สรุปสั้น

บริษัท Google เริ่มทยอยเพิ่มการป้องกันการโจมตีแบบ ClickFix ในเบราว์เซอร์ Chrome สำหรับผู้ใช้ที่เปิดโหมด Enhanced Protection เมื่อผู้ใช้ถูกหลอกให้คัดลอกคำสั่งที่น่าสงสัย Chrome จะลบข้อมูลส่วนบุคคลออกจากข้อมูลในคลิปบอร์ดแล้วส่งให้ Safe Browsing วิเคราะห์ ถ้าระบบตัดสินว่าคำสั่งเป็นอันตรายก็จะแสดงคำเตือนก่อนผู้ใช้นำไปวางรันในเครื่อง จุดสำคัญคือ ClickFix ย้ายขั้นตอนดาวน์โหลดมัลแวร์ออกจากเบราว์เซอร์ไปไว้ในหน้าต่าง Run หรือ Terminal ซึ่งเดิมหลบการป้องกันการดาวน์โหลดของ Chrome และ Safe Browsing ได้ทั้งหมด

Google ยังแบ่งคำเตือนของ Safe Browsing ออกเป็นเว็บที่น่าสงสัย (Suspicious) และเว็บอันตราย (Dangerous) ต่อยอดโมเดลภาษาขนาดใหญ่ที่รันบนเครื่องให้จับเว็บหลอกลวงประเภทซัพพอร์ตเทคนิค แอนติไวรัสปลอม และอัปเดตเบราว์เซอร์ปลอม และขยายโครงการยืนยันผู้ลงโฆษณาบริการการเงินไปยังสหรัฐฯ และแคนาดา ขณะเดียวกันบริษัท Apple ประกาศให้ Safari และ WebKit บล็อกเทคนิค identity resolution ที่บุคคลที่สามแอบเก็บอีเมลของผู้ใช้ไปแปลงเป็นรหัสติดตามถาวร

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 ตุลาคม 2569 ว่า Google ประกาศเมื่อวันอังคารว่ากำลังทยอยเพิ่มมาตรการป้องกันใน Chrome เพื่อปกป้องผู้ใช้จากการโจมตีแบบ ClickFix เมื่อเปิด Enhanced Protection ไว้

ClickFix เป็นเทคนิควิศวกรรมสังคมที่หลอกให้ผู้ใช้คัดลอกและวางโค้ดอันตรายลงในระบบปฏิบัติการด้วยตัวเอง ผู้ใช้ที่เข้าเว็บไซต์ที่ถูกต้องแต่ถูกเจาะ หรือคลิกโฆษณาอันตราย จะถูกพาไปยังหน้าฟิชชิงที่แสดงหน้ายืนยันตัวตนปลอมของ Cloudflare หรือ Google reCAPTCHA หรือข้อผิดพลาดที่ไม่มีอยู่จริง แล้วสั่งให้คัดลอกคำสั่งไปวางในหน้าต่าง Run ของ Windows หรือแอป Terminal บน Mac เพื่อ “แก้ไข” ปัญหา

ทันทีที่ผู้ใช้กด Enter ห่วงโซ่การติดเชื้อหลายขั้นก็เริ่มทำงาน จนจบที่การติดตั้งมัลแวร์อย่างตัวขโมยข้อมูลหรือโทรจันควบคุมระยะไกล คำสั่งมักใช้เครื่องมือที่มีอยู่แล้วในระบบ (living-off-the-land) อย่าง PowerShell หรือ cmd.exe ดาวน์โหลด payload ขั้นถัดไปเพื่อให้กลมกลืนกับกิจกรรมปกติ Google ระบุว่า “การย้ายขั้นตอนดาวน์โหลดออกจากเบราว์เซอร์ไปไว้ในเทอร์มินัล ทำให้ผู้โจมตีหลบการป้องกันการดาวน์โหลดของ Chrome และ Safe Browsing ได้ทั้งหมด” เว็บไซต์นี้รายงานแคมเปญ ClickFix ไว้หลายครั้ง ล่าสุดคือแพลตฟอร์ม ROMULUS ในโพสต์ 10/162 และแคมเปญ InstallFix ที่ปลอมเป็น Claude และ ChatGPT ในโพสต์ 10/160

