำสั่ง ผู้ใช้ทั่วไปจึงทำงานคล้ายนักพัฒนามากขึ้นและถูกชักจูงได้ง่ายขึ้น ปัจจุบัน InstallFix ธีม AI คิดเป็น 5-10% ของการตรวจพบรายเดือนของ Push Security และเพิ่มขึ้นทุกเดือน

ผลกระทบ

จุดที่ทำให้แคมเปญชุดนี้อันตรายกว่าฟิชชิงทั่วไปคือเหยื่อเป็นคนรันคำสั่งเองด้วยสิทธิ์ของตัวเอง ระบบป้องกันที่อาศัยการบล็อกไฟล์แนบหรือโดเมนอันตรายจึงช่วยได้น้อย โดยเฉพาะเมื่อลิงก์อยู่บนโดเมนของแพลตฟอร์ม AI จริง หรือบนบริการโฮสติ้งที่องค์กรอนุญาตไว้อยู่แล้ว เครื่องนักพัฒนาเพียงเครื่องเดียวที่ถูกยึดอาจกลายเป็นทางเข้าไปยังรีโพซิทอรี ระบบ CI/CD และบัญชีคลาวด์ ซึ่งความเสียหายลามไปถึงห่วงโซ่อุปทานซอฟต์แวร์ได้

ปัจจัยที่ขยายความเสี่ยงคือการใช้ AI แบบที่ฝ่ายไอทีไม่รู้ (shadow AI) เพราะรูปแบบที่พบทั้งหมดเริ่มจากพนักงานออกไปหาเครื่องมือ AI ด้วยตัวเอง ยิ่งเครื่องมือใหม่ออกเร็วและองค์กรยังไม่มีรายการเครื่องมือที่อนุมัติ พนักงานก็ยิ่งต้องพึ่งผลการค้นหาและโฆษณา ซึ่งเป็นช่องทางที่ผู้โจมตีควบคุมได้

คำแนะนำ

  • เผยแพร่รายการเครื่องมือ AI ที่อนุมัติพร้อมแหล่งดาวน์โหลดทางการ (เว็บไซต์ผู้ผลิต, winget, Homebrew หรือแพ็กเกจของผู้ผลิต) และติดตั้งผ่าน MDM หรือพอร์ทัลซอฟต์แวร์ขององค์กร ตามที่รายงานของ ANY.RUN แนะนำ
  • ย้ำกับนักพัฒนาและผู้ใช้ทั่วไปว่าห้ามวางคำสั่งติดตั้งจากผลการค้นหา โฆษณา หรือแชต AI ที่ผู้อื่นแชร์มา ให้คัดลอกจากเอกสารทางการของผู้ผลิตเท่านั้น
  • ตั้งกฎตรวจจับ mshta.exe ที่ถูกเรียกจาก PowerShell หรือเบราว์เซอร์, PowerShell ที่รับคำสั่งแบบเข้ารหัส (-EncodedCommand) และ scheduled task ใหม่ที่สั่งเปิดเบราว์เซอร์
  • พิจารณาจำกัดหรือปิด mshta.exe บนเครื่องที่ไม่จำเป็นต้องใช้ ผ่าน AppLocker หรือ WDAC
  • จำกัดอายุและขอบเขตของ API key โทเค็น CI/CD และคีย์ SSH บนเครื่องนักพัฒนา และหมุนเวียนทันทีเมื่อพบเครื่องที่ติดมัลแวร์ขโมยข้อมูล พร้อมเพิกถอนเซสชันที่ยังใช้งานอยู่
  • เฝ้าระวังโฆษณาบนผลการค้นหาและลิงก์แชร์ของแพลตฟอร์ม AI ในล็อกเว็บพร็อกซี เช่น เส้นทาง chatgpt.com/s/ หรือหน้าแชร์ของ Claude ที่ตามด้วยการดาวน์โหลดไฟล์ติดตั้ง

แหล่งอ้างอิง