AmnesiaStealer มัลแวร์บน macOS ตัวใหม่ ทำการควบคุม Session Browser ผ่าน Remote Control

 

มัลแวร์ขโมยข้อมูลตัวใหม่ชื่อ AmnesiaStealer ซึ่งมุ่งเป้าไปที่ผู้ใช้ macOS ผ่านการโจมตีแบบ ClickFix มาพร้อมกับ Streaming Module ที่ช่วยให้ผู้โจมตีสามารถเข้ามาควบคุมเว็บ Browser ของเหยื่อได้โดยตรงแบบ Interactive

ความสามารถที่โดดเด่นอย่างหนึ่งคือ การคัดลอกโปรไฟล์ Chromium ของเหยื่อ รวมถึงสถานะการยืนยันตัวตน (ล็อกอินค้างไว้) แล้วนำไปโหลดใน Browser ที่ซ่อนการทำงานอยู่เบื้องหลังบนระบบที่ติดมัลแวร์

วิธีนี้ช่วยให้แฮ็กเกอร์สามารถเข้าถึง Session การใช้งานต่าง ๆ ของเหยื่อที่ล็อกอินไว้แล้วได้ โดยที่ยังคงสถานะการระบุตัวตนต่าง ๆ ที่เกี่ยวข้องกับตัว Browser, เครื่อง Host และเครือข่ายเดิมไว้ทั้งหมด

AmnesiaStealer สามารถเก็บรวบรวมข้อมูลจากเว็บ browser ที่ใช้ Engine Chromium ได้ถึง 16 ตัว รวมถึงข้อมูลสำคัญอื่น ๆ เช่น รหัสผ่าน, Crypto wallet, Apple Notes, Documents และข้อมูลจาก Keychain

ปัจจุบันมัลแวร์ตัวนี้ถูกแพร่กระจายผ่านแคมเปญ ClickFix โดยใช้หน้าเพจดาวน์โหลด GitHub ปลอม เพื่อหลอกให้ดาวน์โหลดไฟล์ ZIP ที่มีการตั้งรหัสผ่านป้องกันไว้

 

นักวิจัยจาก Jamf ซึ่งเป็นบริษัทด้านการจัดการ และความปลอดภัยของอุปกรณ์ Apple ได้วิเคราะห์รูปแบบการแพร่กระจายของ AmnesiaStealer และพบว่ามันใช้ Template เดียวกันกับที่เคยใช้แพร่กระจายมัลแวร์ขโมยข้อมูลอย่าง Atomic และ MacSync มาก่อน

คำสั่งของ ClickFix จะทำการรันตัว Loader ที่เป็น Shell-script เพื่อดาวน์โหลด และเปิดไฟล์เก็บถาวรที่เข้ารหัสผ่านไว้ ซึ่งภายในมี Mach-O payload ของ AmnesiaStealer ซ่อนอยู่

มัลแวร์จะทำการดักจับรหัสผ่าน macOS ของเหยื่อ และนำไปใช้ดึงข้อมูลจาก Keychain รวมถึงโปรไฟล์ Browser, Apple Notes, Session ของ Telegram, ไฟล์ Documents, ข้อมูลระบบ และข้อมูล Crypto wallet

 

นักวิจัยชี้ให้เห็นว่ามัลแวร์ตัวนี้มีองค์ประกอบที่เรียกว่า stream_module ซึ่งถูกเรียกใช้งานผ่านคำสั่ง remote_stream โดยจะช่วยให้ผู้ควบคุมสามารถควบคุม Session ที่ล็อกอินไว้แล้วจากระยะไกล ผ่าน Instance ของ Browser แบบ headless

ข้อมูลจาก Jamf ระบุว่า stream_module ของ AmnesiaStealer สามารถ Cloned โปรไฟล์ของผู้ใช้ใน Browser ตระกูล Chromium ได้ถึง 7 ตัว ได้แก่ Google Chrome, Microsoft Edge, Vivaldi, Arc, Opera, Brave และ Chromium เนื่องจาก Browser เหล่านี้ใช้ DevTools Protocol, Flags คำสั่งตอนเปิดโปรแกรม และระบบเข้ารหัส Cookie ในรูปแบบเดียวกัน

Module ดังกล่าวจะเปิดโปรแกรม Browser ที่ถูกต้องขึ้นมาในโหมด headless โดยใช้คำสั่ง command-line switch เพื่อลดระดับการป้องกันของ Browser ลง, ทำการ Cloned โปรไฟล์ของเหยื่อ และกำหนด Location สำหรับบันทึกข้อมูลโปรไฟล์นั้น

จากนั้นมัลแวร์จะสร้างช่องทางการเชื่อมต่อ WebSocket เพื่อเชื่อมโยงไปยังเซิร์ฟเวอร์ Relay ของแฮ็กเกอร์ และส่งข้อความลงทะเบียนในรูปแบบ JSON ซึ่งประกอบด้วยชื่อและเวอร์ชัน Build ของ Browser

