Phishing ปล่อยมัลแวร์ OKBot ขโมยSeed กระเป๋าคริปโต
ตรวจพบแคมเปญ Phishing ปล่อยมัลแวร์ OKBot ขโมย Seed กระเป๋า Trezor และ Ledger
จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบแคมเปญหลอกลวงแบบ Phishing ในการหลอกปล่อยมัลแวร์ OKBot (ซึ่งไม่ถูกระบุประเภทไว้โดยแหล่งข่าว แต่คาดหมายจากชื่อว่าอาจเป็นมัลแวร์ประเภทเปลี่ยนเครื่องของเหยื่อเป็นเครือข่ายข องแฮกเกอร์ หรือ Botnet) ซึ่งการตรวจพบดังกล่าวเป็นผลงานจากทีมวิจัย GReAT จาก Kaspersky บริษัทผู้พัฒนาซอฟต์แวร์แอนตี้ไวรัส (Anti-Virus) ยอดนิยม โดยทางทีมวิจัยพบว่ามีการใช้การหลอกลวงถึง 2 วิธีด้วยกัน นั่นคือ
การหลอกลวงให้รันโค้ดบนเครื่องของตนเองโดยอ้างว่าเป็นการทำเพื่อการยืนยันตัวตน หรือ แก้ไขข้อผิดพลาด ซึ่งเป็นวิธีที่เรียกว่า ClickFix
การใช้งานซอฟต์แวร์ฝังมัลแวร์ที่ฝากไว้บนคลังดิจิทัล (Repo หรือ Repository) ของทาง GitHub โดยกรณีที่ตรวจพบนั้นเป็นการใช้วิธีการโฆษณาว่าซอฟต์แวร์ที่ฝากไว้นั้นเป็นซอฟต์แวร์สำหรับการจัดการระบบเซิร์ฟเวอร์ SQL ที่มีชื่อว่า SQL Server Management Studio แต่พอดาวน์โหลดไป ภายในกลับเป็นซอฟต์แวร์สำหรับปรับแต่งเสียงที่มีชื่อว่า Audacity ที่มีการฝังมัลแวร์ไว้ โดยทางทีมวิจัยพบว่า Repo ดังกล่าวนั้นถูกสร้างขึ้นมาประมาณช่วงเดือนมี นาคม ค.ศ. 2025 (2568) และพึ่งถูกลบในช่วงเดือนมิถุนายนที่ผ่านมานี้เอง
ซึ่งทั้ง 2 ทางนั้นจะนำไปสู่การรันตัวดาวน์โหลดสคริปท์ PowerShell อย่าง TookPS ที่ตัวสคริปท์ที่ดาวน์โหลดลงมานั้นจะทำหน้าที่ในการติดตั้ง SSH, ติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and
Control), ตั้งค่าพอร์ต (Forward Port) ไปยัง SSH Daemon Port เพื่อใช้รับคำสั่งจากเซิร์ฟเวอร์ C2 และรอคำสั่งที่จะส่งเข้ามายังตัวมัลแวร์ โดยในระหว่างนี้มัลแวร์จะทำการแอบขโมยไฟล์ต่าง ๆ ที่เกี่ยวข้องกับรหัสผ่าน (Credential), กระเป๋าเงินคริปโตเคอร์เรนซี (Crypto Wallet), ข้อมูลโปรไฟล์ของเว็บเบราว์เซอร์, และไฟล์ Cookes เพื่อส่งออกไปให้กับแฮกเกอร์ผ่านทางอุโมงค์ (Tunnel) สแกนหาซอฟต์แวร์แอนตี้ไวรัส (Anti-Virus) ที่อยู่บนเครื่อง จากนั้นจึงทำการแก้ไขรีจิสทรี (Registry) เพื่อปิดการแจ้งเตือนของ Microsoft Defender และเปิดทางเข้าสู่ระบบให้กับทางแฮกเกอร์สามารถเข้ามาจัดการระบบได้
เปิดไฟร์วอลล์ (Firewall) สำหรับการติดต่อแบบ RDP (Remote Desktop Protocol) ขาเข้า
เพิ่มบัญชีของแฮกเกอร์ลงไปยังกลุ่ม Remote Desktop Users Group
ทับไฟล์ termsrv.dll ด้วยเวอร์ชันที่ถูกดัดแปลงมา เพื่อช่วยให้แฮกเกอร์สามารถใช้งาน RDP บน Sessions ปัจจุบันได้ตลอดไป
ทำการสร้างตารางเวลาการทำงาน (Task Scheduling) ภายใต้ชื่อ Apple Sync ซึ่งจะทำหน้าที่ในการสร้าง Reverse SSH Tunnel สำหรับ Local RDP Port ทุกชั่วโมง
