แฮกเกอร์สร้างอัปเดต Safari ปลอม ปล่อยมัลแวร์มุ่งโจมตีกลุ่มผู้ใช้งาน macOS

macOS ถึงแม้จะมีระบบการรักษาความปลอดภัยที่เข้มแข็ง แต่ในระยะหลังก็เริ่มมีข่าวเรื่องการแฮ็ก และมัลแวร์มากขึ้นเรื่อย ๆ ข่าวนี้อาจเป็นอีกหนึ่งข่าวร้ายของผู้ใช้งาน macOS

จากรายงานโดยเว็บไซต์ The Hacker News ได้รายงานถึงการที่ทางทีมวิจัยจาก Proofpoint บริษัทผู้เชี่ยวชาญในการพัฒนาโซลูชันด้านความปลอดภัยไซเบอร์ ได้ตรวจพบแคมเปญการปล่อยมัลแวร์เข้าโจมตีกลุ่มผู้ใช้งานระบบปฏิบัติการ macOS ครั้งใหม่จากกลุ่มแฮ็กเกอร์ TA2727 ซึ่งเคยมีผลงานในการปล่อยมัลแวร์ประเภทเพื่อการขโมยข้อมูล (Infostealer) อย่าง Lumma Stealer และ DeerSteale บน Windows  และมัลแวร์ปล้นเงินจากบัญชีธนาคาร (Banking Trojan) อย่าง Marcher บน Android มาแล้ว สำหรับการโจมตีในครั้งนี้นั้น มัลแวร์ก็เป็นมัลแวร์ Infostealer เช่นเดียวกัน โดยมัลแวร์ดังกล่าวนั้นมีชื่อว่า FrigidStealer

สำหรับแคมเปญการโจมตีในครั้งนี้นั้น แฮ็กเกอร์จะทำการแฮ็กเว็บไซต์ต่าง ๆ พร้อมทั้งฝัง JavaScript เอาไว้ เพื่อที่จะเปลี่ยนหน้าเพจ (Redirect) ไปยังหน้าดาวน์โหลดอัปเดตปลอม ซึ่งถ้าเหยื่อหลงทำการดาวน์โหลดไฟล์ดังกล่าวและติดตั้งลงสู่เครื่อง ก็จะเป็นการฝังมัลแวร์ลงเครื่องไปโดยปริยาย โดยวิธีการดังกล่าวนั้นเป็นวิธีการเดียวกับที่แฮ็กเกอร์ใช้เล่นงานผู้ใช้งาน Windows ผ่านทางอัปเดตปลอมของ Chrome และ Edge ซึ่งในคราวนั้นเป็นการโจมตีในวงจำกัดเฉพาะผู้ใช้งานจากในประเทศอังกฤษ และฝรั่งเศส เท่านั้น แต่ในแคมเปญการโจมตีผู้ใช้งาน macOS นั้นจะเป็นการมุ่งเน้นไปยังกลุ่มผู้ใช้งานนอกประเทศสหรัฐอเมริกาทั้งหมด เรียกได้ว่ามีความอันตรายที่ร้ายแรงกว่าเดิม

ภาพจาก : https://thehackernews.com/2025/02/new-frigidstealer-malware-targets-macos.html

นอกจากนั้น ทางทีมวิจัยยังได้เปิดเผยอีกว่า ไฟล์ติดตั้งอัปเดตปลอมดังกล่าวนั้นจะเป็นไฟล์ติดตั้งในรูปแบบ Unsigned Installer ที่ช่วยให้หลบเลี่ยงการตรวจจับจากระบบป้องกัน Gatekeeper ของ macOS รวมทั้งมีการฝัง Mach-O Executable ไว้ภายในเพื่อรันติดตั้งมัลแวร์อีกด้วย ในเชิงเทคนิคนั้น ไฟล์สำหรับติดตั้งมัลแวร์ตัวนี้ถูกเขียนขึ้นบนพื้นฐานของภาษา Go ในรูปแบบ Project บนเครื่องมือ WailsIO พร้อมทั้งมีการสอดไส้วิธีการหลอกลวงในรูปแบบวิศวกรรมทางสังคม (Social Engineering) เพื่อหลอกว่าไฟล์อัปเดตนั้นเป็นของแท้อีกด้วย

นอกจากนั้นตัวมัลแวร์ยังมีความสามารถในการใช้งาน AppleScript เพื่อหลอกให้เหยื่อป้อนรหัสผ่านสำหรับการเข้าใช้งาน และควบคุมระบบ เพื่อนำมาใช้เพิ่มสิทธิ์ของตัวมัลแวร์ในการเข้าถึงระบบของเหยื่อ (Privileges Elevation) แล้วทำการเก็บข้อมูลระบบของเครื่องเหยื่อ รวมทั้งข้อมูลสำคัญต่าง ๆ ที่บันทึกไว้บนเว็บเบราว์เซอร์ต่าง ๆ, ข้อมูลที่บันทึกไว้บน Apple Notes และข้อมูลภายในแอปพลิเคชันที่เกี่ยวข้องกับเงินคริปโตเคอร์เรนซี ซึ่งการโจมตีนั้นไม่ได้มุ่งเน้นแต่เพียงผู้ใช้งานในระดับองค์กรเท่านั้น แต่ยังมุ่งโจมตีกลุ่มผู้ใช้งานทั่วไปอีกด้วย ดังนั้นผู้ใช้งานต้องระมัดระวังให้มากในการเข้าเว็บไซต์แล้วพบพฤติกรรมผิดสังเกต ต้องอย่าดาวน์โหลดแล้วอนุมัติติดตั้งอย่างเด็ดขาด

ภาพจาก : https://thehackernews.com/2025/02/new-frigidstealer-malware-targets-macos.html