Seo-Poisoning

Zscaler พบ ArmorSteal มัลแวร์ตระกูลใหม่เขียนด้วย Python แพร่ผ่านเว็บปลอมของ Chocolatey และ Microsoft Activation Scripts ที่ดันขึ้นผลการค้นหาด้วย SEO poisoning เหยื่อที่รันคำสั่ง PowerShell บนเว็บปลอมจะได้มัลแวร์พร้อมตัวติดตั้งจริง จึงไม่รู้ตัว มัลแวร์มีโมดูลควบคุมระยะไกลที่รันเฉพาะคำสั่งที่ลงนาม RSA โมดูลดักคีย์บอร์ดและสลับที่อยู่คริปโต และโมดูลขโมยรหัสผ่าน คุกกี้ และกระเป๋าคริปโต ผู้โจมตีย้ายโครงสร้างไปโดเมนใหม่หลังเว็บล่อถูกปิด

แคมเปญที่ปลอมเป็นเครื่องมือ AI ยอดนิยมอย่าง Claude, ChatGPT และ GitHub Copilot เพิ่มขึ้นต่อเนื่อง โดยเล็งนักพัฒนาในองค์กรเป็นหลัก ผู้โจมตีใช้หน้าติดตั้งปลอมให้เหยื่อวางคำสั่งลงเทอร์มินัลเอง หรือที่เรียกว่า InstallFix เพื่อติดตั้งมัลแวร์ขโมยข้อมูล อีกเทคนิคคือ LLMshare ที่สร้างแชตหรือ artifact บนแพลตฟอร์ม AI จริงแล้วซื้อโฆษณาดึงคนเข้าไป ANY.RUN พบการวิเคราะห์ในแซนด์บ็อกซ์ที่โยงกับแคมเปญนี้ 1,258 รายการ ส่วน Push Security ระบุว่า InstallFix ธีม AI คิดเป็น 5-10% ของการตรวจพบรายเดือนและยังเพิ่มขึ้น

Huntress พบเว็บปลอม watchguard-vpn[.]net เลียนแบบหน้าดาวน์โหลด WatchGuard Mobile VPN with SSL ที่ขึ้นในผลค้นหา Bing เว็บขอที่อยู่เซิร์ฟเวอร์ VPN ชื่อผู้ใช้ และรหัสผ่าน แล้วส่งไปเซิร์ฟเวอร์ผู้โจมตี โดยแจ้งว่ากรอกผิดรอบแรกเพื่อให้เหยื่อกรอกซ้ำ จากนั้นจึงดาวน์โหลดตัวติดตั้งของแท้จาก CDN ของ WatchGuard ให้ เหยื่อจึงได้ซอฟต์แวร์ของจริงขณะที่ผู้โจมตีได้ข้อมูลพอจะลองเข้า VPN ลายเซ็นที่ถูกต้องบนตัวติดตั้งจึงไม่ได้พิสูจน์ว่าเส้นทางดาวน์โหลดปลอดภัย

นักวิจัยจาก Vigilance Security เปิดโปงแคมเปญ Dark Sourcery ที่ผู้โจมตีจงใจป้อนข้อมูลลวงและลิงก์ฟิชชิงลงเว็บจำนวนมากเพื่อให้ ChatGPT, Gemini และ Google AI Overview ดึงไปตอบผู้ใช้เสมือนเป็นข้อเท็จจริง พบหน้าเว็บอันตรายหลายหมื่นหน้าที่มีเบอร์ซัพพอร์ตปลอมและหน้าล็อกอินปลอม กระทบแบรนด์ดังกว่า 374 แห่ง เทคนิคนี้ต่างจาก SEO poisoning และ prompt injection เพราะข้อมูลลวงกลายเป็นส่วนหนึ่งของคำตอบ AI โดยตรง จนเลี่ยงระบบป้องกันได้

ทีมวิจัย The DFIR Report เปิดเผยแคมเปญ SEO poisoning ขนาดใหญ่ชื่อ BengalSEO ที่ดำเนินการจากรัฐราชสถานของอินเดียมาตั้งแต่ปี 2558 ผ่านผู้ให้บริการไอทีสองรายคือ WeConnect Solutions และ Garage2Global กลุ่มนี้สร้างหน้าเว็บล่อที่ปลอมเป็นพอร์ทัลซัพพอร์ตและหน้าเปิดใช้งานบริการ แล้วดันขึ้นอันดับต้นบน Bing ด้วยเทคนิค Black Hat SEO ผู้ที่หลงกดจะถูกส่งผ่านระบบกระจายทราฟฟิกไปยังมัลแวร์ MayaBot ที่ปล่อยตัวขุดเหรียญ XMRig หรือถูกดันเข้าคอลเซ็นเตอร์ต้มตุ๋น