หลังจากนั้นมัลแวร์ก็จะทำการดาวน์โหลดโมดูล (Modules) ต่าง ๆ มาจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ซึ่งในขั้นแรกนั้นจะประกอบด้วยเครื่องมือสำคัญ 2 ตัว นั่นคือ
HDUtil เป็น Launcher ที่ถูกป้องกันไม่ให้สามารถทำงานในสภาวะจำลอง (VM หรือ Virtual Machine) ใช้ในการรันโมดูลและเครื่องมือต่าง ๆ รวมทั้งมีความสามารถในการอัปเกรดสิทธิ์ในการใช้งานระบบผ่านทาง Windows RPC (Remote Procedure Call) ซึ่งเป็นเครื่องมือบน Windows ที่มีความสามารถในการยกสิทธิ์ผู้ใช้งานทั่วไปขึ้นไปเป็นระดับผู้ดูแลสูงสุด (System) ในเดียวกันก็ข้ามระบบป้องกันของ UAC (User Account Control) ซึ่งเป็นเครื่องมือรักษาความปลอดภัยของบัญชีบน Windows ไปได้
Volume2 เป็นเครื่องมือ (Utility) ที่มาพร้อมกับไฟล์ protobuf.dll ที่ใช้ในการถอดรหัส (Decryption) และรันไฟล์มัลแวร์ (Payload) ตัวจริงซึ่งเป็นตัวจัดการปลั๊กอิน (Plugin Dispatcher) ที่จะทำการตรวจสอบ (Polling) กับเซิร์ฟเวอร์ C2 ทุก ๆ 20 วินาที
ทางทีมวิจัยยังได้ตรวจพบปลั๊กอิน 5 ตัวที่เกี่ยวข้องกับเครื่องมือข้างต้นได้ดังนี้
OkoSpyware เป็นมัลแวร์ประเภทสอดแนม หรือ Spyware ที่ใช้ในการสอดส่องการทำงานของซอฟต์แวร์มากกว่า 100 ตัว โดยซอฟต์แวร์สำคัญอย่างเครื่องมือจัดการรหัสผ่าน (Password Manager) 1Password และ กระเป๋าเงินคริปโตอย่าง Exodus, MetaMask, และ Tonkeeper ก็อยู่ในบัญชีรายชื่อจับตามองของสปายแวร์ตัวนี้ด้วย ซึ่งตัวมัล แวร์จะทำงานร่วมกับปลั๊กอินสำหรับบันทึกวิดีโอและดักจับการพิมพ์ในการขโมยข้อมูลจากซอฟต์แวร์ดังกล่าว
FFmpeg เป็นปลั๊กอินที่ช่วยเหลือมัลแวร์ OkoSpyware ในการบันทึกหน้าจอออกมาเป็นคลิปแบบ MP4
MC Keylogger เป็นปลั๊กอินที่ช่วยเหลือมัลแวร์ OkoSpyware ในการบันทึกการพิมพ์ (Keystroke) โดยจะครอบคลุมตั้งแต่การป้อนข้อมูล (Input), Clipboard, อุปกรณ์ USB ต่าง ๆ, ทั้งยังมีความสามารถในการบันทึกภาพหน้าจอ (Screenshot) ทุก ๆ 5 นาที
Rilide มัลแวร์ประเภทขโมยข้อมูลจากเครื่องของเหยื่อ (Infostealer) ในรูปแบบส่วนเสริมของเว็บเบราว์เซอร์ (Extension) ของเว็บเบราว์เซอร์ตระกูล Chromium
SeedHunter เครื่องมือสำหรับขโมยรหัสกู้กระเป๋าเงินคริปโต หรือ Seed Phrase จากกระเป๋าเงินแบบฮาร์ดแวร์อย่าง Trezor และ Ledger
สำหรับปลั๊กอินตัวท้ายสุดที่เรียกว่าร้ายแรงมากที่สุดเนื่องจากสามารถขโมยกระเป๋าเงินประเภทที่หลายคนคิดว่าปลอดภัยไ ด้นั้น จะมีการทำการตรวจสอบแอปพลิเคชันของกระเป๋าเงินอย่าง Trezor Suite, Ledger Wallet, และ Ledger Live ซึ่งถ้าพบตัวใดตัวหนึ่งอยู่บนเครื่อง ก็จะทำการยิงโค้ด (Injection) ของตัวเองลงไปในแอปพลิเคชันเหล่านั้นเพื่อดักจับข้อมูลจาก Electron ภายในกระเป๋าเหล่านี้ จากนั้นจึงจัดการถามไปยังเซิร์ฟเวอร์ C2 ที่ตั้งอยู่ที่ moonsand[.]store โดยถ้าเซิร์ฟเวอร์ตั้งธง (Flag) เป็น Wait ตัวปลั๊กอินก็จะสแกนไดร์ฟ USB ตามหมายเลข ID ของผู้พัฒนา (Vendor) และ ตัวผลิตภัณฑ์ แล้วรอจนกว่าจะมีการเสียบกระเป๋าดังกล่าวเข้าสู่ไดร์ฟ USB
