ระวัง แอป Clipboard ปลอมบน macOS ใช้แล้วติดมัลแวร์ขโมยพาสเวิร์ด

แอปพลิเคชันปลอมดังกล่าวจะถูกโฆษณาผ่าน Google และ X ถ้าติดตั้งแล้วอาจโดนขโมยข้อมูลบน Keychain ได้แมคโอเอส (macOS)S ถึงแม้จะขึ้นชื่อเรื่องความปลอดภัย แต่ในระยะหลังแฮกเกอร์ก็รู้วิธีการโจมตีมากขึ้น ทำให้มีการสร้างกลยุทธ์อันหลากหลายในการปล่อย มัลแวร์ (Malware) ลงเครื่องที่ใช้ ระบบปฏิบัติการ (OS) ชนิดนี้ หนึ่งในนั้นคือ การใช้แอปพลิเคชันปลอมจากรายงานโดยเว็บไซต์ Decrypt ได้กล่าวถึงการตรวจพบมัลแวร์ประเภทขโมยข้อมูล หรือ Infostealer ชื่อ PamStealer ที่มีความสามารถในการขโมยรหัสผ่านและกุญแจ (Key) สำหรับใช้ขโมยกระเป๋าเงินคริปโตเคอร์เรนซี (Crypto Wallet) ที่มุ่งเน้นการโจมตีกลุ่มผู้ใช้งานระบบปฏิบัติการ macOS โดยเฉพาะ มัลแวร์ตัวนี้ถูกสร้างขึ้นบนพื้นฐานของภาษา Rust และใช้การแอบอ้างตัวเองว่าเป็นแอปพลิเคชันสำหรับการจัดการข้อมูลบน Clipboard (Clipboard Manager) ชื่อ Maccy ซึ่งทางทีมวิจัยจาก Jamf Threat Labs ได้กล่าวว่า ถ้าเหยื่อติดตั้งแอปพลิเคชันปลอมลงบนเครื่องได้สำเร็จ ตัวมัลแวร์ก็จะเริ่มทำการขโมยข้อมูลบนเครื่องในทันทีโดยตัวแคมเปญนั้นจะเริ่มจากที่แฮกเกอร์ได้ทำการโฆษณาแอปพลิเคชันปลอมดังกล่าวทางโซเชียลมีเดียยอดนิยมอย่าง X และผ่านทางโฆษณาบนเครื่องมือค้นหา (Search Engine) อย่าง Google ซึ่งหลังจากที่เหยื่อหลงเชื่อกดเข้าไป บนเว็บไซต์จะมีไฟล์ในรูปแบบไฟล์จำลองแผ่นดิสก์ (Disk Image) ที่ภายในมีไฟล์สคริปท์แบบ Apple Script ชื่อว่า Maccy.scpt โดยถ้าเหยื่อเปิดไฟล์ดังกล่าวขึ้นมาก็จะเข้าสู่การหลอกลวงในรูปแบบที่คล้ายคลึงกับวิธี ClickFix (การหลอกให้เหยื่อทำตามคำสั่งบนหน้าจอ โดยหลอกว่าเป็นวิธีแก้ปัญหา แต่แท้จริงเป็นการหลอกให้ดาวน์โหลดติดตั้งมัลแวร์) ด้วยการแสดงภาพหน้าจอบอกให้เหยื่อรันไฟล์ดังกล่าว (ที่มีการซ่อนโค้ดมัลแวร์ไว้อยู่) ผ่านทางแอปพลิเคชัน Script Editorซึ่งหลังจากขั้นตอนดังกล่าวเสร็จเรียบร้อยแล้ว ตัวสคริปท์ก็จะใช้งาน JavaScript for Automation และ API บนระบบ macOS เพื่อดาวน์โหลดไฟล์มัลแวร์ (Payload) ตัวที่สองลงมาบนเครื่องซึ่งเป็นมัลแวร์ชื่อ PAMStealer ที่มีชื่อมาจากการที่มัลแวร์ตัวนี้จะทำการตรวจสอบความถูกต้องของรหัสผ่าน กับระบบ Pluggable Authentication Modules (PAM) ของ macOS ก่อนที่จะทำการขโมยแล้วลักลอบส่งออก (Exfiltration) ไปให้แฮกเกอร์ที่ เซิร์ฟเวอร์ (Server) ควบคุม (C2 หรือ Command and Control) ซึ่งมัลแวร์ตัวนี้มีความสามารถในการขโมยข้อมูลมากมายหลากรูปแบบตั้งแต่ ข้อมูลรหัสผ่านที่ถูกบันทึกไว้บน Keychain, ข้อมูลรหัสผ่านบน เว็บเบราว์เซอร์ (Web Browser) และ ข้อมูลภายใน Clipboard เป็นต้น นอกจากนั้นยังมีการปลอมตัวเป็นแอปพลิเคชัน Finder เพื่อหลอกให้เหยื่ออนุญาตให้มัลแวร์เข้าถึงข้อมูลบนฮาร์ดดิสก์แบบมีอำนาจเต็ม หรือ Full Disk Access อีกด้วย ซึ่งคำขอดังกล่าวจะปรากฏขึ้นหลังจากที่เครื่องติดมัลแวร์ไปประมาณ 40 นาที โดยถ้าเหยื่อเผลออนุมัติ ตัวมัลแวร์ก็จะเข้าถึงข้อมูลลับต่าง ๆ เช่น อีเมล, ข้อความ, และส่วนของข้อมูลสำรอง (Backup) ใน Time Machine ได้➤ Website : https://www.thaiware.com➤ Facebook : https://www.facebook.com/thaiware➤ Twitter : https://www.twitter.com/thaiware➤ YouTube : https://www.youtube.com/thaiwaretv