แคมเปญมัลแวร์ใหม่กำลังใช้ประโยชน์จากความไว้วางใจที่ผู้ใช้มีต่อชื่อที่คุ้นเคย นักวิจัยด้านความปลอดภัยระบุว่าไฟล์ดาวน์โหลด CCleaner ปลอมติดตั้ง GhostDesk ซึ่งเป็นส่วนขยาย Chrome ที่ประสงค์ร้าย ออกแบบมาเพื่อเก็บคุกกี้ ข้อมูลรับรองที่บันทึกไว้ การกดแป้นพิมพ์ และภาพหน้าจอจากเครื่อง Windows ที่ติดเชื้ออย่างเงียบ ๆ แคมเปญนี้เป็นเครื่องเตือนใจว่าแม้แต่ซอฟต์แวร์ยูทิลิตี้ที่มีชื่อเสียงก็อาจถูกนำมาใช้เป็นอาวุธได้เมื่อผู้โจมตีควบคุมแหล่งดาวน์โหลด
เกิดอะไรขึ้น: แคมเปญ CCleaner ปลอม
CCleaner เป็นเครื่องมือที่ใช้กันอย่างแพร่หลายสำหรับล้างไฟล์ชั่วคราวและเพิ่มประสิทธิภาพ Windows ซึ่งทำให้มันเป็นเหยื่อล่อที่น่าสนใจสำหรับอาชญากรไซเบอร์ ในกรณีนี้ ผู้โจมตีได้บรรจุ GhostDesk ไว้ในตัวติดตั้งที่ออกแบบมาให้ดูเหมือนไฟล์ดาวน์โหลด CCleaner ที่ถูกต้อง เมื่อผู้ใช้เรียกไฟล์ดังกล่าว มัลแวร์จะติดตั้งส่วนขยาย Chrome ที่ทำงานอยู่เบื้องหลัง ทำให้ผู้โจมตีมีฐานที่มั่นถาวรภายในเบราว์เซอร์ แทนที่จะเป็นเพียงระบบปฏิบัติการ
การมุ่งเป้าไปที่เบราว์เซอร์โดยตรงทำให้ GhostDesk เข้าถึงข้อมูลละเอียดอ่อนที่สุดบางอย่างที่บุคคลสร้างขึ้นทางออนไลน์ เช่น เซสชันการเข้าสู่ระบบที่เก็บอยู่ในคุกกี้ ชื่อผู้ใช้และรหัสผ่านที่บันทึกไว้ในเบราว์เซอร์ ตลอดจนกิจกรรมแบบเรียลไทม์ที่บันทึกผ่านการกดแป้นพิมพ์และภาพหน้าจอ การผสมผสานนี้ช่วยให้ผู้โจมตีอาจข้ามช่องกรอกรหัสผ่านได้โดยสิ้นเชิงด้วยการขโมยเซสชันที่ใช้งานอยู่ และสร้างภาพพฤติกรรมออนไลน์ของเหยื่อโดยละเอียดเมื่อเวลาผ่านไป
GhostDesk ทำงานภายใน Chrome อย่างไร
ส่วนขยายเบราว์เซอร์ที่ประสงค์ร้ายมีประสิทธิภาพเป็นพิเศษ เพราะมันทำงานด้วยสิทธิ์การเข้าถึงที่สูงต่อสิ่งที่ผู้ใช้ทำภายในเบราว์เซอร์ โดยมักไม่ก่อให้เกิดสัญญาณเตือนแบบเดียวกับมัลแวร์เดสก์ท็อปทั่วไป เมื่อ GhostDesk ถูกติดตั้งแล้ว มันไม่จำเป็นต้องสื่อสารกับเซิร์ฟเวอร์ควบคุมตลอดเวลาเพื่อให้เป็นอันตราย แต่มันสามารถเก็บข้อมูลอย่างเงียบ ๆ ขณะที่ผู้ใช้ท่องเว็บ ทำธุรกรรมธนาคาร ซื้อของ หรือเข้าสู่ระบบบัญชีงาน แล้วจึงส่งข้อมูลนั้นออกไปเป็นช่วง ๆ
การขโมยคุกกี้เป็นเรื่องน่ากังวลเป็นพิเศษ เพราะคุกกี้เซสชันที่ถูกขโมยสามารถทำให้ผู้โจมตีปลอมตัวเป็นผู้ใช้ที่เข้าสู่ระบบอยู่ได้โดยไม่ต้องใช้รหัสผ่านเลย เมื่อรวมกับการบันทึกการกดแป้นพิมพ์และการจับภาพหน้าจอ GhostDesk จึงสามารถดักจับข้อมูลรับรองสำหรับบัญชีที่ใช้รหัสยืนยันตัวตนหลายขั้นตอนซึ่งพิมพ์ลงในหน้าเว็บโดยตรงได้ เนื่องจากมัลแวร์สามารถสังเกตรหัสขณะที่ถูกป้อน แทนที่จะต้องดักจับแยกต่างหาก
เหตุใดส่วนขยายเบราว์เซอร์จึงเป็นความเสี่ยงด้านความเป็นส่วนตัวที่เพิ่มขึ้น
เหตุการณ์นี้สอดคล้องกับรูปแบบที่กว้างขึ้นซึ่งเบราว์เซอร์ ไม่ใช่ระบบปฏิบัติการ ได้กลายเป็นสนามรบหลักสำหรับการขโมยข้อมูล เบราว์เซอร์ในปัจจุบันจัดเก็บรหัสผ่าน ข้อมูลการชำระเงิน ประวัติการท่องเว็บ และเซสชันที่ใช้งานอยู่สำหรับบริการหลายสิบรายการในคราวเดียว ทำให้เป็นเป้าหมายที่มีมูลค่าสูง โดยเฉพาะอย่างยิ่งส่วนขยายสามารถรอดพ้นการตรวจสอบแบบผิวเผินได้ เนื่องจากผู้ใช้คุ้นเคยกับการให้สิทธิ์กว้าง ๆ เพื่อ "เพิ่มประสิทธิภาพ" การท่องเว็บ โดยไม่ตรวจสอบเสมอว่าส่วนขยายนั้นมาจากที่ใดจริงหรือกำลังทำอะไรอยู่เบื้องหลัง
กรณี CCleaner ปลอมยังเน้นให้เห็นว่าผู้โจมตียังคงพึ่งพาชื่อซอฟต์แวร์ที่ผู้คนไว้วางใจมากกว่าโปรแกรมที่ไม่คุ้นเคย เพื่อเพิ่มโอกาสที่เหยื่อจะดาวน์โหลดและเรียกใช้ไฟล์โดยไม่ลังเล เมื่อการกระจายซอฟต์แวร์ในชีวิตประจำวันเปลี่ยนไปสู่ผลลัพธ์จากเครื่องมือค้นหาและเว็บไซต์ดาวน์โหลดบุคคลที่สามมากขึ้น ความเสี่ยงที่จะพบของปลอมที่แนบเนียนก็เพิ่มขึ้น นี่เป็นส่วนหนึ่งของแนวโน้มที่ใหญ่ขึ้นซึ่งผู้โจมตีวางเครื่องมือประสงค์ร้ายไว้รอบระบบนิเวศเทคโนโลยีที่ถูกต้องตามกฎหมาย คล้ายกับที่หน่วยปฏิบัติการรัฐชาติพยายามกำหนดรูปแบบและควบคุมการเข้าถึงเทคโนโลยีเกิดใหม่ เช่น การพัฒนา AI แบบโอเพนซอร์ส เพื่อจุดประสงค์เชิงกลยุทธ์ของตน
สิ่งนี้หมายถึงอะไรสำหรับคุณ
หากคุณดาวน์โหลด CCleaner เมื่อเร็ว ๆ นี้จากแหล่งอื่นที่ไม่ใช่เว็บไซต์ของผู้จำหน่ายอย่างเป็นทางการ ควรตรวจสอบส่วนขยาย Chrome ที่ติดตั้งไว้ว่ามีสิ่งที่ผิดปกติหรือไม่ พร้อมกับตรวจสอบตัวจัดการงานของ Chrome เพื่อดูกระบวนการที่คุณไม่รู้จัก เนื่องจาก GhostDesk มุ่งเป้าไปที่คุกกี้และข้อมูลรับรองที่บันทึกไว้ ใครก็ตามที่สงสัยว่าติดมัลแวร์ควรถือว่ารหัสผ่านที่จัดเก็บในเบราว์เซอร์และเซสชันที่ใช้งานอยู่อาจถูกบุกรุก ไม่ใช่แค่ระบบปฏิบัติการเท่านั้น
บทเรียนเชิงปฏิบัติขยายออกไปมากกว่าแคมเปญเดียวนี้ ซอฟต์แวร์ยูทิลิตี้ฟรี โดยเฉพาะเครื่องมือที่อ้างว่า "เพิ่มความเร็ว" หรือ "ทำความสะอาด" พีซี เป็นการปลอมตัวที่ได้รับความนิยมอย่างต่อเนื่องสำหรับมัลแวร์ เพราะดึงดูดผู้ใช้ที่มองหาทางแก้ไขอย่างรวดเร็ว การดาวน์โหลดซอฟต์แวร์จากเว็บไซต์ผู้จำหน่ายอย่างเป็นทางการเท่านั้น แทนที่จะมาจากโฆษณาในผลการค้นหาหรือเว็บไซต์รวบรวมจากบุคคลที่สาม ยังคงเป็นวิธีที่ง่ายที่สุดวิธีหนึ่งในการหลีกเลี่ยงการโจมตีประเภทนี้โดยสิ้นเชิง
ข้อแนะนำที่นำไปปฏิบัติได้
ตรวจสอบส่วนขยาย Chrome ที่ติดตั้งไว้และลบสิ่งที่คุณไม่รู้จักหรือไม่ได้ตั้งใจติดตั้งออก ดาวน์โหลด CCleaner หรือซอฟต์แวร์ยูทิลิตี้ใด ๆ จากเว็บไซต์ของผู้เผยแพร่อย่างเป็นทางการโดยตรงเท่านั้น ไม่ใช่จากผลการค้นหาหรือศูนย์ดาวน์โหลดบุคคลที่สาม เปลี่ยนรหัสผ่านสำหรับบัญชีที่สำคัญหากคุณสงสัยว่าเบราว์เซอร์ถูกบุกรุก และพิจารณาใช้โปรแกรมจัดการรหัสผ่านที่แยกจากการจัดเก็บในเบราว์เซอร์ เรียกใช้การสแกนโปรแกรมป้องกันไวรัสหรือป้องกันมัลแวร์แบบเต็มรูปแบบบนเครื่อง Windows ทุกเครื่องที่การดาวน์โหลดล่าสุดดูน่าสงสัย และเปิดใช้การยืนยันตัวตนหลายขั้นตอนโดยใช้แอปยืนยันตัวตนแทนรหัสที่พิมพ์บนหน้าจอเมื่อเป็นไปได้ การตื่นตัวต่อวิธีที่สปายแวร์ GhostDesk สำหรับ Chrome แพร่กระจายผ่านตัวติดตั้งปลอมเป็นหนึ่งในการป้องกันที่มีประสิทธิภาพที่สุดสำหรับผู้ใช้ทั่วไป
