🚨 เตือนภัย! พบแพ็กเกจ npm และ Go อันตราย ขโมยข้อมูลสำคัญจากเครื่องนักพัฒนา

ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามรายงานภัยคุกคามทางไซเบอร์ พบการโจมตีแบบ Supply Chain แพ็กเกจอันตรายบน npm จำนวน 2 รายการ และแพ็กเกจภาษา Go จำนวน 16 รายการ ถูกฝังโค้ดอันตรายเพื่อขโมยข้อมูลสำคัญจากเครื่องของนักพัฒนา โดยผู้โจมตีใช้วิธีซ่อนคำสั่งอันตรายไว้ในไฟล์ของโปรเจกต์ หากผู้ใช้เปิดโฟลเดอร์ที่มีไฟล์ดังกล่าวด้วยโปรแกรมเขียนโค้ด เช่น VS Code หรือเครื่องมือที่คล้ายกัน และอนุญาตให้โปรเจกต์รันคำสั่งอัตโนมัติ โค้ดอันตรายอาจทำงานและนำไปสู่การติดตั้งมัลแวร์ขโมยข้อมูลบนเครื่องผู้ใช้ได้

1. รายละเอียดภัยคุกคาม[1][2]
รายงานระบุว่า แพ็กเกจ npm ที่ได้รับผลกระทบถูกอัปโหลดไปยัง npm เมื่อวันที่ 25 พฤษภาคม 2026 และถูกนำออกจาก npm registry แล้ว อย่างไรก็ตาม ผู้ที่เคยติดตั้งหรือใช้งานเวอร์ชันดังกล่าวยังคงมีความเสี่ยง แคมเปญนี้ไม่ได้อาศัยการรันโค้ดอันตรายในขั้นตอนติดตั้งแพ็กเกจตามรูปแบบที่มักพบในการโจมตีผ่าน npm แต่ใช้วิธีซ่อนคำสั่งไว้ในไฟล์การตั้งค่าของโปรเจกต์แทน เมื่อผู้ใช้เปิดโฟลเดอร์ที่มีไฟล์ดังกล่าวใน VS Code หรือเครื่องมือที่รองรับลักษณะเดียวกัน ภายใต้เงื่อนไขที่ workspace ถูกเชื่อถือหรือผู้ใช้อนุญาตให้รันคำสั่งอัตโนมัติ คำสั่งอันตรายอาจทำงานโดยผู้ใช้ไม่ทันสังเกต หลังจากทำงาน โค้ดอันตรายจะเชื่อมต่อไปยังเซิร์ฟเวอร์ที่ผู้โจมตีใช้ควบคุมและสั่งการ ติดตั้งมัลแวร์ขโมยข้อมูลที่มุ่งเป้าข้อมูลสำคัญ เช่น ข้อมูลเข้าสู่ระบบ ข้อมูลจากเบราว์เซอร์ รหัสผ่านหรือข้อมูลยืนยันตัวตนที่จัดเก็บไว้

2. แพ็กเกจที่เกี่ยวข้อง[2]
2.1 แพ็กเกจ npm ที่ถูกรายงาน ได้แก่
– html-to-gutenberg เวอร์ชัน 4.2.11
– fetch-page-assets เวอร์ชัน 1.2.9
2.2 แพ็กเกจภาษา Go ที่ถูกรายงานมีจำนวน 16 รายการ โดยผู้ดูแลระบบและนักพัฒนาควรตรวจสอบรายการแพ็กเกจทั้งหมดได้ที่
https://dg.th/3jo4fs0ul2
เพื่อประเมินว่ามีการใช้งานในระบบหรือโปรเจกต์ขององค์กรหรือไม่

3. ผลกระทบที่อาจเกิดขึ้น
3.1 ข้อมูลบัญชีผู้ใช้ รหัสผ่าน Cookies หรือ Token ที่จัดเก็บไว้ในเครื่องนักพัฒนาอาจถูกขโมย
3.2 ข้อมูลสำหรับเข้าถึงระบบขององค์กร เช่น GitHub Token, Git credentials, SSH keys, API keys, Cloud credentials หรือข้อมูลลับอื่น ๆ อาจรั่วไหล
3.3 ข้อมูลจากเบราว์เซอร์ โปรแกรมจัดการรหัสผ่าน ระบบจัดเก็บรหัสผ่านของเครื่อง และกระเป๋าเงินคริปโทเคอร์เรนซีอาจถูกขโมย
3.4 หากแพ็กเกจดังกล่าวถูกนำไปใช้ในเครื่องนักพัฒนา ระบบ Build หรือระบบ CI/CD ขององค์กร อาจทำให้ข้อมูลสำคัญขององค์กรรั่วไหล และอาจถูกใช้เป็นจุดเริ่มต้นในการโจมตีระบบอื่นต่อได้