ข้อจำกัดที่ควรทราบคือมาตรการใหม่ทำงานเฉพาะผู้ใช้ที่เปิด Enhanced Protection และทยอยเปิดใช้ (rolling out) Google ไม่ได้ระบุไทม์ไลน์ว่าจะครอบคลุมผู้ใช้ทุกรายเมื่อใด และไม่ได้ระบุว่าครอบคลุมทุกระบบปฏิบัติการหรือไม่

Google Chrome adds ClickFix warnings to stop users from running malicious commands

รายละเอียดมาตรการ

การตรวจคำสั่งที่ถูกคัดลอก: เมื่อผู้ใช้คัดลอกสคริปต์ที่อาจเป็น ClickFix ข้อมูลในคลิปบอร์ดจะถูกลบข้อมูลส่วนบุคคลออกก่อนส่งให้ Safe Browsing วิเคราะห์ ถ้าระบบตัดสินว่าคำสั่งเป็นอันตราย Chrome จะแสดงคำเตือน แนวคิดคือหยุดการโจมตีก่อนที่ผู้ใช้จะรันคำสั่ง ซึ่งเป็นจุดเดียวที่เบราว์เซอร์ยังมองเห็นก่อนที่การโจมตีจะออกไปอยู่นอกการควบคุมของเบราว์เซอร์

การแบ่งประเภทคำเตือน: Safe Browsing จะแยกเป็นเว็บที่น่าสงสัย (Suspicious) ซึ่งมีรูปแบบการหลอกลวงที่มักพบในเว็บอันตรายที่รู้จัก และเว็บอันตราย (Dangerous) ซึ่งรู้แน่ชัดแล้วว่าเป็นอันตรายและมีความเสี่ยงสูงที่ผู้ใช้จะเสียหาย

โมเดลภาษาบนเครื่อง: Google ต่อยอดการใช้ LLM บนอุปกรณ์จากเดิมที่จับเว็บหลอกลวงซัพพอร์ตเทคนิค ไปสู่เว็บแอนติไวรัสปลอมและอัปเดตเบราว์เซอร์ปลอม โมเดลประเมินเนื้อหาของหน้าเว็บ เช่น แบรนด์ที่แอบอ้าง เจตนาของหน้า และคะแนนความน่าจะเป็นการหลอกลวง Google ระบุว่า Chrome จะวิเคราะห์ข้อความของหน้าเว็บเฉพาะเมื่อพบสัญญาณการหลอกลวงที่มั่นใจสูง และเนื้อหาที่ส่งออกจากเครื่องจะถูกประมวลผลแบบชั่วคราว ไม่ถูกบันทึก เก็บไว้ หรือนำไปเทรนโมเดล

การยืนยันผู้ลงโฆษณาการเงิน: Google เปิด Financial Services Verification ในสหรัฐฯ และแคนาดา บังคับให้ผู้ลงโฆษณาบริการการเงินบางประเภทแสดงว่าได้รับอนุญาตจากหน่วยงานกำกับหรือทะเบียนที่ได้รับการยอมรับก่อนลงโฆษณา โดยร่วมกับ American Bankers Association ในสหรัฐฯ และ Canadian Bankers Association ในแคนาดา โครงการนี้ใช้อยู่แล้วในหลายตลาด เช่น ออสเตรเลีย บราซิล อินเดีย อินโดนีเซีย มาเลเซีย นิวซีแลนด์ ตุรกี และหลายประเทศในยุโรป