บริษัท Check Point Research เปิดเผยแคมเปญของกลุ่มอาชญากรไซเบอร์ที่ใช้ภาษาจีนชื่อ Gambling Goblin ซึ่งติดตั้งโมดูล Apache อันตรายบนเว็บเซิร์ฟเวอร์ของหน่วยงานรัฐและสถาบันการศึกษาในบราซิล โมดูลจะทำหน้าที่ reverse proxy พาผู้เข้าชมไปยังหน้าฟิชชิงที่ปลอมเป็นสโตร์แอปดัง โดยทราฟฟิกยังดูเหมือนมาจากโดเมนของหน่วยงานจริงและส่วนหัวความปลอดภัยถูกถอดออก เป้าหมายที่ประเมินไว้คือการปั่นอันดับผลการค้นหาด้วยโดเมนที่มีชื่อเสียงสูง บริษัทโยงกลุ่มนี้เข้ากับ Earth Berberoka ที่ Trend Micro เคยรายงานไว้ตั้งแต่ปี 2565

บริษัท McAfee Labs รายงานว่ามัลแวร์ Weedhack ยังแพร่ผ่านเว็บที่ปลอมเป็นไคลเอนต์และม็อดของ Minecraft และบล็อกความพยายามเข้าถึงเว็บอันตรายไปแล้วกว่า 6,300 ครั้ง เว็บปลอมลอกทั้งแบรนด์ รายการฟีเจอร์ คู่มือติดตั้ง และวางลิงก์ไป GitHub ของจริงเพื่อลดความระแวง หนึ่งในนั้นสร้างด้วย Lovable ซึ่งเป็นเครื่องมือสร้างเว็บด้วย AI ลิงก์อันตรายเกือบครึ่งกระจายผ่าน Discord เพย์โหลด JAR เก็บข้อมูลระบบ ตั้งข้อยกเว้นให้ Microsoft Defender และขโมยข้อมูลจากเครื่องเหยื่อ

บริษัท Zscaler ThreatLabz เปิดเผยสองแคมเปญที่ใช้ SEO poisoning ร่วมกับ HTML ซ่อนคำสั่ง เพื่อโจมตี AI agent ที่ท่องเว็บแทนผู้ใช้ ด้วยเทคนิค indirect prompt injection ฝังคำสั่งในโค้ดที่มนุษย์มองไม่เห็นแต่ AI อ่านเจอ แคมเปญหนึ่งปลอมเป็นเอกสารไลบรารี Python หลอกจ่ายค่าไลเซนส์ปลอม อีกแคมเปญปลอมโดเมน DeBank ในการทดสอบ AI บางตัวถึงขั้นจ่ายเงินจริงและรับรองเว็บปลอมว่าน่าเชื่อถือ

Kaspersky เปิดโปงแคมเปญขนาดใหญ่หลายภาษาที่ใช้เว็บปลอมเลียนแบบซอฟต์แวร์ยอดนิยมอย่าง OBS Studio, Bandicam, DS4Windows ดัน SEO ขึ้นอันดับต้นของ Google และ Bing เพื่อหลอกให้เหยื่อโหลดไฟล์ติดตั้งที่ฝังมัลแวร์ ใช้ DLL side-loading ติดตั้ง ScreenConnect แล้วปล่อย AsyncRAT พบกว่า 90 โดเมนใน 10 ภาษา เหยื่อมีทั้งบุคคลทั่วไปและองค์กร

กลุ่มแรนซัมแวร์ใช้เทคนิค SEO poisoning ปลอมผลค้นหา Bing สำหรับ ManageEngine OpManager หลอกผู้ดูแลระบบให้ติดตั้งตัวติดตั้งปลอมที่ฝังมัลแวร์ BumbleBee ผู้โจมตีใช้เวลาเพียง 44 ชั่วโมงตั้งแต่คลิกแรกจนถึงปล่อยแรนซัมแวร์ Akira เข้ารหัสทั้งเครือข่าย พร้อมขโมยข้อมูลกว่า 75GB ออกไปยังเซิร์ฟเวอร์ในยูเครน The DFIR Report เผยแพร่รายงานเทคนิคฉบับเต็มพร้อมตาราง IoCs ครบถ้วน