หน่วยงานด้านความปลอดภัยไซเบอร์ของยูเครน (CERT-UA) พบเว็บไซต์กว่า 100 แห่งถูกแฮกและฝัง JavaScript อันตราย เพื่อแสดงหน้าตรวจสอบ Cloudflare ปลอม หลอกให้ผู้เข้าชมรันคำสั่งบน Windows เพื่อติดตั้งมัลแวร์ LunexStealer ซึ่งสามารถขโมยข้อมูลจาก Browser และเข้าถึงไฟล์ภายในเครื่องได้
การโจมตีนี้ถูกตรวจพบในเดือนกันยายน 2026 และเชื่อมโยงกับกลุ่มแฮกเกอร์ UAC-0277 อย่างไรก็ตาม CERT-UA ยังไม่ได้เปิดเผยว่าใครได้รับผลกระทบบ้าง หรือมีผู้ใช้งานติดมัลแวร์จากการโจมตีครั้งนี้แล้วหรือไม่
การโจมตีทำงานอย่างไร และมัลแวร์ขโมยข้อมูลอะไรได้บ้าง?
ผู้โจมตีใช้เทคนิค ClickFix โดยฝัง JavaScript อันตรายลงในเว็บไซต์ที่ถูกแฮก เพื่อแสดงหน้าตรวจสอบ Cloudflare ปลอม หลอกให้ผู้เข้าชมรันคำสั่งบน Windows โดยอ้างว่าเป็นขั้นตอนยืนยันว่าเป็นมนุษย์ หากทำตามคำแนะนำ ระบบจะดาวน์โหลดและติดตั้งไฟล์ MSI อันตรายจากเซิร์ฟเวอร์ภายนอก ซึ่งใช้สำหรับติดตั้งมัลแวร์ LunexStealer
หน้าตรวจสอบปลอมจะแสดงเฉพาะผู้ใช้งาน Windows ที่เข้าสู่เว็บไซต์ผ่านผลการค้นหาของ Search Engine และแสดงไม่เกิน 2 ครั้งภายใน 12 ชั่วโมง ทำให้ผู้เข้าชมบางส่วนอาจไม่พบหน้าปลอมดังกล่าว
CERT-UA พบไฟล์ MSI อันตรายอย่างน้อย 3 รูปแบบ โดยบางรูปแบบพยายามหลบเลี่ยงระบบรักษาความปลอดภัยของ Windows เช่น เพิ่มข้อยกเว้นใน Microsoft Defender หรือใช้ Driver ที่มีช่องโหว่เพื่อรบกวนการทำงานของโปรแกรมรักษาความปลอดภัย
เมื่อติดตั้งสำเร็จ LunexStealer สามารถติดตั้ง Browser Extension อันตรายชื่อ LUNARAXE ซึ่งปลอมตัวเป็นส่วนขยาย Microsoft Office Word Editor โดยมีความสามารถดังนี้
- ขโมย Cookies ประวัติการเข้าชม และข้อมูลเข้าสู่ระบบที่กรอกผ่านเว็บไซต์
- รวบรวมข้อมูล Bookmark และ Browser Extension ที่ติดตั้งอยู่
- เปิดทางให้ผู้โจมตีควบคุม Browser จากระยะไกล
- เข้าถึง อ่าน แก้ไข และเรียกใช้งานไฟล์ภายในเครื่องผ่านส่วนประกอบเพิ่มเติมชื่อ NAIVEMESS
ความสามารถเหล่านี้ทำให้ผู้โจมตีอาจขโมยข้อมูลสำคัญจาก Browser และเข้าถึงไฟล์ภายในเครื่องของผู้ใช้งานได้
ผู้ใช้งานและผู้ดูแลระบบควรป้องกันอย่างไร?
CERT-UA แนะนำให้องค์กรเพิ่มมาตรการควบคุมการรันคำสั่งและการติดตั้งโปรแกรมบน Windows เพื่อลดความเสี่ยงจากการโจมตีผ่านหน้าตรวจสอบปลอม
สำหรับผู้ใช้งานทั่วไป ไม่ควรรันคำสั่งบน Windows หรือติดตั้งโปรแกรมตามคำแนะนำของเว็บไซต์ที่อ้างว่าเป็นการตรวจสอบ Cloudflare เพราะการยืนยันว่าเป็นมนุษย์ตามปกติไม่จำเป็นต้องทำขั้นตอนเหล่านี้
ส่วนผู้ดูแลระบบควรดำเนินการดังนี้
- จำกัดการใช้งาน Windows Run ผ่าน Group Policy สำหรับผู้ใช้งานทั่วไป
- ควบคุมการติดตั้งไฟล์ MSI โดยจำกัดสิทธิ์การติดตั้งโปรแกรมของบัญชีที่ไม่มีสิทธิ์ Administrator
- ตรวจสอบการทำงานของ msiexec.exe เพื่อค้นหาการติดตั้งโปรแกรมที่ผิดปกติ
- บล็อก Driver ที่มีช่องโหว่ ด้วย Microsoft Vulnerable Driver Blocklist และพิจารณาเปิดใช้กฎ Attack Surface Reduction (ASR) ที่เกี่ยวข้อง
- จำกัด Browser Extension โดยอนุญาตเฉพาะส่วนขยายที่องค์กรตรวจสอบและอนุมัติแล้ว
สำหรับเจ้าของเว็บไซต์ ควรตรวจสอบ JavaScript หรือไฟล์ที่มีการเปลี่ยนแปลงผิดปกติ พร้อมอัปเดตระบบเว็บไซต์อย่างสม่ำเสมอ เพื่อลดความเสี่ยงที่เว็บไซต์จะถูกนำไปใช้แพร่กระจายมัลแวร์
การโจมตีครั้งนี้แสดงให้เห็นว่าเว็บไซต์ที่ถูกแฮกอาจกลายเป็นช่องทางหลอกผู้เข้าชมให้ติดตั้งมัลแวร์ได้ แม้จะเป็นเว็บไซต์ที่เคยใช้งานตามปกติก็ตาม ผู้ใช้งานจึงควรระวังหน้าตรวจสอบปลอม โดยเฉพาะเว็บไซต์ที่ขอให้รันคำสั่งบน Windows
🛡️ ดูแลเว็บไซต์ให้ปลอดภัยและพร้อมใช้งานด้วย Web Hosting จาก hostatom มาพร้อม Imunify360 ช่วยป้องกันการโจมตีและตรวจจับมัลแวร์ รวมถึงทีม Support คนไทยที่พร้อมดูแลตลอด 24 ชั่วโมง
ติดต่อเราได้ที่
☎️ 0-2107-3466
💚 Line: @hostatom
ที่มา: The Hacker News
