macOS ระวังแอป Codex ปลอม
เตือนภัยชาว macOS ระวังแอป Codex ปลอม เผลอเชื่ออาจนำไปสู่การติดตั้งมัลแวร์ AMOS ลงเครื่องได้
จากรายงานโดยเว็บไซต์ SiliconAngle ได้กล่าวถึงการตรววจพบแคมเปญใหม่ของมัลแวร์ประเภทขโมยข้อมูลจากเครื่องของเหยื่อ หรือ Infostealer ที่เล็งโจมตีผู้ใช้งานระบบปฏิบัติการ macOS โดยเฉพาะอย่าง AMOS ผ่านการแอบอ้างตัวเองเป็นแอปพลิเคชัน Codex ซึ่งเป็นแอปพลิเคชันแบบผู้ช่วย AI หรือ AI Agent จากทาง OpenAI ผู้พัฒนาเดียวกันกั บ ChatGPT เครื่องมือ AI ยอดนิยมอันดับหนึ่ง โดยทางทีมวิจัย CTRL จากบริษัท Cato Networks บริษัทผู้เชี่ยวชาญด้านการจัดการความปลอดภัยระบบเครือข่าย (Network)
ทางทีมวิจัยได้พบว่าแฮกเกอร์ที่อยู่เบื้องหลังนั้นใช้กลยุทธ์หลอกให้เหยื่อทำตามคำสั่งบนหน้าจอเพื่อติดตั้งมัลแวร์ หรือ ClickFix ผ่านทางเว็บไซต์ปลอมที่อ้างว่าเป็นเว็บไซต์สำหรับการดาวน์โหลดแอปพลิเคชัน Codex โดยเริ่มจากการใช้งานโฆษณาปลอมผ่านทาง Google Ads ที่มุ่งเล็งไปยังกลุ่มคนที่ค้นหาคำว่า “codex macos download” หรือใกล้เคียง และด้วยโฆษณานี่เองทำให้ตัวเว็บไซต์ปลอมนั้นปรากฎตัวอยู่เหนือเว็บไซต์จริง ทำให้เหยื่อนั้นเข้าใจผิดเข้าเว็บไซต์ปลอมแทนที่จะเป็นเว็บไซต์ของแท้ โดยเมื่อคลิ๊กแล้วก็จะนำพาเหยื่อไปยังเว็บไซต์ที่ถูกสร้างขึ้นบนระบบของ Google Sites ที่มีการตกแต่งเหมือนหน้าดาวน์โหลดของ Codex ของแท้เป๊ะ ๆ
หลังจากที่เหยื่อเข้าเว็บไซต์ปลอมดังกล่าวเป็นที่เรียบร้อยแล้ว เหยื่อจะพบกับปุ่มที่อ้างว่าใช้งานสำหรับดาวน์โหลดแอป Codex เวอร์ชัน macOS และ Linux แต่ทางทืมวิจัยระบุว่า ไม่ว่าจะกดปุ่มไหนก็จะเป็นการดาวน์โหลด (แอปปลอม) เวอร์ชัน macOS ทั้งสิ้น ซึ่งเมื่อกดเป็นที่เรียบร้อยแล้วก็จะนำไปสู่การโหลดคอนเทนต์หน้า ClickFix มาจากเซิร์ฟเวอร์อื่นผ่านทาง iFrame เพื่อไม่ให้โค้ดอันตรายสำหรับใช้ในการติดตั้งมัลแวร์นั้นอยู่บนระบบเว็บไซต์ Google Sites ซึ่งอาจเสี่ยงต่อการถูกทาง Google ปิดเว็บไซต์ได้ โดยจากการตรวจสอบพบว่าหน้า ClickFix นั้นจะมีการใช้พาธ (Path) ของเว็บไซต์ที่มีชื่อว่า /codexx/ ส่วนพาธ /codex/ นั้นจะถูกใช้เมื่อกลับสู่หน้าผลิตภัณฑ์ (Product Page) นอกจากนั้นยังพบว่าตัวเว็บไซต์มีการวางระบบตรวจจับว่าผู้เข้าเยี่ยมชมนั้นใช้งานระบบปฏิบัติการตัวใด ถ้าพบว่าใช้งานระบบปฏิบัติการที่ไม่ใช่ macOS ก็จะพาไปยังหน้าที่ไม่มีพิษมีภัยในทันที
