ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ พบรายงานจาก Check Point Research เกี่ยวกับการแพร่กระจาย Malware ประเภท Yoba ผ่านโครงการปลอมบน GitHub ที่แอบอ้างเป็นแอปพลิเคชัน ChatGPT และ Claude สำหรับระบบปฏิบัติการ Windows โดยผู้โจมตีหลอกให้ผู้ใช้งานดาวน์โหลดไฟล์ ZIP ที่ภายในประกอบด้วยไฟล์โปรแกรมจริงซึ่งมี Digital Signature ที่ถูกต้องจาก OpenAI หรือ Anthropic ร่วมกับไฟล์ Malware เมื่อผู้ใช้งานเปิดโปรแกรมดังกล่าว ระบบจะโหลดไฟล์อันตรายผ่านเทคนิค DLL Sideloading เพื่อติดตั้งโปรแกรมขุด Cryptocurrency (Cryptocurrency Miner) และอาจใช้เป็นช่องทางในการดาวน์โหลด Payload อื่นเพิ่มเติม ทั้งนี้ รายงานดังกล่าวไม่ได้ระบุว่าระบบหรือช่องทางเผยแพร่ซอฟต์แวร์อย่างเป็นทางการของ OpenAI หรือ Anthropic ถูกบุกรุก แต่เป็นการนำไฟล์โปรแกรมจริงมาใช้ร่วมกับ Malware เพื่อหลอกให้ผู้ใช้งานติดตั้งโปรแกรมอันตราย [1]
1. รายละเอียดภัยคุกคาม [2]
1.1 การหลอกให้ดาวน์โหลดจากโครงการ GitHub ปลอม ผู้โจมตีสร้างโครงการปลอมบน GitHub และเว็บไซต์ GitHub Pages โดยแอบอ้างเป็นแอปพลิเคชัน ChatGPT และ Claude ภายใต้ชื่อ เช่น “GPT-5.6 Sol” “GPT-6 Astra” และ “Claude Opus” พร้อมเผยแพร่ไฟล์ติดตั้งในรูปแบบ ZIP ผ่านส่วน Releases ของโครงการ โดยใช้เทคนิค SEO Poisoning เพื่อเพิ่มโอกาสให้เว็บไซต์ปลอมปรากฏในผลการค้นหาของ Google ซึ่งบางเว็บไซต์สามารถปรากฏในอันดับต้น ๆ ของผลการค้นหา ส่งผลให้ผู้ใช้งานอาจเข้าใจผิดว่าเป็นช่องทางดาวน์โหลดซอฟต์แวร์อย่างเป็นทางการของผู้พัฒนา
1.2 การใช้โปรแกรมจริงโหลดไฟล์ Malware (DLL Sideloading) เมื่อผู้ใช้งานแตกไฟล์ ZIP และเปิดโปรแกรม Setup.exe ซึ่งมี Digital Signature ที่ถูกต้อง โปรแกรมจะโหลดไฟล์ winmm.dll ที่ผู้โจมตีวางไว้ในโฟลเดอร์เดียวกัน โดยไฟล์ดังกล่าวเป็น Malware ชื่อ YobaDropper ซึ่งจะตรวจสอบสภาพแวดล้อมและสิทธิ์ของผู้ใช้งาน หากโปรแกรมไม่ได้ทำงานด้วยสิทธิ์ Administrator มัลแวร์จะแสดงข้อความให้ผู้ใช้งานเปิดโปรแกรมใหม่ด้วยสิทธิ์ดังกล่าวและยุติการทำงาน หากได้รับสิทธิ์ตามเงื่อนไข YobaDropper จะติดตั้ง YobaLoader และสร้าง Scheduled Task เพื่อให้ Malware สามารถกลับมาทำงานได้หลังจากเริ่มระบบใหม่ โดยใช้โปรแกรม WMPDMC.exe ร่วมกับไฟล์ wmpdui.dll เพื่อโหลด YobaLoader ผ่านเทคนิค DLL Sideloading อีกครั้ง
1.3 การดาวน์โหลดและติดตั้ง Payload เพิ่มเติม Malware YobaLoader ใช้ข้อมูลจากรูปโปรไฟล์ของช่อง Telegram เพื่อสร้างชื่อ Domain สำหรับติดต่อกับระบบควบคุมของผู้โจมตี (Command and Control: C2) จากนั้นรับคำสั่งผ่าน DNS TXT Record โดยใช้ DNS-over-HTTPS (DoH) และดาวน์โหลด Payload ที่ถูกเข้ารหัสจากบริการฝากไฟล์ เช่น Catbox ทั้งนี้ นักวิจัยตรวจพบว่า Payload ที่ถูกดาวน์โหลดเป็นโปรแกรม XMRig ซึ่งใช้ทรัพยากรของเครื่องคอมพิวเตอร์ในการขุด Cryptocurrency โดย Malware สามารถหยุดกระบวนการขุดชั่วคราวขณะที่ผู้ใช้งานกำลังใช้งานเครื่อง เพื่อลดโอกาสถูกตรวจพบ นอกจากนี้ YobaLoader ยังรองรับการดาวน์โหลดและเรียกใช้งานไฟล์ Executable หรือ PowerShell Script อื่นเพิ่มเติม จึงอาจถูกนำไปใช้ติดตั้ง Malware ประเภทอื่นได้
2. ระบบและผู้ใช้งานที่มีความเสี่ยง
