วงการความปลอดภัยไซเบอร์ต้องจับตาอีกครั้ง หลังมีการค้นพบมัลแวร์ขโมยข้อมูลตัวใหม่บนระบบปฏิบัติการ macOS ในชื่อ ClickLock ซึ่งใช้วิธีการโจมตีสุดก้าวร้าวด้วยการปิดโปรแกรมทั้งหมดบนเครื่อง เพื่อกดดันให้ผู้ใช้จำใจต้องกรอกรหัสผ่านเข้าระบบ มัลแวร์ตัวนี้ถูกออกแบบมาเพื่อล่าสินทรัพย์ดิจิทัลอย่างคริปโทเคอร์เรนซี ข้อมูลส่วนตัว รหัสผ่านที่บันทึกไว้ คุกกี้เบราว์เซอร์ ตลอดจนข้อมูลการยืนยันตัวตนของระบบ แถมยังสามารถแอบฝัง Backdoor เอาไว้เพื่อเข้าควบคุมเครื่องจากระยะไกลในระยะยาวได้อีกด้วย
จุดเริ่มต้นของการระบาดถูกตรวจพบโดยนักวิจัยจาก Group-IB บนแพลตฟอร์ม VirusTotal ซึ่งในตอนแรกยังไม่มีเอนจินของบริษัทความปลอดภัยใดสามารถตรวจจับได้เลย โดยผลการสืบสวนพบว่ามีเครื่องเหยื่อติดมัลแวร์นี้ไปแล้วไม่ต่ำกว่า 100 เครื่องใน 33 ประเทศทั่วโลก การโจมตีมักเริ่มต้นจากกลอุบาย ClickFix ที่ล่อลวงให้เหยื่อคัดลอกคำสั่งอันตรายไปวางในแอป Terminal ซึ่งจะแสดงหน้าต่างยืนยันตัวตนปลอมของ Cloudflare เพื่อตบตาให้เหยื่อหลงเชื่อว่ากำลังผ่านกระบวนการตรวจสอบความปลอดภัยตามปกติ
ในระหว่างที่เหยื่อกำลังสับสนกับหน้าต่างปลอม สคริปต์เบื้องหลังจะเริ่มทำงานทันทีด้วยการปิดปุ่มขัดจังหวะบนคีย์บอร์ด ซ่อนเคอร์เซอร์ และแอบดาวน์โหลดโมดูลอันตรายลงเครื่องอย่างเงียบๆ นอกจากนี้ยังแอบสั่งระงับการแจ้งเตือนของ macOS NotificationCenter ยาวนานถึง 6 ชั่วโมง เพื่อไม่ให้ระบบส่งคำเตือนใดๆ ที่อาจทำให้ผู้ใช้ไก่ตื่น ความน่ากลัวของ ClickLock คือมันไม่ได้ใช้ช่องโหว่ซับซ้อน แต่เน้นใช้กลยุทธ์ทางวิศวกรรมสังคม (Social Engineering) ร่วมกับการสร้างลูปบังคับปฏิสัมพันธ์ เพื่อบีบบังคับให้เหยื่อจำยอมทำตามคำสั่ง
ความแยบยลในด่านแรกคือการแสดงหน้าต่างขอรหัสผ่าน macOS ปลอมที่ดึงชื่อบัญชีจริงของเหยื่อพร้อมไอคอน Apple มาใช้เพื่อสร้างความน่าเชื่อถือ หากเหยื่อหลงเชื่อกรอกรหัสผ่าน มัลแวร์จะตรวจสอบความถูกต้องแล้วส่งข้อมูลตรงไปหาแฮกเกอร์ผ่าน Telegram ทันที แต่ถ้าเหยื่อกดปฏิเสธ มัลแวร์จะเริ่มแผนสองด้วยการฝังตัวผ่าน LaunchAgents เพื่อรอเวลาทำงานใหม่เมื่อเปิดเครื่องครั้งต่อไป โดยจะรันลูปสั่งปิดแอปพลิเคชันหลักทุกๆ 210 มิลลิวินาที ทำให้ผู้ใช้ไม่สามารถเปิดโปรแกรมใดๆ ได้เลยจนกว่าจะยอมกรอกรหัสผ่าน
