เตือนภัยไอที! REVSTEALER มัลแวร์สุดเนียน แอบขโมยข้อมูลเสร็จแล้ว 'ลบตัวเองทิ้ง' แต่ฝังมัลแวร์ขุดคริปโตไว้ดูดพลังเครื่องต่อ

เตือนภัยสายไอทีและคริปโต! ล่าสุดทีมวิจัย Elastic Security Labs ออกมารายงานถึงมัลแวร์ขโมยข้อมูลตัวใหม่ที่กำลังระบาดหนักอย่าง REVSTEALER ซึ่งความน่ากลัวของมันไม่ได้อยู่แค่การแอบจิ๊กข้อมูลแล้วชะแว้บหลบหนีไปเท่านั้น แต่ Binder หรือโมดูลที่มันทิ้งไว้หลังทำภารกิจเสร็จ กลับแอบซุ่มทำมาหากินต่ออย่างเนียนๆ ครับ

REVSTEALER คืออะไร และมันทำงานอย่างไร?

ปกติแล้ว REVSTEALER ถูกเปิดขายในตลาดมืดมาตั้งแต่ช่วงกุมภาพันธ์ปี 2026 หน้าที่หลักของมันคือการสูบข้อมูลสำคัญ ไม่ว่าจะเป็น รหัสผ่าน, คุกกี้ในบราวเซอร์, ข้อมูลกระเป๋าคริปโต (ทั้งแบบแอป และ Extension บนบราวเซอร์มากกว่า 50 รายการ), บัญชีเกม, แชท Telegram, รวมถึงไฟล์เอกสารสำคัญต่างๆ

จุดเด่นอันตรายของ REVSTEALER:

• ปล้นบัญชี Roblox โดยไม่ต้องใช้รหัสผ่าน: มันสามารถถอดรหัส session cookie ของ Roblox เพื่อเข้ายึดบัญชีได้ทันที
• ทะลวงระบบ Chrome App-Bound Encryption: โดยการรันบราวเซอร์ในโหมด Debugger แล้วแอบอ่านคีย์ถอดรหัสจากหน่วยความจำ (RAM) ตรงๆ (เทคนิคนี้เคยถูกใช้ใน VoidStealer เมื่อช่วงต้นปี)
• หลบเลี่ยงการตรวจจับระดับเซียน: มีระบบเช็ค Sandbox ถึง 10 แบบ, หยุดทำงานทันทีถ้าพบภาษาในเครื่องเป็นภาษากลุ่มรัสเซีย/เอเชียกลาง, และใช้สมาร์ตคอนแทร็กต์บนบล็อกเชน Polygon ในการดึง IP สำรองของ C2 Server (เทคนิค EtherHiding) ทำให้ยากต่อการสั่งปิดระบบ

ที่น่าสนใจคือ พอขโมยข้อมูลเสร็จแล้ว ตัวไวรัสหลักจะส่งสัญญาณบอกเครื่องแม่ข่าย แล้ว "ลบตัวเองทิ้ง" (Self-delete) ทันที ทำให้เหยื่อคิดว่าเครื่องปลอดภัยดีแล้ว

4 โมดูลแฝงตัว: ลบตัวหลัก แต่ทิ้ง "กาฝาก" ไว้ทำงานต่อ

ทาง Elastic Security Labs พบว่า แม้ตัว REVSTEALER จะลบตัวเองไปแล้ว แต่มันได้ติดตั้งโปรแกรมมัลแวร์ฝังไว้ใน User Profile ของเครื่องเหยื่ออีก 4 ตัว ได้แก่:

1. LockAppHost (ตัวป่วนที่สุด)

• อาศัยช่องโหว่ของเครื่องมือ Windows CMSTP เพื่อสิทธิ์ Administrator
• ทำการ ปิดบริการ Windows Update (5 บริการ) และยกเลิก Scheduled Tasks ที่เกี่ยวข้อง
• สั่ง ยกเว้นการตรวจจับบน Microsoft Defender
• จากนั้นจะแอบรัน Cryptocurrency Miner (แอบขุดคริปโต) โดยซ่อนกระบวนการขุดไว้ใน Process ปกติของ Windows เช่น nslookup.exe หรือ svchost.exe

2. ProManager: มุ่งเป้าไปที่คนใช้ Desktop Crypto Wallet (ซึ่งมักสร้างด้วย Electron) โดยมันจะอ่านตำแหน่งหน้าต่างกระเป๋าเงินของคุณ แล้วสร้างหน้าต่างปลอมมาซ้อนทับ (Overlay) เพื่อหลอกเอาข้อมูล และมีคีย์ล็อกเกอร์แอบดักจับสิ่งที่พิมพ์หรือ Paste ลงในช่องรหัสผ่าน

3. SoftManager: คอยจับตาดู Clipboard หากคุณก๊อปปี้ที่อยู่กระเป๋าคริปโต มันจะแอบเปลี่ยนเป็นที่อยู่ฝั่งผู้โจมตีทันที และแอบสูบ Seed Phrase ด้วย

4. WinUpdate: แอบเปลี่ยนเครื่องเหยื่อให้กลายเป็น Reverse Proxy เพื่อเส้นทางส่ง Traffic เครือข่ายของแฮกเกอร์ผ่านอินเทอร์เน็ตบ้านคุณ

ระวังช่องทางการแพร่กระจาย!

แฮกเกอร์มักใช้วิธีล่อลวงผ่าน โปรแกรมโกงเกม (Game Cheats) บน YouTube โดยยึดช่องยูทูปเก่ามาลงคลิปสั้นที่สร้างด้วย AI รวมถึงการแจกซอฟต์แวร์เถื่อน และล่าสุดคือการปลอมเป็นแอปพลิเคชันเดสก์ท็อป "Claude Opus 5 Free Desktop" (ซึ่งเป็นการแอบอ้างแบรนด์ Anthropic เท่านั้น บริษัทไม่ได้ถูกแฮกแต่อย่างใด)

ข้อแนะนำในการป้องกันและแก้ไข

• อย่าหลงเชื่อซอฟต์แวร์สายมืด: หลีกเลี่ยงการดาวน์โหลดโปรแกรมโกงเกม หรือซอฟต์แวร์เครื่องมือ AI เถื่อน/ฟรีที่ไม่ได้มาจาก Official Channel
• หากสงสัยว่าโดนแจ็คพอตเข้าให้แล้ว:

1. การเปลี่ยนรหัสผ่านอย่างเดียว ไม่พอ คุณต้องสั่ง "Sign out / Terminate active sessions" ออกจากทุกอุปกรณ์ด้วย เพราะ Session Cookies ถูกขโมยไปแล้ว
2. เข้าไปตรวจสอบและเปิดการทำงานของ Windows Update และยกเลิกการ Exclude ใน Microsoft Defender กลับมาให้เป็นปกติ
3. ตรวจสอบการทำงานของ Task Manager หากพบ nslookup.exe หรือ svchost.exe มีการกินทรัพยากร CPU สูงผิดปกติ ให้สงสัยไว้ก่อนว่าโดนฝังตัวขุดคริปโตเข้าแล้วครับ

#ดรกฤษฎาแก้ววัดปริง #ไทยสมาร์ทซิตี้ #SmartCity #DRKRIT #สมาร์ทซิตี้คลิก