บริการ ClickFix ตัวใหม่ชื่อ DOUBLECUP ซ่อนมัลแวร์ไว้ในไฟล์ภาพที่ Cache อยู่บนเบราว์เซอร์

บริการ Loader-as-a-Service สัญชาติรัสเซียตัวใหม่ชื่อว่า DOUBLECUP ใช้การโจมตีแบบ ClickFix ในการซ่อนโค้ดอันตรายไว้ในไฟล์ภาพ PNG ที่ถูก Cache ไว้บนเบราว์เซอร์ของเหยื่อ ก่อนจะปล่อยมัลแวร์ CountLoader ลงบนอุปกรณ์ Windows และ macOS รวมถึง Remote Access Trojan (RAT) ตัวใหม่ชื่อ DeviceManager ลงบนระบบ Windows

Threat Research Unit ของ SOCRadar ระบุว่า DOUBLECUP เปิดให้บริการมาตั้งแต่ช่วงต้นเดือนมิถุนายน 2026 โดยให้ลูกค้าได้รับทั้ง License และเครื่องมือบน Windows ที่พัฒนาด้วยภาษา Go สำหรับสร้างแคมเปญการโจมตี และสร้างโค้ดที่ผู้โจมตีจะนำไปวางบนเว็บไซต์ของตนเอง

บริการนี้ดูแลโครงสร้างพื้นฐานส่วนใหญ่ที่จำเป็นต่อการโจมตีให้ ทั้งการ Host ไฟล์ภาพ PNG ที่ใช้เทคนิคการซ่อนข้อมูลในไฟล์ภาพ (Steganography), การจัดการ Endpoint สำหรับ Session และ Signal, การจัดหาคีย์เข้ารหัส รวมถึงการสร้าง Payload ขึ้นใหม่โดยอัตโนมัติ

ส่วนลูกค้าของ DOUBLECUP จะรับผิดชอบในการสร้าง และ Host เว็บไซต์ที่ใช้แสดงหน้าต่าง ClickFix, การนำโค้ดฝั่ง Frontend ที่ระบบสร้างให้ไปวาง รวมถึงการทำ Obfuscation หรือมาตรการ Anti-analysis เพิ่มเติมด้วยตนเอง

SOCRadar ค้นพบ DOUBLECUP ระหว่างการตรวจสอบ Open Directory ที่ IP 213[.]139.77[.]109:9090 ซึ่งมีไฟล์สำหรับทดสอบอยู่ภายใน โดยภายหลังพบว่า IP Address เดียวกันนี้ยังเป็นที่ตั้งของ Panel สำหรับจัดการ License ของบริการนี้ด้วย

ในการเริ่มการโจมตี ลูกค้าของ DOUBLECUP จะใช้แอปพลิเคชันบน Windows ที่พัฒนาด้วยภาษา Go เพื่อตั้งค่าแคมเปญดังต่อไปนี้

• โดเมน
• พาธของ URL
• รูปแบบการซ่อนข้อมูลในไฟล์ภาพ (Steganography)
• รูปแบบการฝังข้อมูล (Embed Type)
• การสั่งรัน (Execution Action)
• ตำแหน่งของ Payload

การตั้งค่าดังกล่าวจะสร้าง API Endpoint สำหรับดึงค่าการตั้งค่าออกมา ซึ่งจะส่งคืน URL และขนาดไฟล์ของภาพที่ฝังข้อมูลไว้, Session Endpoint รวมถึงคำสั่งที่ปรับให้เหมาะกับ Chrome, Edge, Firefox, Brave และ Opera

จากนั้นผู้โจมตีจะนำโค้ดของ DOUBLECUP ไปวางบนเว็บไซต์ ClickFix ของตนเอง โดยโค้ดดังกล่าวจะดึงค่าการตั้งค่ามาใช้, โหลดไฟล์ภาพที่ฝังข้อมูลไว้เข้าไปเก็บใน Cache ของเบราว์เซอร์เหยื่อล่วงหน้า, Register Session, เลือกคำสั่งที่ตรงกับเบราว์เซอร์ของเหยื่อ และคัดลอกคำสั่งนั้นไปยัง Clipboard ทันทีที่หน้าเว็บถูกเปิดขึ้น

มัลแวร์ที่ถูกซ่อนไว้ใน Cache ของเบราว์เซอร์

ในรายงานฉบับใหม่ SOCRadar ระบุว่า พบแคมเปญ ClickFix ของ DOUBLECUP ที่ใช้หน้าต่าง CAPTCHA ปลอมบนหน้าเข้าสู่ระบบที่ปลอมเป็นของ NetSuite, Odoo, HubSpot และ Salesforce โดยโค้ดอันตรายจะถูกโหลดผ่าน iframe ที่ฝังอยู่ในหน้าเว็บ

เมื่อเหยื่อเข้าชมเว็บไซต์เหล่านี้ DOUBLECUP จะ Register Session, ตรวจสอบ IP Address ของเหยื่อ และบังคับให้เบราว์เซอร์ดาวน์โหลดไฟล์ภาพ PNG อันตรายมาเก็บไว้ใน Cache

จากนั้นหน้าเว็บจะแสดงคำแนะนำในรูปแบบ CAPTCHA ปลอม เพื่อพยายามหลอกให้ผู้เข้าชมวาง และรันคำสั่งที่ถูกคัดลอกไปยัง Clipboard โดยอัตโนมัติ