Apple บล็อก identity resolution: ทีม WebKit ของ Apple อธิบายว่าในเทคนิคนี้ บุคคลที่สามซึ่งไม่ใช่เจ้าของเว็บไซต์จะแอบเก็บอีเมลของผู้ใช้ตอนล็อกอินหรือสมัครรับจดหมายข่าว ส่งไปที่เซิร์ฟเวอร์ของตน สร้างรหัสติดตามที่ผูกกับอีเมลถาวร แล้วส่งรหัสกลับมาเก็บไว้บนเว็บไซต์เพื่อใช้สร้างโปรไฟล์การท่องเว็บหรือยิงโฆษณาข้ามเว็บไซต์ การล็อกเอาต์หรือยกเลิกรับจดหมายข่าวไม่ได้ลบรหัสหรืออีเมลที่บุคคลที่สามเก็บไว้ และยังต่อยอดเป็นกราฟตัวตนที่มีชื่อ ที่อยู่ เบอร์โทร และ IP ได้ Safari จะบล็อกการเชื่อมต่อเครือข่ายไปยังโครงสร้างพื้นฐานของ identity resolution ในระดับโดเมน ฟีเจอร์นี้มาพร้อม iOS, iPadOS, macOS และ visionOS 27 Apple ระบุว่าการบล็อกคุกกี้ข้ามเว็บไซต์อย่างเดียวไม่พอแล้ว เพราะอุตสาหกรรมการติดตามเข้าสู่สิ่งที่เรียกว่ายุคหลังคุกกี้

ผลกระทบ

ClickFix เป็นช่องทางเจาะเข้าเริ่มต้นที่ได้ผลเพราะกลับด้านฟิชชิงแบบเดิม แทนที่จะใช้ช่องโหว่หรือหลอกให้คลิกลิงก์ มันหลอกให้ผู้ใช้เปิดประตูเองภายใต้ข้ออ้างแก้ปัญหาทั่วไป มาตรการของ Chrome จึงเป็นครั้งแรกที่เบราว์เซอร์รายใหญ่พยายามสกัดที่จุดคัดลอก แต่ผลจะจำกัดอยู่ที่ผู้ใช้ Enhanced Protection ซึ่งไม่ได้เปิดเป็นค่าเริ่มต้น และไม่ครอบคลุมผู้ใช้เบราว์เซอร์อื่น หรือกรณีที่คำสั่งถูกส่งผ่านช่องทางนอกเบราว์เซอร์ เช่น อีเมลหรือแอปแชต

ในฝั่งองค์กร มาตรการนี้เป็นชั้นป้องกันเสริม ไม่ใช่ทางแก้ เพราะผู้โจมตีปรับรูปแบบคำสั่งได้เรื่อย ๆ ส่วนการบล็อก identity resolution ของ Safari จะกระทบผู้ให้บริการโฆษณาและการวิเคราะห์ที่พึ่งพาการแปลงอีเมลเป็นรหัสติดตาม

คำแนะนำ

  • องค์กรที่ใช้ Chrome Enterprise พิจารณาบังคับเปิด Enhanced Protection ผ่านนโยบาย (SafeBrowsingProtectionLevel = 2) เพื่อให้ได้การเตือน ClickFix
  • จำกัดการเข้าถึงหน้าต่าง Run, PowerShell และ Terminal สำหรับผู้ใช้ทั่วไปที่ไม่มีความจำเป็น และเปิด PowerShell Constrained Language Mode กับ Script Block Logging
  • เฝ้าระวังโปรเซส explorer.exe ที่เรียก powershell.exe, cmd.exe, mshta.exe หรือ curl ทันทีหลังการวางจากคลิปบอร์ด และตรวจรายการ RunMRU ใน Registry
  • อบรมผู้ใช้ว่าหน้า CAPTCHA หรือหน้าแจ้งข้อผิดพลาดที่ให้คัดลอกคำสั่งไปรันเองเป็นสัญญาณการโจมตีเสมอ
  • ผู้ใช้ทั่วไปเปิด Enhanced Protection ได้ที่ การตั้งค่า > ความเป็นส่วนตัวและความปลอดภัย > ความปลอดภัย ใน Chrome

แหล่งอ้างอิง