พบมัลแวร์ YobaLoader แฝงตัวเป็น GPT แอบขุดคริปโตในเครื่องเหยื่อ

เมื่อวันที่ 8 พ.ย. ตามรายงานจาก SB Recommendations มีการแจ้งเตือนว่าพบมัลแวร์ YobaLoader ซึ่งใช้เทคนิค DLL Sideloading แฝงตัวเป็นซอฟต์แวร์ GPT เพื่อขุดคริปโตในเครื่องเหยื่อโดยไม่รู้ตัว จากการตรวจสอบข้อมูลเพิ่มเติม ข่าวนี้ไม่ใช่การค้นพบใหม่ในวันนี้ เพราะ Check Point Research เผยแพร่ผลวิเคราะห์ครั้งแรกไปแล้วเมื่อวันที่ 27 ต.ค. ส่วนการแจ้งเตือนที่ปรากฏในไทยเมื่อวันที่ 8 พ.ย. เป็นการเผยแพร่ซ้ำและเตือนภัยต่อเนื่องจากงานวิจัยดังกล่าว

มัลแวร์หลอกผู้ใช้ด้วยเว็บ GitHub ปลอมและ SEO Poisoning

ตามข้อมูลที่ตรวจสอบได้ แฮกเกอร์สร้างที่เก็บโค้ดบน GitHub และหน้า github.io ปลอม โดยอ้างว่าเป็นแอปเดสก์ท็อปของโมเดล AI ชื่อดัง เช่น GPT-5.6 Sol, GPT-6 Astra และ Claude Opus ซึ่งชื่อเหล่านี้เป็นผลิตภัณฑ์สมมติที่ไม่มีอยู่จริง นอกจากนี้แคมเปญนี้ไม่ได้แฝงตัวเป็น GPT เพียงอย่างเดียว แต่ปลอมเป็น Claude ของ Anthropic ด้วย

วิธีกระจายมัลแวร์ไม่ได้อาศัยการปั่นยอดดาวหรือฟอร์กบน GitHub แต่ใช้เทคนิค SEO Poisoning ดันหน้าเว็บอันตรายขึ้นอันดับต้น ๆ ของผลการค้นหา Google เมื่อผู้ใช้ค้นหาแอป AI สำหรับเดสก์ท็อป จากนั้นเหยื่อจะถูกให้ดาวน์โหลดไฟล์ ZIP ที่ดูเหมือนตัวติดตั้งโปรแกรม

DLL Sideloading สองชั้น และโปรแกรมขุดที่หยุดเมื่อเหยื่อใช้เครื่อง

ไฟล์ ZIP มีตัวติดตั้งของจริงที่ลงลายเซ็นดิจิทัลจาก OpenAI หรือ Anthropic วางคู่กับไฟล์ winmm.dll ที่เป็นอันตราย (เรียกว่า YobaDropper) เมื่อผู้ใช้เปิด Setup.exe ระบบ Windows จะโหลด winmm.dll จากโฟลเดอร์เดียวกันแทนไฟล์ของระบบ ซึ่งเป็นหลักการของ DLL Sideloading ที่ลายเซ็นของไฟล์ต้นฉบับไม่ช่วยป้องกัน และไม่ได้หมายความว่า OpenAI, Anthropic หรือ Microsoft ถูกแฮก

จากนั้น YobaDropper จะสร้างโฟลเดอร์ C:\ProgramData\WMProcess\ แล้วคัดลอกไฟล์ wmpdmc.exe ของ Windows Media Player มาวางคู่กับ wpmdui.dll ตัวที่สองที่เรียกว่า YobaLoader พร้อมตั้ง Scheduled Task ให้รันด้วยสิทธิ์ระดับ Local System หลังเปิดเครื่องประมาณ 3 นาที โดยปลอมให้ดูเป็นงานของ Microsoft ถือเป็นการใช้ DLL Sideloading ซ้ำสองรอบ

มัลแวร์ยังมีกลไกหลบการตรวจจับหลายอย่าง เช่น เช็กเลย์เอาต์คีย์บอร์ดเพื่อเลี่ยงเครื่องในกลุ่มประเทศ CIS ซึ่งเป็นเบาะแสว่าผู้เขียนอาจมาจากรัสเซีย และหน่วงเวลาสูงสุดราว 12 วันหากอยู่ในสภาพแวดล้อมวิเคราะห์ ส่วนการติดต่อเซิร์ฟเวอร์ควบคุมอาศัยช่องทาง Telegram สาธารณะและ DNS-over-HTTPS ของ Google เพื่อหลบการบล็อกด้วยรายการโดเมนตายตัว

ปลายทางของการโจมตีคือโปรแกรมขุด XMRig ที่ตั้งค่าให้ขุด Monero ผ่านเครือข่าย Tor และถูกออกแบบให้หยุดทำงานเมื่อตรวจพบว่าผู้ใช้กำลังขยับเมาส์หรือพิมพ์คีย์บอร์ด เพื่อไม่ให้เหยื่อสังเกตเห็น CPU ทำงานหนักหรือพัดลมดังผิดปกติ นอกจากนี้ YobaLoader ยังเป็นตัวโหลดทั่วไป จึงสั่งให้เครื่องเหยื่อรันไฟล์หรือสคริปต์อื่นได้ในอนาคต

ปิดโปรแกรมขุดอย่างเดียวยังไม่พอ

ผู้เชี่ยวชาญด้านความปลอดภัยเตือนว่า การหยุดโปรเซส XMRig เพียงอย่างเดียวไม่ใช่การแก้ปัญหา เพราะ Scheduled Task และไฟล์ DLL ในโฟลเดอร์ WMProcess จะยังฟื้นมัลแวร์กลับมาได้ทุกครั้งที่เปิดเครื่อง ผู้ที่สงสัยว่าติดมัลแวร์ควรลบงานที่ตั้งเวลาไว้ ลบไฟล์ที่ถูกวางไว้ และตรวจหาเพย์โหลดอื่นที่ YobaLoader อาจดาวน์โหลดมาเพิ่ม

ก่อนหน้านี้ Siam Blockchain ได้รายงานเรื่องการรับมือภัยความปลอดภัยในวงการคริปโตไว้ใน เปิด 5 วิธีเก็บคริปโทฯ ให้ปลอดภัยหลังเหตุแฮกกระดานใหญ่ ตั้งแต่ Coldwallet ถึงการกระจายกระดาน ซึ่งเป็นแนวทางที่นำมาใช้เสริมได้

ส่วนตัวผู้เขียนมองว่าเคสนี้สะท้อนว่ากระแสแอป AI กำลังถูกแฮกเกอร์ใช้เป็นเหยื่อล่ออย่างจริงจัง ยิ่งคนแห่หาโปรแกรมรุ่นใหม่ ๆ ยิ่งมีโอกาสโดนหลอก โดยเฉพาะชื่อรุ่นอย่าง GPT-6 Astra ที่ไม่มีอยู่จริงแต่ฟังดูน่าลอง สิ่งที่ควรทำคือดาวน์โหลดแอปจากเว็บทางการของผู้พัฒนาเท่านั้น อย่าเชื่อผลค้นหาอันดับต้น ๆ ทันที และถ้าเครื่องช้าหรือพัดลมดังผิดปกติหลังติดตั้งโปรแกรมแปลก ๆ ก็ควรตรวจ Scheduled Task ในเครื่องดู เพราะมัลแวร์ตัวนี้ตั้งใจหลบไม่ให้เราเห็นเวลาเปิดใช้งานอยู่

ที่มา: @SBRecommendations

ภาพจาก AI