เตือนภัยมัลแวร์ตัวใหม่ "KREMLIN" แอบฝัง Extension ใน Chrome-Edge ดักปล้นรหัสผ่าน-คุมบัญชีธนาคาร!
ผมมีข่าวใหญ่ด้านไซเบอร์ซีคิวริตี้มาเล่าให้ฟังกันครับ ล่าสุดทีมนักวิจัยความปลอดภัยจาก Elastic Security Labs ได้ไปค้นพบปฏิบัติการมัลแวร์สายพันธุ์บราซิลตัวใหม่ชื่อว่า KREMLIN (ซึ่งทางวิจัยติดตามในรหัส REF9334) ที่เริ่มระบาดมาตั้งแต่ช่วงพฤษภาคม 2025 โดยในรอบนี้บอกเลยว่าไม่ธรรมดา เพราะมันมุ่งเป้าไปที่การขโมยข้อมูลเข้าสู่ระบบ (Credentials) และ Session Tokens ของผู้ใช้งานครับ
ความน่ากลัวของ KREMLIN อยู่ที่กลโกงขั้นสูง ดังนี้ครับ
- แนบไฟล์หลอกลวงผ่านเอกสาร: มันจะเริ่มจากการหลอกลวงผู้ใช้ด้วยไฟล์ JavaScript ที่ปลอมตัวเป็นเอกสารธนาคาร ใบแจ้งหนี้ หรือเอกสารบริษัท พอกดรันไฟล์ มัลแวร์จะแอบเช็กก่อนเลยว่าเครื่องเราเป็น Sandbox หรือ Virtual Machine ของนักวิเคราะห์ไหม ถ้าไม่ใช่ มันถึงจะแอบดาวน์โหลดไฟล์ส่วนอื่นๆ ลงเครื่องครับ
- ใช้ประโยชน์จากบล็อกเชน (Ethereum): แฮกเกอร์กลุ่มนี้ใช้ Smart Contract บน Ethereum ในการเก็บตำแหน่งลิงก์ดาวน์โหลดและเซิร์ฟเวอร์คุมเครื่อง (C2) ทำให้ฝั่งผู้ดูแลระบบปิดกั้นหรือทำลายระบบของมันได้ยากมาก เพราะตำแหน่งลิงก์จะถูกอัปเดตผ่านบล็อกเชนตลอดเวลา
- ปลอมตัวใช้โปรแกรมถูกต้อง (DLL Sideloading): มันใช้ไฟล์ของ SentinelOne ที่ชื่อ SentinelMemoryScanner.exe เพื่อแอบโหลดไฟล์อันตรายของตัวเองอย่าง SentinelAgentCore.dll เข้าไปหลบซ่อน
- เจาะระบบความปลอดภัยของเบราว์เซอร์ Chrome และ Edge: KREMLIN จะทำการติดตั้ง Browser Extension ปลอมชื่อ "AVSync System Inc." ลงในเบราว์เซอร์ Chromium โดยความพีคคือมันแอบไปแก้ไฟล์ Secure Preferences และค่า HMAC เพื่อหลอกระบบความปลอดภัยของเบราว์เซอร์ว่า Extension ตัวนี้ถูกต้องตามกฎหมาย และเปิด Developer Mode ให้เองเสร็จสรรพ โดยที่ผู้ใช้ไม่รู้ตัวเลยครับ
พอมันแอบฝัง Extension เข้ามาได้แล้ว มันจะขอสิทธิ์เข้าถึงแท็บ คุกกี้ และประวัติการเข้าเว็บทั้งหมด แถมยังสเปกสูงถึงขั้นแคปหน้าจอ (Screenshot) ดูดคุกกี้ และ Session Storage ส่งกลับไปให้แฮกเกอร์ผ่าน WebSocket และการเรียกผ่าน API ปลอม ทำให้แฮกเกอร์สามารถสวมรอยเข้าบัญชีธนาคารหรือบัญชีสำคัญๆ ของเราได้ทันทีโดยไม่ต้องผ่านหน้าล็อกอิน
อย่างไรก็ตาม ทาง Elastic Security Labs ได้ทำกลยุทธ์ "Sinkhole" แอบไปจดทะเบียนโดเมนลับที่มัลแวร์ใช้สแกนระบบ (Canary Check) ทำให้สามารถระงับการทำงานของมัลแวร์ตัวนี้ได้ชั่วคราว และพบว่ามีระบบที่ติดมัลแวร์ไปแล้วกว่า 1,515 เครื่อง ซึ่งมากกว่า 98% อยู่ในประเทศบราซิลครับ
แม้เป้าหมายหลักตอนนี้จะอยู่ที่ธนาคารในบราซิล แต่เทคนิคการแอบฝัง Extension ผ่านการหลอกระบบความปลอดภัยของ Chrome และ Edge ถือเป็นเรื่องที่ทุกคนที่ใช้เบราว์เซอร์เหล่านี้ต้องระวังตัวไว้ให้ดีครับ
#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก