จากอินโฟสตีลเลอร์ที่โฟกัส Facebook กลายเป็นเครื่องมือสปายแวร์เต็มรูปแบบ

การอัปเกรดครั้งใหม่ของมัลแวร์ NodeStealer ที่เขียนด้วยภาษา Python ได้เปลี่ยนเครื่องมือขโมยข้อมูลประจำตัวบน Facebook ที่เคยถูกจำกัดขอบเขตแคบๆ ให้กลายเป็นแพลตฟอร์มสปายแวร์ที่มีความสามารถมากขึ้นมาก ตามที่นักวิจัยด้านความปลอดภัยซึ่งวิเคราะห์เวอร์ชันล่าสุดพบว่า NodeStealer ตอนนี้มีฟังก์ชันคีย์ล็อกเกอร์และความสามารถในการจับภาพหน้าจอ นอกเหนือจากความสามารถเดิมในการขโมยข้อมูลที่กำหนดเป้าหมายบัญชี Facebook

การเปลี่ยนแปลงนี้มีความสำคัญเพราะมันเปลี่ยนประเภทของความเสียหายที่มัลแวร์สามารถก่อได้เมื่อมันลงสู่เครื่องของเหยื่อ เครื่องมือที่ครั้งหนึ่งเคยโฟกัสแค่การขูดข้อมูลประจำตัวที่บันทึกไว้ในเบราว์เซอร์และข้อมูลเซสชันของ Facebook ตอนนี้ถูกวางตำแหน่งให้สามารถเฝ้าติดตามทุกสิ่งที่ผู้ใช้พิมพ์และเห็นบนหน้าจอ ซึ่งขยายขอบเขตของข้อมูลที่มันสามารถเก็บรวบรวมอย่างเงียบๆ ได้อย่างมาก

สิ่งที่การอัปเกรดครั้งนี้เปลี่ยนจริงๆ

ในอดีต NodeStealer เป็นที่รู้จักในฐานะอินโฟสตีลเลอร์: มัลแวร์ที่ออกแบบมาเพื่อค้นหาและขโมยข้อมูลประเภทเฉพาะที่ถูกจัดเก็บไว้ เช่น รหัสผ่านที่บันทึกไว้ คุกกี้ของเบราว์เซอร์ และข้อมูลการกรอกอัตโนมัติที่เชื่อมโยงกับบัญชี Facebook ทำให้มันเป็นเครื่องมือโปรดของผู้โจมตีที่กำหนดเป้าหมายเจ้าของธุรกิจขนาดเล็กและผู้โฆษณาที่จัดการบัญชี Facebook Business หรือ Ads เนื่องจากการยึดบัญชีสามารถนำไปขายต่อหรือใช้เพื่อรันแคมเปญโฆษณาฉ้อโกงได้

การเพิ่มคีย์ล็อกเกอร์และการจับภาพหน้าจอถือเป็นการก้าวกระโดดครั้งสำคัญในด้านความสามารถ คีย์ล็อกเกอร์บันทึกทุกการกดแป้นพิมพ์ของเหยื่อ ซึ่งสามารถเปิดเผยรหัสผ่าน ข้อความส่วนตัว รายละเอียดธนาคาร และสิ่งอื่นใดที่พิมพ์บนเครื่องที่ติดมัลแวร์ ซึ่งเกินกว่าข้อมูลที่เก็บไว้ในเบราว์เซอร์มาก การจับภาพหน้าจอเพิ่มชั้นการมองเห็นให้กับการเฝ้าระวังนั้น ทำให้ผู้โจมตีเห็นสิ่งที่แสดงบนหน้าจอของเหยื่อได้อย่างชัดเจน รวมถึงเนื้อหาที่อาจไม่เคยถูกพิมพ์หรือบันทึกในเครื่อง เช่น รหัสยืนยันสองขั้นตอนที่แสดงบนหน้าจอชั่วครู่ หรือเอกสารสำคัญที่กำลังถูกดู

เมื่อรวมกันแล้ว การเพิ่มเติมเหล่านี้ผลักดันให้ NodeStealer เปลี่ยนจากเครื่องมือเก็บเกี่ยวข้อมูลประจำตัวแบบกำหนดเป้าหมายไปเป็นอะไรที่ใกล้เคียงกับสปายแวร์อเนกประสงค์มากขึ้น นั่นคือวิวัฒนาการที่โดดเด่นสำหรับมัลแวร์ที่เริ่มต้นด้วยภารกิจแคบๆ ในการขโมยข้อมูลเข้าสู่ระบบ Facebook

ทำไมมัลแวร์ประเภทนี้ถึงวิวัฒนาการต่อเนื่อง

อินโฟสตีลเลอร์อย่าง NodeStealer มักจะวิวัฒนาการเพราะโมเดลธุรกิจเบื้องหลังให้ผลตอบแทนกับมัน ข้อมูลประจำตัว Facebook ที่ถูกขโมยและการเข้าถึงบัญชีโฆษณามีมูลค่าขายต่อจริงในตลาดมืด และผู้โจมตีที่สามารถเก็บเกี่ยวรหัสผ่าน ข้อความ และรายละเอียดทางการเงินจากเครื่องที่ติดเชื้อเครื่องเดียวกันได้จะได้ผลตอบแทนมากขึ้นจากการโจมตีที่สำเร็จแต่ละครั้ง การเพิ่มคีย์ล็อกเกอร์และการจับภาพหน้าจอไม่ได้หมายความว่าต้องละทิ้งวัตถุประสงค์ดั้งเดิมของมัลแวร์ มันเพียงเพิ่มชั้นการเก็บข้อมูลเพิ่มเติมลงบนนั้น ทำให้การติดเชื้อแต่ละครั้งสร้างกำไรให้กับผู้ที่ใช้งานมันมากขึ้น

รูปแบบนี้สะท้อนแนวโน้มกว้างๆ ในภูมิทัศน์มัลแวร์: เครื่องมือที่ถูกสร้างขึ้นเพื่อการขโมยประเภทใดประเภทหนึ่งมักถูกเสริมฟีเจอร์เฝ้าระวังเมื่อนักพัฒนาตระหนักว่าพวกเขาสามารถดึงมูลค่าจากเครื่องที่ถูกบุกรุกแล้วได้มากขึ้นเท่าใด มันเป็นพลวัตคล้ายกับเว็บไซต์ฉ้อโกงที่สามารถเก็บเกี่ยวข้อมูลมากกว่าที่โฆษณาไว้ในตอนแรกอย่างเงียบๆ ในกรณีล่าสุดกรณีหนึ่ง เว็บไซต์วีซ่าสหราชอาณาจักรปลอมเปิดเผยหนังสือเดินทาง 100,000 เล่ม ที่ถูกเก็บรวบรวมภายใต้หน้ากากของกระบวนการสมัครทั่วไป ซึ่งแสดงให้เห็นว่าผู้โจมตีมักจะดึงข้อมูลที่ละเอียดอ่อนมากกว่าที่เหยื่อรู้ตัวว่ากำลังมอบให้

สิ่งนี้หมายความสำหรับคุณ

หากเครื่องของคุณติดมัลแวร์สายพันธุ์ที่อัปเกรดแล้วเช่นนี้ ความเสี่ยงจะไม่จำกัดอยู่เพียงบัญชี Facebook ของคุณอีกต่อไป คีย์ล็อกเกอร์และการจับภาพหน้าจอหมายความว่าบัญชีใดก็ตามที่คุณเข้าสู่ระบบ ข้อความใดก็ตามที่คุณส่ง และสิ่งใดก็ตามที่มองเห็นบนหน้าจอของคุณอาจถูกเปิดเผยได้ นี่เป็นเรื่องที่น่ากังวลเป็นพิเศษสำหรับเจ้าของธุรกิจขนาดเล็กและนักการตลาดที่จัดการบัญชี Facebook Ads เนื่องจากพวกเขามักตกเป็นเป้าหมายของเหยื่อฟิชชิ่งที่ออกแบบมาเพื่อส่งมัลแวร์ประเภทนี้

บทเรียนเชิงปฏิบัติคือสุขอนามัยบัญชีพื้นฐาน แม้จะยังสำคัญ แต่ไม่เพียงพอต่อการป้องกันการติดเชื้อระดับสปายแวร์ การรีเซ็ตรหัสผ่านไม่ได้ช่วยมากนักหากคีย์ล็อกเกอร์กำลังจับรหัสผ่านใหม่ของคุณในขณะที่คุณพิมพ์

ขั้นตอนปฏิบัติเพื่อลดความเสี่ยงของคุณ

  • ระมัดระวังอีเมลหรือข้อความที่ไม่ได้รับการร้องขอซึ่งอ้างว่ามีปัญหากับบัญชี Facebook Business หรือ Ads ของคุณ โดยเฉพาะที่กระตุ้นให้คุณดาวน์โหลดไฟล์หรือคลิกลิงก์
  • อัปเดตโปรแกรมป้องกันไวรัสและเครื่องมือป้องกันอุปกรณ์ปลายทางอยู่เสมอ เนื่องจากลายเซ็นการตรวจจับมัลแวร์อย่าง NodeStealer ได้รับการปรับปรุงอย่างสม่ำเสมอเมื่อมีสายพันธุ์ใหม่เกิดขึ้น
  • เปิดใช้งานการยืนยันสองขั้นตอนโดยใช้แอปพลิเคชันตัวตรวจสอบความถูกต้องแทน SMS หรือรหัสบนหน้าจอหากเป็นไปได้ เนื่องจากการจับภาพหน้าจอสามารถเอาชนะวิธีการยืนยันด้วยภาพได้
  • ตรวจสอบบันทึกกิจกรรมของบัญชีบน Facebook และบัญชีสำคัญอื่นๆ เป็นประจำเพื่อหาการเข้าสู่ระบบหรือการเปลี่ยนแปลงที่ไม่คุ้นเคย
  • พิจารณาใช้ตัวจัดการรหัสผ่านที่มีการตรวจสอบการละเมิดในตัว และหลีกเลี่ยงการพิมพ์ข้อมูลประจำตัวที่ละเอียดอ่อนบนอุปกรณ์ที่คุณสงสัยว่าอาจถูกบุกรุกจนกว่าคุณจะสแกนความปลอดภัยอย่างเต็มรูปแบบ

ในขณะที่อินโฟสตีลเลอร์ยังคงวิวัฒนาการไปเป็นแพลตฟอร์มสปายแวร์ที่กว้างขึ้น การตื่นตัวต่อความพยายามฟิชชิ่งและการรักษาสุขอนามัยของอุปกรณ์อย่างเข้มงวดยังคงเป็นแนวป้องกันที่มีประสิทธิภาพสูงสุดสำหรับผู้ใช้ทั่วไป