นอกจากนี้ ย่อยสคริปต์อีกตัวยังรันลูปทุกๆ 200 มิลลิวินาทีต่อเนื่องยาวนานถึง 35 วัน เพื่อขึ้นป๊อปอัปของระบบจริงๆ ในการขอสิทธิ์เข้าถึง Keychain โดยมีเป้าหมายหลักคือการขโมยกุญแจ Safe Storage ของ Chrome นำไปใช้ถอดรหัสผ่าน คุกกี้ และข้อมูล Autofill ของเบราว์เซอร์ตระกูล Chromium ในรูปแบบออฟไลน์ ขณะเดียวกันโมดูลกวาดข้อมูลก็จะเริ่มทำงานเพื่อดึงข้อมูลจาก 8 เบราว์เซอร์ชั้นนำ ข้อมูลประวัติใน Terminal บันทึกการเชื่อมต่อ FileZilla รวมถึงข้อมูลกระเป๋าเงินคริปโทเคอร์เรนซีทุกเครือข่ายหลัก
ท้ายที่สุด ข้อมูลทั้งหมดที่รวบรวมได้จะถูกบีบอัดเป็นไฟล์ ZIP แล้วส่งกลับไปให้ผู้โจมตีผ่าน Telegram Bot API โดยมีระบบย่อยไฟล์ขนาดใหญ่กว่า 40 MB และระบบพยายามส่งใหม่หากการเชื่อมต่อหลุด เพื่อให้แน่ใจว่าข้อมูลสำคัญจะถึงมือแฮกเกอร์อย่างแน่นอน ยิ่งไปกว่านั้น มัลแวร์ยังทิ้งท้ายด้วยการติดตั้งเครื่องมือ GSocket เวอร์ชันดัดแปลง เพื่อทำหน้าที่เป็นประตูหลังหรือ Backdoor ถาวร ช่วยให้แฮกเกอร์สามารถแอบเข้าถึงและควบคุมเครื่องของเหยื่อจากระยะไกลได้ตลอดเวลาแม้จะขโมยข้อมูลเสร็จสิ้นแล้วก็ตาม
———————-
[สรุปมัลแวร์ ClickLock บน macOS ที่คุณต้องรู้]
Group-IB เพิ่งค้นพบมัลแวร์สายพันธุ์ใหม่ชื่อ ClickLock ที่พุ่งเป้าโจมตีผู้ใช้ Mac ทั่วโลก โดยมีความร้ายกาจดังนี้:
1. กลอุบาย ClickFix: หลอกให้เราก๊อปปี้โค้ดอันตรายไปวางใน Terminal โดยสร้างหน้าต่างปลอมว่าเป็นการยืนยันตัวตนของ Cloudflare
2. จับล็อกเครื่อง: หากเผลอติดเชื้อ มันจะสั่ง “ปิดแอปพลิเคชันหลักทั้งหมด” ทุกๆ 0.2 วินาที (Finder, Dock, Browser, etc.) จนกว่าเราจะยอมกรอกรหัสผ่านเข้าเครื่องในหน้าต่างปลอมของมัน
3. กวาดข้อมูลเรียบ: เป้าหมายคือขโมยรหัสผ่าน Keychain, ขโมยเงินในกระเป๋าคริปโทฯ, ขโมยข้อมูลจาก 8 เบราว์เซอร์ชั้นนำ และฝัง Backdoor เพื่อแอบเข้าเครื่องในอนาคต
🚨 วิธีป้องกันเบื้องต้น:
– อย่า ก๊อปปี้คำสั่งแปลกๆ จากเว็บไซต์ที่ไม่น่าเชื่อถือไปวางใน Terminal เด็ดขาด
– สังเกตหน้าต่างถามรหัสผ่านให้ดี ถ้าอยู่ดีๆ มันเด้งขึ้นมาโดยที่เราไม่ได้สั่งทำอะไร ให้สงสัยไว้ก่อน
– อัปเดต macOS และใช้โปรแกรม Anti-malware ที่เชื่อถือได้เสมอ
ที่มา : BPC
