ทีม Dev ระวังไว้ ! แฮกเกอร์วางยาในส่วน Comments ของ GitHub หลอกดาวน์โหลดมัลแวร์

เมื่อกล่าวถึงคอมมูนิตี้ของทีมพัฒนาซอฟต์แวร์หรือแอปพลิเคชันที่ใหญ่ที่สุด คงจะหนีไม่พ้น GitHub แน่นอนที่ ๆ มีการแชร์ข้อมูลและเครื่องมือที่เป็นประโยชน์มากมายก็หนีไม่พ้นจะเป็นเป้าใหญ่ของแฮกเกอร์เข้ามาใช้ประโยชน์ของตัวแพลตฟอร์มเพื่อจุดประสงค์เชิงลบไปด้วย

จากรายงานข่าวโดยเว็บไซต์ Bleeping Computer ได้มีการตรวจพบพฤติกรรมของแฮกเกอร์ในการใช้ส่วนคอมเมนต์บนเว็บไซต์ GitHub ในการแพร่กระจายมัลแวร์ประเภทขโมยข้อมูลที่มีชื่อเสียงโด่งดังมายาวนานอย่าง Lumma Stealer ซึ่งเป็นมัลแวร์ที่มีความสามารถในการขโมยข้อมูลที่สูง สามารถขโมยข้อมูลได้หลากประเภท ไม่ว่าจะเป็นไฟล์ Cookies, ข้อมูลการล็อกอินต่าง ๆ , รหัสบัตรเครดิต, ประวัติการเข้าเว็บไซต์บนเว็บเบราว์เซอร์ยอดนิยมหลายตัว เช่น Chrome, Firefox, Edge หรือแม้แต่ Chromium อีกทั้งยังสามารถขโมยกระเป๋าคริปโตเคอร์เรนซี่, ขโมย Private Key (รหัสสำหรับใช้ในการกู้กระเป๋าคริปโตเคอร์เรนซี่ในรูปแบบหนึ่ง) รวมถึงไฟล์ .Txt ต่าง  ๆ ที่ทางมัลแวร์คาดการณ์ว่าจะเกี่ยวข้องกับการเก็บรหัสกระเป๋าคริปโตเคอร์เรนซี่ เช่น seed.txt, pass.txt, ledger.txt, trezor.txt, metamask.txt, bitcoin.txt, และ wallet.txt รวมไปถึงไฟล์ .Pdf และ ไฟล์สำหรับการใช้กับซอฟต์แวร์ประเภท Word เช่น .Doc, .Docx อีกด้วย ซึ่งข้อมูลทั้งหมดที่ถูกขโมยได้นั้นจะถูกส่งกลับไปยังเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) เพื่อให้แฮกเกอร์นำเอาไปใช้งาน หรือเอาไปขายต่อในตลาดมืด

โดยการพฤติกรรมของแฮกเกอร์นั้นถูกตรวจพบโดยผู้ใช้งานรายหนึ่งบน GitHub ที่ได้มีการโพสต์บอทสำหรับแอปแชท Telegram ที่เขียนขึ้นบนภาษา Rust หรือ Teloxide Rust ซึ่งผู้ใช้งานรายดังกล่าวได้สังเกตเห็นถึงคอมเมนต์แปลก ๆ จากผู้ใช้งานจำนวนหนึ่งที่มีการโพสต์โฆษณาให้ดาวน์โหลดเครื่องมือที่อ้างว่า จะเป็นเครื่องมือที่เข้ามาช่วยแก้ไขปัญหา (Fix) ที่แท้จริงแล้วไฟล์ข้างในนั้นเป็นมัลแวร์ ซึ่งไฟล์หลอกลวงดังกล่าวนั้นจะมาภายใต้ชื่อไฟล์ว่า fix.zip ที่ต้องใช้รหัสผ่านว่า changeme เพื่อคลายไฟล์ โดยหลังจากที่คลายบีบอัดไฟล์ออกแล้ว ตัวไฟล์ที่แตกออกมาจะประกอบด้วยไฟล์ DLL ประมาณ 3 ตัว และไฟล์สำหรับการรันที่มีชื่อว่า x86_64-w64-ranlib.exe ซึ่งถ้าเหยื่อเผลอรันไฟล์ก็จะเป็นการติดตั้งมัลแวร์ดังกล่าวลงสู่เครื่อง โดยแหล่งข่าวได้ระบุว่า แฮกเกอร์ได้มีการโพสต์คอมเมนต์ล่อลวงมากกว่า 2 หมื่น 9 พัน คอมเมนต์ภายในเวลาแค่ 3 วันเท่านั้น

ภาพจาก : https://www.bleepingcomputer.com/news/security/github-comments-abused-to-push-password-stealing-malware-masked-as-fixes/

ทั้งหมดนี้จะไม่สามารถทำอะไรได้เลยถ้าผู้ใช้งานนั้นมีความไม่ประมาท โดยหลีกเลี่ยงการดาวน์โหลดไฟล์จากส่วนคอมเมนต์ และดาวน์โหลดเครื่องมือจากผู้พัฒนาที่มีชื่อเสียงที่ดีบน GitHub เท่านั้น ก็จะหลีกเลี่ยงความเสี่ยงต่อข้อมูลหรือแม้แต่สินทรัพย์ดิจิตอลที่อยู่บนเครื่องได้