4. แนวทางการป้องกันและลดความเสี่ยง
4.1 ตรวจสอบว่ามีการติดตั้งแพ็กเกจที่เกี่ยวข้อง ในเครื่องนักพัฒนา โปรเจกต์ ระบบ Build หรือระบบ CI/CD ขององค์กรหรือไม่
4.2 หากพบแพ็กเกจดังกล่าว ให้ลบออกทันที และตรวจสอบไฟล์ที่ใช้ล็อกเวอร์ชันแพ็กเกจ เช่น package-lock.json, yarn.lock หรือ pnpm-lock.yaml รวมถึงระบบ Build, Container Image และไฟล์ที่ถูกสร้างจากโปรเจกต์ดังกล่าว
4.3 ตรวจสอบไฟล์ .vscode/tasks.json ในโปรเจกต์ ว่ามีคำสั่งที่ไม่รู้จัก หรือมีการตั้งค่าให้รันคำสั่งอัตโนมัติเมื่อเปิดโฟลเดอร์หรือไม่
4.4 หากพบการติดตั้งแพ็กเกจดังกล่าว หรือสงสัยว่าเครื่องได้รับผลกระทบ ให้เปลี่ยนหรือเพิกถอนรหัสผ่าน, API keys, GitHub tokens, npm tokens, SSH keys, cloud credentials และ secrets ที่อาจอยู่บนเครื่องดังกล่าวทันที
4.5 ตรวจสอบการเชื่อมต่อออกไปยังปลายทางต้องสงสัยที่เกี่ยวข้องกับแคมเปญนี้ และตรวจสอบย้อนหลังจาก DNS Log, Proxy Log, Firewall Log และ EDR/XDR เพื่อค้นหาพฤติกรรมผิดปกติ
4.6 ตรวจสอบไฟล์หรือโฟลเดอร์ผิดปกติที่อาจถูกสร้างขึ้นหลังจากเปิดโปรเจกต์หรือรันคำสั่งจากแพ็กเกจดังกล่าว

5. คำแนะนำเพิ่มเติม
5.1 หลีกเลี่ยงการเปิดโฟลเดอร์โปรเจกต์ที่ไม่รู้จักหรือไม่เชื่อถือในสถานะที่อนุญาตให้รันคำสั่งอัตโนมัติบน VS Code, Cursor หรือโปรแกรมเขียนโค้ดที่คล้ายกัน
5.2 ตรวจสอบการตั้งค่าของ VS Code หรือเครื่องมือเขียนโค้ดที่ใช้งาน ว่ามีการอนุญาตให้โปรเจกต์รันคำสั่งอัตโนมัติหรือไม่
5.3 ตรวจสอบแพ็กเกจก่อนนำมาใช้งาน โดยเฉพาะแพ็กเกจที่เพิ่งมีการอัปเดต แพ็กเกจที่ไม่คุ้นเคย หรือแพ็กเกจที่มีจำนวนผู้ใช้งานน้อย
5.4 ใช้ระบบควบคุมแพ็กเกจขององค์กร เช่น Private Registry, Proxy Registry หรือรายการแพ็กเกจที่อนุญาตให้ใช้งาน เพื่อลดความเสี่ยงจากการดาวน์โหลดแพ็กเกจอันตรายจากแหล่งสาธารณะ
5.5 จำกัดสิทธิ์ของ Token และ Secrets ให้เท่าที่จำเป็น และหลีกเลี่ยงการเก็บข้อมูลสำคัญไว้ในเครื่องนักพัฒนาโดยไม่จำเป็น
5.6 หากพบพฤติกรรมต้องสงสัย ควรแยกเครื่องออกจากเครือข่าย เก็บหลักฐานที่เกี่ยวข้อง เปลี่ยนข้อมูลยืนยันตัวตนทั้งหมดที่อาจได้รับผลกระทบ และสร้างสภาพแวดล้อมการพัฒนาใหม่จากแหล่งที่เชื่อถือได้

แหล่งอ้างอิง
[1] https://dg.th/p8djh6r5wl
[2] https://dg.th/9qubgrd035