เครื่องคอมพิวเตอร์ที่ใช้ระบบปฏิบัติการ Windows ซึ่งผู้ใช้งานดาวน์โหลดชุดติดตั้งจากโครงการ GitHub ปลอมที่แอบอ้างเป็น ChatGPT หรือ Claude แล้วแตกไฟล์และเปิดโปรแกรมจากชุดติดตั้งดังกล่าว โดยเฉพาะกรณีที่เปิดโปรแกรมด้วยสิทธิ์ Administrator ซึ่งอาจส่งผลให้ Malware สามารถติดตั้งและสร้าง Scheduled Task เพื่อทำงานอย่างต่อเนื่องภายในระบบได้ ทั้งนี้ การตรวจพบไฟล์ ZIP ในเครื่องเพียงอย่างเดียวยังไม่สามารถยืนยันได้ว่า Malware ถูกเรียกใช้งานแล้ว และการพบ Digital Signature ที่ถูกต้องของไฟล์โปรแกรมไม่ได้หมายความว่าไฟล์อื่นภายในชุดติดตั้งเดียวกันมีความปลอดภัย
3. แนวทางการตรวจสอบและแก้ไข
3.1 ตรวจสอบประวัติการดาวน์โหลดในเว็บเบราว์เซอร์และ Log ของหน่วยงาน โดยค้นหาชื่อไฟล์และปลายทางต่อไปนี้ หากพบ ให้บันทึกเวลา ชื่อเครื่อง และบัญชีผู้ใช้ แล้วตรวจสอบต่อว่าได้แตกไฟล์หรือเปิดโปรแกรมหรือไม่
– ชื่อไฟล์ ZIP: sol-setup.zip, GPT-6-Astra-Setup.zip, Setup-Claude.zip
– หน้าเว็บที่แอบอ้าง: gpt-5-6[.]github[.]io, gpt-6-astra[.]github[.]io, opus-5-0[.]github[.]io
– ตัวอย่างค่าแฮช SHA-1 ของ YobaDropper: 17e8639a00bb32b10cb9cf0d292e9441456ce4bb
– ตัวอย่างค่าแฮช SHA-1 ของ YobaLoader: 22661f4bada8167fa0f410b75e53184998990abb
3.2 หากดาวน์โหลดแต่ยังไม่ได้เปิดโปรแกรม ให้หยุดใช้งานไฟล์ดังกล่าว ไม่เปิด Setup.exe เพื่อทดสอบ และส่งตำแหน่งไฟล์กับลิงก์ต้นทางให้ผู้ดูแลระบบกักกันและตรวจสอบ หากเป็นเครื่องส่วนบุคคล ให้กักกันไฟล์ด้วยโปรแกรมรักษาความปลอดภัยและสแกนเครื่อง
3.3 หากเปิดโปรแกรมแล้ว โดยเฉพาะเมื่อใช้สิทธิ์ Administrator ให้แยกเครื่องออกจากเครือข่ายและแจ้งทีมตอบสนองเหตุการณ์ทันที ก่อนลบไฟล์หรือรีสตาร์ตเครื่อง ให้เก็บหลักฐานที่เกี่ยวข้อง ได้แก่ ไฟล์ ZIP ต้นฉบับ ตำแหน่งที่แตกไฟล์ ประวัติการเปิดโปรแกรม งานที่ถูกสร้างใน Task Scheduler และบันทึกการเชื่อมต่อเครือข่าย
3.4 สำหรับทีม SOC ให้ตรวจสอบผ่านระบบ EDR ว่า Setup.exe โหลด winmm.dll จากโฟลเดอร์ที่แตกไฟล์หรือไม่ และตรวจสอบว่า WMPDMC.exe โหลด wmpdui.dll จากตำแหน่งผิดปกติหลังเริ่มเครื่องหรือไม่ ควรพิจารณาตำแหน่งไฟล์ ค่าแฮช และลำดับการทำงานร่วมกัน เพราะชื่อไฟล์ DLL เพียงอย่างเดียวไม่เพียงพอที่จะยืนยันการติดมัลแวร์ ทั้งนี้ สามารถใช้รายการตัวบ่งชี้การบุกรุก (IoC) และกฎ YARA ในรายงานของ Check Point Research เพื่อตรวจสอบเครื่องอื่นภายในหน่วยงาน
4. แนวทางป้องกัน
4.1 ดาวน์โหลดแอปพลิเคชันผ่านเว็บไซต์ของผู้พัฒนาโดยตรง หรือผ่านช่องทางติดตั้งซอฟต์แวร์ที่หน่วยงานอนุมัติ หากพบลิงก์จากผลการค้นหาหรือหน้า GitHub ให้ตรวจสอบว่าเว็บไซต์ทางการของผู้พัฒนาระบุลิงก์ไปยังโครงการนั้นจริงก่อนดาวน์โหลด
4.2 ไม่เปิดโปรแกรมจากชุดติดตั้งที่ไม่ทราบแหล่งที่มาด้วยสิทธิ์ Administrator แม้ Windows จะแสดงชื่อผู้เผยแพร่ที่น่าเชื่อถือ หากโปรแกรมขอให้ปิดแล้วเปิดใหม่ด้วยสิทธิ์ที่สูงขึ้น ให้หยุดและตรวจสอบแหล่งดาวน์โหลดก่อน
4.3 สำหรับหน่วยงาน ให้จำกัดสิทธิ์ติดตั้งซอฟต์แวร์ตามความจำเป็น จัดช่องทางดาวน์โหลดเครื่องมือ AI ที่อนุมัติไว้ให้ผู้ใช้ และตั้งค่าระบบตรวจจับให้เฝ้าระวังโปรแกรมที่มีลายมือชื่อดิจิทัลแต่โหลด DLL จากโฟลเดอร์ดาวน์โหลดหรือโฟลเดอร์ชั่วคราวที่ผู้ใช้เขียนไฟล์ได้
แหล่งอ้างอิง
[1] https://dg.th/bkdznmw7o2
[2] https://dg.th/3xtekolipq