ภัยใหม่ชาว macOS มัลแวร์ ClickLock Stealer ที่แค่ Paste เดียวข้อมูลโดนขโมยเกลี้ยงได้

คำว่า macOS ไม่มีมัลแวร์ได้กลายเป็นตำนานไปแล้ว เพราะครั้งนี้ก็เป็นอีกครั้งหนึ่งที่ระบบปฏิบัติการชื่อดังนี้ได้กลายเป็นข่าวอีกครั้ง จากการที่มีมัลแวร์ตัวใหม่ออกมาป่วนผู้ใช้งานอีกครั้ง

จากรายงานโดยเว็บไซต์อย่างเป็นทางการของผู้พัฒนาเครื่องมือต่อต้านมัลแวร์ชื่อดัง Malwarebytes ได้กล่าวถึงการตรวจพบมัลแวร์ประเภทขโมยข้อมูลจากระบบของเหยื่อ หรือ Infostealer ตัวใหม่ ชื่อ ClickLock Stealer ที่มุ่งเน้นการโจมตีกลุ่มผู้ใช้งานระบบปฏิบัติการ macOS โดยเฉพาะ ซึ่งมัลแวร์ตัวนี้ถูกตรวจพบโดยทีมวิจัยจากบริษัท Group-IB บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์จากประเทศสิงคโปร์ ซึ่งทางทีมวิจัยพบว่าแฮกเกอร์นั้นจะเริ่มต้นจากการหลอกเหยื่อด้วยวิธีการ Phishing ให้เหยื่อเข้ามายังเว็บไซต์ปลอม ซึ่งตัวเว็บไซต์ปลอมนั้นจะพาเหยื่อไปยังหน้าจอการยืนยันตัวตน (Verification) ปลอม หลอกให้เหยื่อเปิดแอปพลิเคชัน Terminal และวางโค้ดที่ปรากฏอยู่บนหน้าจอ ซึ่งวิธีการนี้นั้นเป็นวิธีที่เรียกว่าการทำ ClickFix ที่หลอกให้เหยื่อทำตามคำสั่งเพื่อดาวน์โหลดและติดตั้งมัลแวร์ลงบนเครื่องด้วยตนเอง ซึ่งนอกจากการติดตั้งมัลแวร์ขโมยข้อมูลดังกล่าวลงไปแล้ว ยังมีการติดตั้งมัลแวร์แบบเข้าถึงประตูหลังของระบบ หรือ Backdoor ที่มีชื่อว่า GSocket เพื่ออำนวยความสะดวกให้แฮกเกอร์สามารถเข้าถึงระบบได้ตลอดเวลาอีกด้วย

ภาพจาก : https://www.malwarebytes.com/blog/news/2026/07/new-clicklock-stealer-locks-your-mac-until-you-hand-over-your-password

โดยหลังจากที่เหยื่อได้ติดตั้งมัลแวร์ดังกล่าวลงบนเครื่องของเหยื่อเป็นที่เรียบร้อย ตัวมัลแวร์ก็จะเด้งหน้าจอปลอมขึ้นมาเพื่อหลอกให้เหยื่อกรอกรหัสสำหรับการเข้าถึงระบบ (System Password) ด้วยวิธีการบังคับ ซึ่งถ้าเหยื่อปฏิเสธที่จะใส่รหัสผ่านตามที่ขอ ตัวมัลแวร์ก็จะทำการปิดฟังก์ชันสำคัญต่าง ๆ บนระบบ เช่น Finder, Dock, Terminal, Activity Monitor, Console, System Settings, Spotlight, และ เว็บเบราว์เซอร์ต่าง ๆ จนกว่าเหยื่อจะยอมกรอกรหัสผ่าน ซึ่งการปิดระบบสำคัญนั้นจะหมุนวนแบบลูป (Loop) ทุก 210 วินาที ถึง 83 ชั่วโมงจนกว่าเหยื่อจะกรอกรหัสผ่านที่ถูกต้อง โดยถ้าเหยื่อกรอกรหัสผ่านตามที่ขอเสร็จ ระบบต่าง ๆ ก็จะเปิดให้ใช้งาน แต่ลับหลังตัวมัลแวร์จะส่งรหัสผ่านดังกล่าวรวมถึงข้อมูลอื่น ๆ ที่มัลแวร์ขโมยมาก่อนหน้ากลับไปให้แฮกเกอร์บนเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ที่ตั้งอยู่บนบริการแชทชื่อดัง Telegram เพื่อตรวจสอบและใช้งานต่อไป

หลังจากที่มัลแวร์ดังกล่าวขโมยข้อมูลเสร็จเรียบร้อย ตัวมัลแวร์ก็จะทำการลบตัวเองทิ้งเพื่อหลบเลี่ยงการถูกตรวจจับ แต่ตัวมัลแวร์ GSocket นั้นจะไม่ถูกลบไปด้วยเพื่อเปิดช่องให้แฮกเกอร์สามารถกลับมาขโมยข้อมูลด้วยการติดตั้งมัลแวร์ตัวเดิมซ้ำ หรือแอบติดตั้งมัลแวร์อื่น ๆ ลงบนระบบเพื่อจัดการกับเครื่องของเหยื่อแบบตามใจแฮกเกอร์ต่อไป