ความคุ้นเคยกลายเป็นช่องโหว่โจมตี

คนส่วนใหญ่คลิกผ่าน CAPTCHA โดยไม่คิดอะไรเลย ความไว้วางใจในชีวิตประจำวันนี่เองที่แคมเปญมัลแวร์ใหม่กำลังใช้ประโยชน์ นักวิจัยด้านความปลอดภัยพบเพจ CAPTCHA ปลอมที่ออกแบบมาให้ดูเหมือนหน้าจอยืนยัน "ฉันไม่ใช่หุ่นยนต์" มาตรฐาน แต่แทนที่จะยืนยันว่าคุณเป็นมนุษย์ มันกลับหลอกให้คุณติดตั้งมัลแวร์ที่สามารถปิดกระบวนการรักษาความปลอดภัย 145 รายการบนอุปกรณ์ของคุณได้

การโจมตีนี้ใช้เทคนิคที่เริ่มพบได้บ่อยขึ้นเรื่อยๆ นั่นคือแทนที่จะให้เหยื่อดาวน์โหลดไฟล์ เพจปลอมกลับสั่งให้พวกเขาคัดลอกคำสั่งและวางลงในกล่องโต้ตอบ Run ของ Windows หรือ PowerShell เนื่องจากเหยื่อเป็นคนลงมือพิมพ์คำสั่งด้วยตนเอง เครื่องมือป้องกันไวรัสและการป้องกันของเบราว์เซอร์จำนวนมากจึงไม่มีโอกาสเข้ามาแทรกแซงก่อนที่ความเสียหายจะเกิดขึ้น เมื่อรันคำสั่ง PowerShell แล้ว มันจะดึงข้อมูลและติดตั้งมัลแวร์ที่ค่อยๆ ปิดซอฟต์แวร์รักษาความปลอดภัยที่ทำงานบนเครื่องอย่างเป็นระบบ ทำให้ระบบไม่สามารถรับรู้ถึงการถูกบุกรุกเพิ่มเติมได้ในขณะที่ขโมยข้อมูลอยู่เบื้องหลัง

ทำไมวิธีนี้ถึงได้ผลมากขนาดนี้

สิ่งที่ทำให้แคมเปญ CAPTCHA ปลอมอันตรายเป็นพิเศษคือมันแทบไม่ต้องใช้ทักษะทางเทคนิคจากเหยื่อเลย ไม่มีไฟล์แนบน่าสงสัยให้เปิด และไม่มีไฟล์ปฏิบัติการที่ชัดเจนให้ทริกเกอร์คำเตือนด้านความปลอดภัย การหลอกลวงทั้งหมดอาศัยวิศวกรรมสังคมเพียงอย่างเดียว: เพจที่ดูน่าเชื่อถือ ขั้นตอนการยืนยันที่รู้สึกเหมือนเรื่องปกติ และคำแนะนำที่ดูไร้พิษภัยเพราะการคัดลอกและวางข้อความให้ความรู้สึกเหมือนเป็นการกระทำเชิงรับมากกว่าการตัดสินใจด้านความปลอดภัยเชิงรุก

สิ่งนี้สะท้อนให้เห็นถึงการเปลี่ยนแปลงครั้งใหญ่ในวิธีที่อาชญากรไซเบอร์บรรจุการโจมตีของพวกเขา เช่นเดียวกับที่แฮกเกอร์ในตอนนี้ประกอบมัลแวร์ภายในเบราว์เซอร์และใช้ชื่อแบรนด์ที่ไว้วางใจอย่าง ChatGPT เพื่อเล็ดลอดผ่านการตรวจจับ แคมเปญ CAPTCHA ปลอมก็ใช้หลักการเดียวกัน: ซ่อนเจตนาร้ายไว้เบื้องหลังอินเทอร์เฟซที่ผู้ใช้ไว้วางใจและใช้งานอยู่เป็นประจำทุกวัน ลายเซ็นไวรัสแบบดั้งเดิมถูกสร้างมาเพื่อจับไฟล์ที่เป็นอันตราย ไม่ใช่คำสั่งที่ผู้ใช้ป้อนลงในเครื่องมือระบบที่ถูกต้องตามกฎหมาย ช่องว่างนั้นคือสิ่งที่แคมเปญเหล่านี้ถูกออกแบบมาเพื่อใช้ประโยชน์

เมื่อกระบวนการรักษาความปลอดภัย 145 รายการที่ตกเป็นเป้าหมายถูกปิดใช้งานแล้ว เครื่องที่ถูกบุกรุกก็สูญเสียความสามารถในการตรวจจับหรือรายงานกิจกรรมที่เป็นอันตรายเพิ่มเติมอย่างมีประสิทธิภาพ นั่นเปิดประตูสู่การขโมยข้อมูลประจำตัว การเก็บเกี่ยวข้อมูลเบราว์เซอร์ และการขโมยข้อมูลอื่นๆ ที่จัดเก็บไว้ในเครื่อง ตั้งแต่รหัสผ่านที่บันทึกไว้ไปจนถึงข้อมูลกระเป๋าเงินคริปโต