เมื่อคำสั่งถูกรัน มันจะค้นหาไฟล์ PNG ใน Cache ของเบราว์เซอร์โดยอ้างอิงจากขนาดไฟล์ที่ตรงกันพอดี แล้วใช้คำสั่ง `findstr` หรือ `certutil` ในการดึง และรัน Payload ขั้นแรกที่ซ่อนอยู่ภายในไฟล์ภาพนั้น

Payload ตัวแรกจะเรียกใช้งาน Dropper ในขั้นตอนที่สองแบบ Fileless ซึ่งจะดึง IPv4 Address ของเหยื่อออกมา และนำไปใช้สร้างคีย์ถอดรหัสสำหรับ Payload ตัวสุดท้ายที่ถูกเข้ารหัสไว้

หลังจากตรวจสอบ Payload ที่ถอดรหัสแล้วเทียบกับค่า SHA-256 Hash ที่ถูกฝังไว้ในโค้ด Dropper จะรัน Payload ดังกล่าวในหน่วยความจำ โดย SOCRadar ระบุว่า Payload ตัวสุดท้ายได้แก่ CountLoader และ DeviceManager RAT ตัวใหม่

Payload มัลแวร์ 2 ตระกูล

SOCRadar ระบุว่า พบมัลแวร์ 2 ตระกูลที่ถูกปล่อยผ่าน DOUBLECUP ได้แก่ CountLoader เวอร์ชันอัปเดต ที่มุ่งเป้าโจมตีทั้ง Windows และ macOS และ DeviceManager RAT ซึ่งเชื่อว่าเป็นมัลแวร์ที่ยังไม่เคยมีการบันทึกข้อมูลไว้มาก่อน

CountLoader ถูกใช้เพื่อเก็บรวบรวมข้อมูลเกี่ยวกับระบบที่ติดมัลแวร์, ตรวจสอบว่ามีแอปพลิเคชันกระเป๋าเงินคริปโต และ Extension ของเบราว์เซอร์อยู่หรือไม่, ตรวจสอบว่ามีการติดตั้ง Signal Desktop ไว้หรือไม่ รวมถึงสร้างช่องทางการเข้าถึงระบบ (Persistence) ผ่าน Scheduled Task

นอกจากนี้ CountLoader ยังสามารถดาวน์โหลด และรันไฟล์ได้ทั้งแพ็กเกจ MSI, โมดูล PowerShell และไฟล์ DLL

SOCRadar ยังได้เก็บตัวอย่างเวอร์ชันสำหรับ macOS ที่คอมไพล์มาสำหรับอุปกรณ์ Intel และ Apple Silicon ซึ่งจะติดตั้ง LaunchAgent เพื่อรักษาการเข้าถึงระบบ และใช้เครื่องมือที่ติดมากับระบบอย่าง `curl`, `sw_vers`, `system_profiler` และ `ioreg` ในการติดต่อกับเซิร์ฟเวอร์ที่ผู้โจมตีควบคุมอยู่

DOUBLECUP ยังถูกพบว่ามีการปล่อยมัลแวร์ DeviceManager ซึ่งเป็น RAT บน Windows ที่พัฒนาด้วย Python และทำงานแบบแยกโมดูล โดยใช้ Smart Contract บน Blockchain ในการระบุ IP Address ของเซิร์ฟเวอร์ Command-and-Control (C2)

ในประเทศที่ไม่ได้เป็นสมาชิกเครือรัฐเอกราช (CIS) DeviceManager จะเก็บรวบรวมข้อมูลดังต่อไปนี้

• Machine GUID ของเครื่อง
• ตัวระบุของดิสก์ (Disk Identifier)
• SID ของผู้ใช้งาน
• Hostname
• ชื่อผู้ใช้งาน
• เวอร์ชันของระบบปฏิบัติการ
• สถาปัตยกรรมของระบบ
• ซอฟต์แวร์แอนติไวรัสที่ติดตั้งอยู่
• ข้อมูลของโดเมน

มัลแวร์ตัวนี้ใช้เทคนิคที่เรียกว่า EtherHiding ในการดึง C2 Address ปัจจุบันออกมาจาก Smart Contract บน Ethereum หรือ Polygon ซึ่งทำให้สามารถต่อต้านความพยายามในการปิดกั้นระบบได้มากยิ่งขึ้น

RAT ตัวนี้ใช้ DNS A Record และ TXT Record ในการขโมยข้อมูลของระบบ, รับคำสั่งมาเพื่อสั่งรัน, ดาวน์โหลด Payload รวมถึงส่งผลลัพธ์ของคำสั่งกลับไปยังผู้โจมตี

ทั้งนี้ไม่ใช่ครั้งแรกที่การโจมตีแบบ ClickFix มีการใช้งานเทคนิคซ่อนข้อมูลในไฟล์ภาพ (Steganography) เนื่องจากก่อนหน้านี้ Huntress เคยบันทึกข้อมูลแคมเปญที่ซ่อน Payload ของ LummaC2 และ Rhadamanthys ไว้ในข้อมูลพิกเซลของไฟล์ภาพ PNG มาแล้ว

ที่มา : bleepingcomputer