บนหน้า ClickFix นั้นจะมีคำสั่งให้เหยื่อทำการเปิดแอปพลิเคชัน Terminal และวางโค้ดที่ถูกคัดลอกมาอย่างอัตโนมัติเพื่อรัน (Run) ผ่านทาง Terminal โดยอ้างว่าเป็นการดาวน์โหลดแอปพลิเคชัน Codex ลงสู่เครื่อง แต่แท้จริงแล้วเป็นการสั่งติดตั้งมัลแวร์ ซึ่งการติดตั้งมัลแวร์นั้นจะถูกแบ่งออกเป็น 3 ขั้นตอน โดยเริ่มจากการรันสคริปท์ Shell ซึ่งทำหน้าที่เป็นมัลแวร์นกต่อ หรือ Loader ในรูปแบบ Blob แบบเข้ารหัส (Encoded) ที่ถูกห่อหุ้มโดยโค้ดที่ไม่ได้ใช้งาน (Dead Code) และตัวแปรที่ไม่มีประโยชน์ (Unused Variables) จำนวนมาก ถึงตัว Blob นี้จะถูกถอดรหัสด้วย eval
ในขั้นที่ 2 จะเป็นการส่งคำขอในรูปแบบ HTTP Request ไปยังเครื่องมือปลายทาง (Endpoint) ของแฮกเกอร์พร้อมพารามิเตอร์เช่น event=pasted เพื่อยืนยันว่าเหยื่อได้ทำการคัดลอก, วาง, และรันคำสั่งเป็นที่เรียบร้อย เพื่อเข้าสู่ขั้นตอนที่ 3 ในการดาวน์โหลดม ัลแวร์ตัวจริง (Payload) ลงไปยังโฟลเดอร์ /tmp/helper ในรูปแบบไฟล์สกุล .clears พร้อม Extended Attribute อย่าง xattr -c ซึ่งถ้าไม่มี Attribute คัวอยู่ตัวมัลแวร์ก็จะถูกตรวจจับได้และมีการแจ้งเตือนให้เหยื่อได้รับทราบถึงการเข้ามาของมัลแวร์
ประสบการณ์ส่วนตัวกับการใช้งาน macOS ทำให้ผมตระหนักถึงความสำคัญของการดาวน์โหลดโปรแกรมจากแหล่งที่น่าเชื่อถือ เพราะเคยได้ยินข่าวเกี่ยวกับแอปปลอมที่แฝงมัลแวร์อย่างกรณีของแอป Codex ที่ตั้งใจโจมตีผู้ใช้ macOS ผ่านมัลแวร์ AMOS ซึ่งมัลแวร์ตัวนี้ทำหน้าที่ขโมยข้อมูลสำคัญจากเครื่อง สิ่งที่น่าสนใจและควรรู้คือ แฮกเกอร์ใช้กลยุทธ์โฆษณาปลอมบน Google Ads เพื่อดึงดูดผู้ใช้ที่ค้นหาคำว่า "codex macos download" ไปยังเว็บไซต์ปลอมที่เหมือนกับเวอร์ชันจริงมาก ทำให้ผู้ใช้ที่ไม่ทันระวังคลิกดาวน์โหลดแล้วติดมัลแวร์โดยไม่รู้ตัว ผมได้เรียนรู้ว่าตัวเว็บไซต์ปลอมจะใช้ระบบตรวจจับว่าผู้เยี่ยมชมใช้ระบบปฏิบัติการอะไร หากไม่ใช่ macOS จะถูกพาไปยังหน้าเว็บปลอดภัย ซึ่งเป็นหนึ่งในวิธีซ่อนความผิดปกติได้ดีและหลอกลวงผู้ใช้ได้ง่ายในวงกว้าง ขั้นตอนติดตั้งมัลแวร์ยังซับซ้อน โดยให้ผู้ใช้เปิด Terminal และรันคำสั่งที่ถูกคัดลอกอัตโนมัติ โดยอ้างว่าเป็นการติดตั้งแอป Codex จริง ๆ แต่แท้จริงคือการรันสคริปต์แบบเข้ารหัสทำหน้าที่เป็นตัวดาวน์โหลดมัลแวร์หลักลงในเครื่อง ซึ่งผู้ใช้ทั่วไปอาจไม่ทันสังเกตถึงความผิดปกติ คำแนะนำสำหรับผู้ใช้ macOS คือ - หลีกเลี่ยงการดาวน์โหลดแอปจากเว็บไซต์ที่ไม่รู้จักหรือไม่น่าเชื่อถือ - ไม่กดปุ่มลิงก์บนโฆษณาที่ไม่น่าเชื่อถือโดยเฉพาะจาก Google Ads - ระวังคำสั่งใด ๆ ที่ขอให้เปิด Terminal เพื่อวางและรันคำสั่งโดยตรง - ติดตั้งและใช้งานซอฟต์แวร์แอนตี้มัลแวร์ที่มีประสิทธิภาพเพื่อตรวจจับพฤติกรรมแปลก ๆ ทั้งนี้ การอัปเดตระบบปฏิบัติการ macOS อยู่เสมอก็ช่วยป้องกันช่องโหว่จากการโจมตีในรูปแบบต่าง ๆ ได้ด้วย การรู้เท่าทันและมีสติในการดาวน์โหลดและติดตั้งซอฟต์แวร์จะช่วยลดความเสี่ยงในการถูกโจมตีด้วยมัลแวร์อย่างมาก