แฮ็กเกอร์จะสามารถส่งคำสั่งผ่านช่องทางนี้ได้ เช่น การเปลี่ยนหน้าเว็บ และการคลิกเมาส์ ในขณะที่มัลแวร์จะส่งข้อมูลสถานะ และข้อมูลแท็บกลับมาในรูปแบบ JSON รวมถึงส่งภาพหน้าจอกลับมาเป็นข้อความ Binary ผ่าน WebSocket

นอกจากนี้ยังมีการเชื่อมต่อ WebSocket ช่องทางที่สองเข้ากับตัว Chromium ที่รันแบบ headless ในเครื่องเหยื่อผ่าน webSocketDebuggerUrl ของ Browser ทำให้สามารถเข้าถึง Chrome DevTools Protocol (CDP) ได้

พฤติกรรมนี้อาจให้แฮ็กเกอร์สามารถท่องเว็บไซต์ต่าง ๆ โดยใช้เมาส์ และคีย์บอร์ดควบคุม, ทำการนำเข้า หรือส่งออก Cookies และเข้าใช้งานเว็บไซต์ออนไลน์ต่าง ๆ ผ่าน Session ที่เหยื่อเคยล็อกอินทิ้งไว้ได้เลย

Jamf อธิบายว่า “แฮ็กเกอร์จะได้รับภาพหน้าจอแบบ Live Streaming ของ Session นั้นในอัตราประมาณ 3fps และสามารถควบคุมได้เต็มรูปแบบ ทั้งคีย์บอร์ด, เมาส์, การเลื่อนหน้าจอ, การเปลี่ยนหน้าเว็บ และการจัดการแท็บ”

"ในทางปฏิบัติ คำสั่ง remote_stream จะเปลี่ยนเครื่องที่ติดมัลแวร์ให้กลายเป็น Browser ที่แฮ็กเกอร์เข้ามาควบคุมได้แบบ Real-time และใช้งานผ่าน Session ที่ถูกต้องของเหยื่อ ซึ่งถือเป็นระดับการเข้าถึงข้อมูลที่ลึกกว่าแค่การดึงไฟล์ข้อมูลออกไปอย่างสิ้นเชิง"

 

นักวิจัยระบุว่า AmnesiaStealer สามารถขโมย Cookies, ข้อมูลล็อกอินที่บันทึกไว้, ประวัติการเข้าเว็บ, Bookmarks, Extensions, ข้อมูล Local State และข้อมูลโปรไฟล์อื่น ๆ จาก Browsers ตระกูล Chromium ทั้ง 16 ตัวที่เป็นเป้าหมายได้

นอกจากนี้ มันยังสามารถขโมยรายละเอียดของ Crypto wallet โดยระบุเป้าหมายจากการไล่เช็ก Extensions และข้อมูลใน IndexedDB

Jamf ตั้งข้อสังเกตว่า มัลแวร์ตัวนี้มีกลไกสำรองในกรณีที่รันบน macOS 26 และไม่สามารถกู้คืน Chrome Safe Storage key เดิมได้ มัลแวร์จะใช้วิธีแทนที่ Key ดังกล่าวด้วยค่าที่แฮ็กเกอร์เตรียมไว้แทน

การกระทำดังกล่าวส่งผลให้ Cookies และรหัสผ่านที่เคยถูกบันทึกไว้ก่อนหน้านี้ไม่สามารถอ่านได้อีกต่อไปอย่างถาวร แต่ในขณะเดียวกันก็ช่วยให้แฮ็กเกอร์สามารถนำไปถอดรหัสข้อมูลได้ในภายหลัง

ที่ผ่านมา Chrome DevTools Protocol (CDP) เคยถูกมัลแวร์นำไปใช้ในการโจมตีมาแล้ว เช่น Chaos Ransomware ที่ใช้เพื่อซ่อนการสื่อสารกับเซิร์ฟเวอร์ C2  และมัลแวร์ Chaes ที่ใช้ควบคุมฟังก์ชันของ Browser เพื่อเปิดช่องทางในการขโมยข้อมูล

อย่างไรก็ตาม AmnesiaStealer ถือเป็นมัลแวร์บน macOS ตัวแรกที่มีรายงานว่าสามารถรวมการ Cloned โปรไฟล์ Chromium เข้ากับการควบคุมจากระยะไกลแบบ Real-time ผ่าน CDP ซึ่งช่วยให้แฮ็กเกอร์สามารถเข้ามาโต้ตอบกับ Sessions ที่ล็อกอินค้างไว้ ผ่าน Browser ที่ซ่อนการทำงานอยู่บนคอมพิวเตอร์ที่ติดมัลแวร์ได้อย่างแนบเนียน

ผู้ใช้ได้รับคำแนะนำว่า ไม่ควรนำคำสั่งที่พบบนอินเทอร์เน็ตไปรันใน Terminal เด็ดขาด หากไม่เข้าใจการทำงานของคำสั่งนั้นอย่างแท้จริง

ที่มา : bleepingcomputer