นักวิจัยด้านความปลอดภัยเปิดเผยแคมเปญ Malvertising ที่ใช้ Google Ads ปลอม เผยแพร่มัลแวร์ขโมยข้อมูล MacSync ไปยังผู้ใช้ macOS โดยแอบอ้างเป็นคู่มือติดตั้ง Claude Code เครื่องมือ Agentic Coding ของ Anthropic แคมเปญนี้มีความน่าเชื่อถือสูงเป็นพิเศษ เพราะใช้โครงสร้างพื้นฐานจริงของ claude.ai ผสมกับเทคนิคหลอกลวงที่ออกแบบมาอย่างแยบยล
กลไกการโจมตี
แคมเปญนี้พุ่งเป้าไปยังผู้ใช้ macOS ที่ค้นหาวิธี "how to install Claude Code on Mac" ผ่าน Google โดยมีขั้นตอนดังนี้:
- โฆษณา (Ad) ลิงก์ไปยังโดเมน claude.ai จริง ทำให้ดูน่าเชื่อถือด้วย Branding และตำแหน่งการแสดงผลที่ถูกต้อง คล้ายเอกสารติดตั้งอย่างเป็นทางการของ Anthropic
- โฆษณาที่เป็นอันตรายจะ Redirect ผู้ใช้ไปยังหน้า claude.ai/share ที่เลียนแบบคู่มือการติดตั้งซึ่งแอบอ้างว่ามาจาก "Apple Support" สร้างภาพลวงตาความน่าเชื่อถือซ้อนกันสองชั้น ทั้งจากโดเมนจริงและแบรนด์ที่ผู้ใช้คุ้นเคย
- หลอกให้เหยื่อคัดลอกคำสั่งที่เข้ารหัสแบบ Base64 ไปรันใน Terminal เมื่อถอดรหัสแล้วคำสั่งนี้จะดึง Payload ของมัลแวร์ MacSync จากเซิร์ฟเวอร์ระยะไกล
- พบ URL claude.ai/share หลายรายการที่ผูกกับ Campaign ID เดียวกันของ Google Ads บ่งชี้ว่าผู้โจมตีออกแบบให้มีความซ้ำซ้อน (Redundancy) เพื่อให้แคมเปญยังทำงานต่อได้แม้ลิงก์บางรายการจะถูกลบไป
ความสามารถของมัลแวร์ MacSync
MacSync เป็นมัลแวร์ประเภท Infostealer ที่มุ่งเน้นขโมย Credential และ Session โดยเฉพาะ ครอบคลุมข้อมูลหลากหลายประเภท:
- macOS Keychain ที่จัดเก็บรหัสผ่านและข้อมูลสำคัญของระบบ
- Browser Cookies รวมถึง Session Cookies ที่อาจใช้ข้าม Multi-Factor Authentication ได้
- SSH Keys, Cloud Credentials และ Kubernetes Configurations
- Developer Tokens ที่ใช้เชื่อมต่อกับระบบพัฒนาซอฟต์แวร์ต่างๆ
- Telegram Session Data
- Cryptocurrency Wallet มากกว่า 80 รายการ
นอกจากนี้ MacSync ยังสร้าง Persistence ผ่าน LaunchAgent ที่เลียนแบบ Google Keystone Updater เพื่อให้ดูเหมือนเป็นกระบวนการปกติของระบบ และสามารถแก้ไขแอปพลิเคชัน Ledger Live เพื่อดักข้อมูล Wallet ของเหยื่อได้โดยตรง
ผลกระทบที่อาจเกิดขึ้น
- บัญชีและอุปกรณ์ถูกบุกรุกอย่างสมบูรณ์ เนื่องจากมัลแวร์เข้าถึงทั้ง Credential, Session และ Key สำคัญเกือบทุกประเภทที่ใช้งานบนเครื่อง
- ข้าม Multi-Factor Authentication ได้ ผ่าน Session Cookies ที่ถูกขโมย ทำให้มาตรการ MFA ที่องค์กรพึ่งพาอาจไม่เพียงพอ
- ความเสี่ยงต่อ Supply Chain ด้านการพัฒนาซอฟต์แวร์ จากการขโมย Developer Tokens, SSH Keys และ Cloud Credentials ซึ่งอาจใช้เข้าถึง Source Code หรือ CI/CD Pipeline ต่อได้
- ความสูญเสียทางการเงินโดยตรง จากการขโมย Cryptocurrency Wallet และการดักข้อมูลผ่าน Ledger Live ที่ถูกแก้ไข
- กลุ่มเป้าหมายที่มีความเสี่ยงสูงเป็นพิเศษคือนักพัฒนาซอฟต์แวร์ ที่มักมีสิทธิ์เข้าถึงระบบสำคัญขององค์กรมากกว่าผู้ใช้งานทั่วไป
สิ่งที่ควรทำหากเคยรันคำสั่งดังกล่าว