ผลกระทบด้านความเป็นส่วนตัวเมื่อเครื่องมือรักษาความปลอดภัยถูกปิด

อันตรายที่แท้จริงของแคมเปญนี้ไม่ใช่แค่การติดเชื้อครั้งแรก แต่คือสิ่งที่เกิดขึ้นหลังจากเครื่องมือรักษาความปลอดภัยดับลง เมื่อซอฟต์แวร์ป้องกันถูกปิดใช้งาน อุปกรณ์ที่ติดเชื้อสามารถรั่วไหลข้อมูลมากกว่าที่เหยื่อส่วนใหญ่จะรู้ตัว: ข้อมูลล็อกอินที่เก็บในเบราว์เซอร์ คุกกี้เซสชัน ข้อมูลเติมข้อความอัตโนมัติ และไฟล์ที่จัดเก็บในเครื่อง ข้อมูลประเภทนี้คือข้อมูลเดียวกับที่ไปเป็นเชื้อเพลิงให้เหตุการณ์ข้อมูลรั่วไหลขนาดใหญ่ มันสะท้อนรูปแบบที่เห็นในกรณีเช่นการรั่วไหลของข้อมูล SafePal ที่เปิดเผยลูกค้าเกือบ 40,000 ราย ซึ่งข้อมูลบัญชีที่ละเอียดอ่อนตกไปอยู่ในมือคนผิด หรือการรั่วไหลของ Suno ที่เปิดเผยผู้ใช้ 55 ล้านราย โดยไม่มีการแจ้งเตือนทันเวลา ในทั้งสองกรณี ผลกระทบเกิดขึ้นยาวนานหลังจากการบุกรุกครั้งแรก ซึ่งเป็นรูปแบบที่มัลแวร์ขโมยข้อมูลแบบนี้ถูกสร้างขึ้นมาเพื่อสร้างขึ้นนั่นเอง

สิ่งนี้หมายถึงอะไรสำหรับคุณ

หากคุณเคยถูกขอให้ "ยืนยันว่าคุณเป็นมนุษย์" ด้วยการคัดลอกคำสั่งลงในกล่อง Run หรือเทอร์มินัล นั่นไม่ใช่วิธีทำงานของระบบ CAPTCHA ที่ถูกต้องตามกฎหมาย ระบบยืนยันตัวตนจริงไม่เคยขอให้ผู้ใช้เปิด PowerShell หรือวางคำสั่งระบบใดๆ เพจใดก็ตามที่ทำแบบนี้ควรถือเป็นสัญญาณอันตรายทันที ไม่ว่าแบรนด์หรือเลย์เอาต์จะดูน่าเชื่อถือแค่ไหนก็ตาม

แคมเปญนี้เป็นเครื่องเตือนใจว่ามัลแวร์ยุคใหม่พุ่งเป้าไปที่พฤติกรรมของมนุษย์มากกว่าจุดบกพร่องของซอฟต์แวร์ ไม่มีไฟร์วอลล์หรือการอัปเดตโปรแกรมป้องกันไวรัสใดจะชดเชยการที่ผู้ใช้ยอมรันคำสั่งอันตรายด้วยตัวเองได้เต็มที่ ซึ่งเป็นเหตุผลว่าทำไมการตระหนักรู้จึงสำคัญพอๆ กับการป้องกันทางเทคนิคในฐานะชั้นป้องกันหนึ่ง

ข้อควรปฏิบัติที่นำไปใช้ได้จริง

  • ห้ามคัดลอกและวางคำสั่งจากเว็บไซต์ลงในกล่องโต้ตอบ Run ของ Windows, PowerShell หรือเทอร์มินัล ไม่ว่าเว็บไซต์นั้นจะดูทางการแค่ไหนก็ตาม
  • ปิดแท็บเบราว์เซอร์ทันทีหากเพจ CAPTCHA ขอให้คุณทำอะไรเกินกว่าการคลิกหรือเลือกภาพง่ายๆ
  • อัปเดตซอฟต์แวร์รักษาความปลอดภัยอยู่เสมอและเปิดใช้งานฟีเจอร์ป้องกันการดัดแปลง (tamper protection) ซึ่งสามารถป้องกันไม่ให้มัลแวร์ปิดกระบวนการป้องกันไวรัสอย่างเงียบๆ
  • หากคุณสงสัยว่าได้รันคำสั่งที่น่าสงสัย ให้ตัดการเชื่อมต่ออินเทอร์เน็ตทันที รันการสแกนความปลอดภัยแบบเต็มรูปแบบ และเปลี่ยนรหัสผ่านสำหรับบัญชีที่ละเอียดอ่อนจากอุปกรณ์อื่นที่ไม่ได้ถูกบุกรุก
  • ตรวจสอบรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์เป็นประจำและพิจารณาใช้ตัวจัดการรหัสผ่าน เนื่องจากมัลแวร์ขโมยข้อมูลมักพุ่งเป้าไปที่ข้อมูลประจำตัวที่จัดเก็บในเครื่องเป็นอันดับแรก

แคมเปญมัลแวร์ CAPTCHA ปลอมประสบความสำเร็จด้วยการใช้ประโยชน์จากความไว้วางใจในกิจวัตรที่เราแทบไม่เคยตั้งคำถาม การตื่นตัวว่าข้อความยืนยันตัวตนจริงควรและไม่ควรขออะไรจากคุณ ยังคงเป็นแนวป้องกันที่ง่ายที่สุดและได้ผลที่สุด