ตรวจพบช่องโหว่ Zero-Day บน Chrome เปิดช่องให้แฮกเกอร์ฝัง Backdoor ลงระบบ

เว็บเบราว์เซอร์ที่เป็นที่ยอดนิยมตัวหนึ่ง กล่าวแบบนี้ ชื่อ Chrome คงจะขึ้นมาเป็นอันดับต้น ๆ แต่เว็บเบราว์เซอร์ตัวนี้ก็มักจะมีข่าวเรื่องช่องโหว่ร้ายแรงปรากฏออกมาเรื่อย ๆ ถึงแม้จะได้รับการยอมรับว่าเป็นตัวที่ใช้งานง่าย เร็ว และปลอดภัยมากตัวหนึ่งก็ตาม

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบช่องโหว่ที่เกิดขึ้นระหว่างการพัฒนา หรือ Zero-Day ในรูปแบบของการที่ทำให้มัลแวร์สามารถหลุดรอดจากสภาวะจำลองการทำงานสำหรับการกักกัน และวิเคราะห์สิ่งแปลกปลอม หรือ “Sandbox Escape” ที่มีรหัสว่า CVE-2025-2783 โดยช่องโหว่ดังกล่าวนี้สามารถถูกนำไปใช้ประโยชน์ในการฝังมัลแวร์สำหรับการเปิดประตูหลังของระบบ (Backdoor) ที่มีชื่อว่า Trinper ได้

ช่องโหว่ดังกล่าวนี้เป็นผลงานการตรวจพบโดยทีมวิจัยจากบริษัท Positive Technologies ซึ่งเป็นผู้เชี่ยวชาญด้านการจัดการกับภัยไซเบอร์ โดยมีทาง Kaspersky บริษัทผู้พัฒนาแอนตี้ไวรัสชื่อดัง เป็นผู้รายงานเรื่องการที่ช่องโหว่ถูกแฮกเกอร์นำไปใช้งานไปยังทาง Google โดยช่องโหว่ดังกล่าวนี้สามารถใช้งานได้ง่ายมาก ๆ เพียงแค่ส่งลิงก์หลอกลวงที่ถูกสร้างขึ้นมาโดยเฉพาะไปทางช่องทางต่าง ๆ เช่น การใช้อีเมล Phishing หลอกให้คลิ๊กลิงก์ไปยังเว็บไซต์ปลอมที่มีการสอดแทรกโค้ดที่นำไปสู่การทำงานของช่องโหว่ ก็จะเป็นการติดตั้ง Backdoor ลงสู่เครื่องอย่างอัตโนมัติในทันที

สำหรับในส่วนของตัวมัลแวร์ Trinper นั้น เป็นมัลแวร์ที่ถูกพัฒนาโดยทีมแฮกเกอร์ TaxOff จากรัสเซีย โดยมัลแวร์ดังกล่าวถูกเขียนขึ้นบนภาษา C++ ซึ่งมัลแวร์ตัวนี้มีความสามารถในการทำงานแบบ Multithreading หรือ การทำงานหลายงานแบบพร้อม ๆ กัน ทำให้ตัวมัลแวร์สามารถแอบซ่อนตัวเองจากการตรวจจับ ขณะที่ติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control), ติดตั้งโมดูลเพิ่มเติม, หรือแม้แต่การลักลอบขโมย และส่งออกข้อมูลไปยังเซิร์ฟเวอร์ได้ ซึ่งความสามารถในการขโมยข้อมูลของมัลแวร์ตัวนี้ก็มีความสามารถที่หลากหลาย ไม่ว่าจะเป็น การแอบดักเก็บข้อมูลการพิมพ์ของเหยื่อ (Keystroke), เก็บข้อมูลไฟล์ที่มีนามสกุลไฟล์ตามที่ถูกกำหนดไว้ (doc, .xls, .ppt, .rtf, และ .pdf), และเก็บข้อมูลเกี่ยวกับระบบของเหยื่อ เป็นต้น

นอกจากนั้น ยังมีการตรวจพบว่า คำสั่งการ (Instructions) ที่ถูกส่งมาจากเซิร์ฟเวอร์ C2 นั้นมีฟังก์ชันที่ช่วยให้มัลแวร์สามารถอ่านเขียนไฟล์, รันโค้ดคำสั่งผ่านทาง cmd.exe, ใช้งาน Reverse Shell, เปลี่ยนโฟลเดอร์ที่อยู่ หรือ แม้แต่สั่งปิดเครื่องของเหยื่อเองได้ด้วย 

ในส่วนของการโจมตีเพื่อแพร่กระจายมัลแวร์ ทางทีมวิจัยได้พบว่าแคมเปญดังกล่าวถึงแม้จะถูกตรวจพบในช่วงเดือนมีนาคมที่ผ่านมา แต่ตัวแคมเปญสามารถสืบลึกไปได้ว่า ตัวแคมเปญแท้จริงนั้นเริ่มขึ้นในช่วงเดือนตุลาคม ค.ศ. 2024 (พ.ศ. 2567) โดยจะเป็นแคมเปญแบบ Phishing ผ่านทางอีเมลที่หลอกให้เหยื่อกดลิงก์ที่อ้างว่าเป็นลิงก์รับเชิญ (Invitation) เข้าร่วมงานสัมมนาระดับนานาชาติ ที่มีชื่อว่า "Security of the Union State in the modern world" โดยตัวลิงก์นั้นจะเป็นไฟล์แนบนามสกุล Zip ที่หลังจากคลายไฟล์ ก็จะพบกับไฟล์ Internet Shortcut อยู่ภายในที่ถ้ารันขึ้นมา ก็จะเป็นการรันสคริปท์ PowerShell ที่จะทำการดาวน์โหลดเอกสารปลอมสำหรับการบังหน้า (Decoy Document) และตัวมัลแวร์นกต่อ (Loader) ที่มีชื่อว่า Donut ลงมาทำการติดตั้งมัลแวร์ Backdoor ตัวจริงในทันที

ถึงแม้ช่องโหว่ดังกล่าวนั้นจะดูมีความร้ายแรง แต่ก็มีข่าวดีคือ ถ้าผู้อ่านท่านใดทำการอัปเดต Chrome เป็นประจำ ช่องโหว่ดังกล่าวก็จะถูกอุดไปโดยอัปเดตใหม่เป็นที่เรียบร้อยแล้ว แต่ถ้าใครไม่ได้ตั้งอัปเดตอัตโนมัติไว้ ขอให้ทำการอัปเดตในทันทีเพื่อความปลอดภัย