หากเคยคัดลอกและรันคำสั่งติดตั้งจากแหล่งที่ไม่แน่ใจว่าเป็นทางการหรือไม่ ควรถือว่าอุปกรณ์และบัญชีที่เกี่ยวข้องถูกบุกรุกแล้ว และดำเนินการทันที:
- แยกเครื่องออกจากเครือข่ายทันที เพื่อหยุดการสื่อสารกับเซิร์ฟเวอร์ของผู้โจมตี
- เปลี่ยนรหัสผ่านและ Key ทั้งหมดจากอุปกรณ์ที่สะอาด ไม่ใช่จากเครื่องที่สงสัยว่าติดมัลแวร์
- เพิกถอน (Revoke) Session และ Token ทั้งหมด ที่เกี่ยวข้องกับบัญชีบนเครื่องที่ติดมัลแวร์
- ตรวจสอบ Source Code และ CI/CD Activity ว่ามีการเปลี่ยนแปลงที่ไม่ได้รับอนุญาตหรือไม่ โดยเฉพาะหากเป็นเครื่องของนักพัฒนา
- ติดตั้งระบบปฏิบัติการใหม่ทั้งหมด (Clean Install) เพื่อให้มั่นใจว่าไม่มีมัลแวร์หลงเหลืออยู่
สิ่งที่องค์กรควรทำ
- ให้ความรู้พนักงานเกี่ยวกับความเสี่ยงจากการคัดลอกคำสั่งจาก Terminal โดยเฉพาะคำสั่งที่เข้ารหัสแบบ Base64 หรือมาจากหน้าเว็บที่ไม่ใช่เอกสารทางการโดยตรง
- ตรวจสอบ URL ปลายทางก่อนดำเนินการติดตั้งซอฟต์แวร์เสมอ แม้จะมาจากโฆษณาที่ดูน่าเชื่อถือหรือลิงก์ไปยังโดเมนจริงก็ตาม
- จำกัดสิทธิ์การติดตั้งซอฟต์แวร์บนเครื่องพนักงาน โดยเฉพาะเครื่องนักพัฒนาที่มีสิทธิ์เข้าถึงระบบสำคัญ
- ตรวจสอบ Endpoint Protection ว่าครอบคลุมพฤติกรรมของ Infostealer บน macOS ไม่ใช่เน้นเฉพาะระบบ Windows เท่านั้น
แนวทางลดความเสี่ยงระยะยาว
1. กำหนดช่องทางการติดตั้งซอฟต์แวร์พัฒนาที่เป็นทางการเพียงช่องทางเดียว
เช่น ใช้เอกสารจาก Official Documentation หรือ Package Manager ที่ได้รับการรับรอง แทนการค้นหาผ่าน Search Engine โดยตรง
2. เปิดใช้งาน Application Whitelisting บนเครื่องนักพัฒนา
เพื่อจำกัดการรันโปรแกรมหรือ Script ที่ไม่ได้รับอนุญาตล่วงหน้า
3. ทำ Credential Rotation Policy สำหรับ Developer Tokens และ SSH Keys เป็นประจำ
ลดผลกระทบหาก Credential เหล่านี้ถูกขโมยไปโดยไม่รู้ตัว
4. ติดตามข่าวสารด้าน Malvertising ที่แอบอ้างเครื่องมือพัฒนาซอฟต์แวร์ยอดนิยม
เนื่องจากแนวโน้มการใช้เครื่องมือ AI Coding เป็นเหยื่อล่อกำลังเพิ่มขึ้นตามความนิยมของเครื่องมือเหล่านี้
วิเคราะห์ในมุมมองจาก TXEC
แคมเปญนี้สะท้อนวิวัฒนาการของเทคนิค Social Engineering ที่ซับซ้อนขึ้นอย่างมาก ผู้โจมตีไม่ได้ใช้เพียงเว็บไซต์ปลอมทั่วไป แต่อาศัยโครงสร้างพื้นฐานจริงของแพลตฟอร์มที่น่าเชื่อถือ (claude.ai/share) ผสมกับการแอบอ้างแบรนด์ที่คุ้นเคย (Apple Support) สร้างภาพลวงตาความน่าเชื่อถือหลายชั้นที่ยากต่อการสังเกตแม้แต่ผู้ใช้งานที่มีความระมัดระวังสูง
จุดที่ TXEC อยากเน้นย้ำเป็นพิเศษคือกลุ่มเป้าหมายของแคมเปญนี้คือนักพัฒนาซอฟต์แวร์ที่กำลังมองหาเครื่องมือ AI Coding ยอดนิยม ซึ่งมักมีสิทธิ์เข้าถึงระบบสำคัญขององค์กรมากกว่าผู้ใช้งานทั่วไป การที่มัลแวร์สามารถขโมย Developer Tokens, Cloud Credentials และ SSH Keys ได้ในคราวเดียว ทำให้ความเสี่ยงไม่ได้จำกัดอยู่แค่ระดับบุคคล แต่อาจลุกลามไปถึงระบบและ Source Code ขององค์กรทั้งหมด องค์กรที่มีนักพัฒนาใช้งาน macOS ควรสื่อสารเตือนภัยเรื่องนี้อย่างชัดเจนและรวดเร็ว
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CyberSecurityNews, GBHackers, CyberPress, HackRead ]