หลังจากที่ตรวจพบกระเป๋าถูกเสียบเข้ามาเรียบร้อยแล้ว มัลแวร์ก็จะแสดงหน้าจอสำหรับการกู้กระเป๋า (Recovery Page) ที่ถูกตั้งค่าไว้ล่วงหน้า (Hardcoded) เพื่อล่อให้เหยื่อทำการกรอก Seed Phrase เข้ามา ซึ่งรหัสที่กรอกเข้ามาทั้งหมดจะถูกส่งไปยังคอนโซลของหน้ากู้คืนกระเป๋าโดยมีเครื่องหมาย @:app:print กำกับอ ยู่ แล้วส่งต่อไปยังฟังก์ชัน mal_LogConsoleMessage ที่ถูกเชื่อมต่อ (Hooked) อยู่เพื่อดักจับรหัสดังกล่าว โดยรหัสทั้งหมดนั้นจะถูกส่งออกมาเป็นไฟล์ในรูปแบบ JSON พร้อมสำเนาแบบ RC4 ที่จะถูกบันทึกแบบไฟล์ชั่วคราวไว้ แล้วจึงลักลอบส่งออก (Exfiltration) ไปยังเซิร์ฟเวอร์ C2 ทำให้แฮกเกอร์สามารถเข้าถึงเงินทั้งหมดที่อยู่ภายในกระเป๋าฮาร์ดแวร์ของเหยื่อได้อย่างง่ายดาย
จากประสบการณ์ส่วนตัวที่ติดตามข่าวสารด้านความปลอดภัยไซเบอร์เกี่ยวกับคริปโตมาโดยตลอด ผมเข้าใจดีว่าแม้กระเป๋าคริปโตฮาร์ดแวร์อย่าง Trezor และ Ledger จะได้รับการยอมรับว่าปลอดภัย แต่มัลแวร์ OKBot นี้ทำให้เห็นว่าไม่มีอะไรที่ปลอดภัยแบบ 100% อย่างแท้จริง การใช้วิธีการ Phishing หลอกให้เหยื่อรันโค้ดบนเครื่อง หรือดาวน์โหลดซอฟต์แวร์ปลอมบน GitHub เพื่อฝังมัลแวร์ ถือเป็นเทคนิคที่แฮกเกอร์เลือกใช้ด้วยความชาญฉลาด สิ่งที่น่ากังวลคือมัลแวร์ตัวนี้ไม่ได้แค่ขโมยรหัสผ่านทั่วไป แต่รวมถึง Seed Phrase ซึ่งคือรหัสกู้กระเป๋าคริปโตที่เป็นกุญแจสำคัญในการเข้าถึงเงินดิจิทัลของเราเอง อีกทั้งยังมีการใช้สคริปท์ PowerShell และเทคนิคหลายชั้น เช่น การเปิดพอร์ต SSH, ปิดแจ้งเตือนแอนตี้ไวรัส, เปิดไฟร์วอลล์ RDP และเพิ่มบัญชีแฮกเกอร์ ทำให้แฮกเกอร์สามารถเข้าควบคุมเครื่องได้โดยตรงโดยที่เจ้าของไม่รู้ตัว ผมแนะนำให้ผู้ใช้งานคริปโตทุกคนควรระมัดระวังขั้นสูงสุด ต้องหลีกเลี่ยงการคลิกลิงก์ในอีเมลหรือข้อความที่ไม่น่าเชื่อถือ และไม่ควรดาวน์โหลดโปรแกรมจากแหล่งที่ไม่น่าเชื่อถือ แม้จะเป็นบน GitHub ก็ตาม นอกจากนี้ควรอัพเดตซอฟต์แวร์ป้องกันไวรัสและระบบปฏิบัติการของเครื่องให้เป็นเวอร์ชันล่าสุดเสมอ เพื่อป้องกันการถูกโจมตีในระดับลึก สำหรับผู้ใช้กระเป๋าฮาร์ดแวร์ ควรเก็บ Seed Phrase ไว้ในที่ปลอดภัยที่ไม่มีการเชื่อมต่อกับอินเทอร์เน็ต และไม่กรอกข้อมูล Seed Phrase ลงในซอฟต์แวร์หรือเว็บไซต์ใดๆ ที่ไม่น่าไว้วางใจ การรักษาความปลอดภัยแบบรัดกุมนี้เป็นสิ่งจำเป็นเพราะการโจมตีแบบนี้ไม่ได้เกิดขึ้นเพียงครั้งเดียว แต่ยังมีการพัฒนาเทคนิคแฮกเกอร์เรื่อยๆ ในฐานะที่ติดตามข่าวและมีประสบการณ์กับการใช้คริปโต ผมจึงมองว่าการตระหนักรู้ในภัยคุกคามและปรับใช้วิธีการรักษาความปลอดภัยที่เหมาะสมจะช่วยลดความเสี่ยงจากมัลแวร์ OKBot และแฮกเกอร์กลุ่มนี้ได้จริงๆ การมีข้อมูลและวิธีป้องกันที่ถูกต้องจึงเป็นเครื่องมือสำคัญสำหรับทุกคนที่ใช้งานคริปโตในยุคปัจจุบันนี้
