พบ Extension บน Chrome และ Edge จำนวน 19 รายการ ฝังโค้ดขโมยข้อมูล Wallet และดูดเงินคริปโต

นักวิจัยด้านความปลอดภัยไซเบอร์ได้ค้นพบกลุ่มของ Extension บน Google Chrome จำนวน 18 รายการ และบน Microsoft Edge อีก 1 รายการ ซึ่งถูกเผยแพร่ในช่วง 6 เดือนที่ผ่านมา และมีความสามารถในการขโมยข้อมูล secret ของ Wallet รวมถึงดูดเงินคริปโตเคอร์เรนซี

Karlo Zanki นักวิจัยด้านความปลอดภัยจาก Socket ระบุว่า Extension เหล่านี้มีความคล้ายคลึงกันทั้งในส่วนของโค้ด และรูปแบบวิธีการโจมตีโดยมีหลักฐานบ่งชี้ว่า แคมเปญดังกล่าวอาจมีการดำเนินการมาตั้งแต่เดือนกุมภาพันธ์ 2024 ซึ่ง Socket ได้ติดตามกิจกรรมนี้ภายใต้ชื่อ Superior

รูปแบบการดำเนินการค่อนข้างตรงไปตรงมา โดยกลุ่มผู้โจมตีจะใช้วิธีเข้าซื้อ Extension ที่ถูกต้อง ซึ่งมีฟังก์ชันการทำงานตามปกติ หรือไม่ก็เผยแพร่เวอร์ชันที่ปราศจากมัลแวร์ออกมาก่อน จากนั้นเมื่อ Extension เริ่มมียอดดาวน์โหลดจากผู้ใช้งาน จึงค่อยเผยแพร่เวอร์ชันใหม่ที่มีพฤติกรรมที่เป็นอันตรายออกมา

จาก Extension ทั้งหมดที่ตรวจพบ มีจำนวน 14 รายการที่ถูกสร้างขึ้นโดยกลุ่มผู้โจมตีเอง ส่วนอีก 5 รายการที่เหลือเป็นการซื้อต่อมาจากเจ้าของเดิม โดยรายชื่อ Extension ทั้งหมดมีดังต่อไปนี้

Extension ที่กลุ่มผู้โจมตีซื้อต่อมา

• koccklolohdacbfooifnpebakpbeipc - Enable Right Click & Copy — Smart Unlock + OCR
• fegckejpfnlmfgkfjpinlbgmeeijjkel - RapidLens - Google Lens for Screen Search & Images
• kdenlnncndfnhkognokgfpabgkgehodd - QuickLens - Search Screen with Google Lens
• jamminefolhgepgihbmcjjhgldbfcikp - Password Protect PDF
• inmkjedjdhgpknjogbjomhnbgdccckkg - Allow Copy - Select & Enable Right Click (Microsoft Edge)

Extension ที่กลุ่มผู้โจมตีสร้างและเผยแพร่ขึ้นเอง

• fcgdejjichpgfaaafflplhfijcnieopb - PixelCheck
• cfpnjdbpojpcongfaefcamjbaolpelcd - Creative Library - Ad Spy Tool
• aapdalkmclfaahehnmicbglkohkldhne - Website Traffic Checker: MirrorSphere SEO Stats
• dkdadldmiefjldmegbjbnhhfddnkhlhm - Site Signal - Website Traffic & SEO Checker
• fjmlhlkccegopebcllcmafahkmeejpph - SEO Pulse Pro - Website Traffic & SEO Analyzer
• iekoapohahgmogbagegmcgplbkikcgke - Private Crypto News Reader
• ahpnnnjbnfbhoikhohglpohnoocjcoco - Blockfolio: Address Monitor
• oeacadlaclegkkkdehjmiifnjhcekclj - Crypto Rates & Fiat Converter
• jmlgannjlbliikgcaieomgmcnfplglea - Crypto Alerter: Price Alarms & Volatility Warnings
• lhmcajhgadanidbopgaoobjlldegjmke - DeFi Pulse Tracker
• gfackggoapepdmnjnkblogdcjpgcjiak - Crypto Price Badge: Quick Glance
• hfijkbdkpidafdbeebnnkhfccildbcle - Multi-Chain Explorer
• cngchfbfgejllcbhmeadjhiebebiome - LedgerLook: Wallet Checker
• aodkjdeghbjiaienipfjkbpcikkacbcp - Meta & Facebook Ad Library Spy — Save Ads, Finder, Downloader | FeedX-Ray

ทั้งนี้ Extension ที่ชื่อ "QuickLens - Search Screen with Google Lens" เคยถูกแจ้งเตือนมาแล้วโดยทั้ง Annex Security และ monxresearch-sec เมื่อช่วงต้นปีนี้ ซึ่งได้ระบุถึงความสามารถในการส่งมัลแวร์ต่อไปยังผู้ใช้งาน, การ Inject โค้ดได้ตามที่ต้องการ และการเก็บรวบรวมข้อมูลที่มีความสำคัญ

ผลการตรวจสอบล่าสุดจาก Socket แสดงให้เห็นว่า พฤติกรรมดังกล่าวมีขอบเขตกว้างกว่าที่เคยคาดการณ์ไว้ และมีการดำเนินการมาอย่างต่อเนื่องตั้งแต่เดือนกุมภาพันธ์ 2024 โดยบางส่วนของแคมเปญนี้เคยถูกบันทึกไว้โดย DomainTools Investigations เมื่อเดือนพฤษภาคม 2025

ในช่วงเวลาดังกล่าว มีการตรวจพบว่ากลุ่มผู้โจมตีได้สร้างเว็บไซต์ปลอมที่แอบอ้างเป็นบริการที่ถูกต้อง, เครื่องมือเพิ่มประสิทธิภาพการทำงาน, ผู้ช่วยสำหรับสร้าง หรือวิเคราะห์โฆษณา และสื่อ, บริการ VPN รวมถึงเครื่องมือด้านคริปโตเคอร์เรนซี หรือด้านธนาคาร เพื่อหลอกให้ผู้ใช้งานติดตั้ง Extension ที่เป็นอันตรายจาก Chrome Web Store

DomainTools Investigations ระบุว่า "โดยทั่วไปแล้ว Extension เหล่านี้จะมีการทำงานสองรูปแบบ คือภายนอกดูเหมือนจะทำงานได้ตามที่ควรจะเป็น แต่ในขณะเดียวกันก็เชื่อมต่อไปยังเซิร์ฟเวอร์ที่เป็นอันตรายเพื่อส่งข้อมูลของผู้ใช้งาน, รับคำสั่ง และรันโค้ดได้ตามที่ต้องการ"

Extension ที่มีโอกาสสร้างผลกระทบมากที่สุดคือ "Enable Right Click & Copy — Smart Unlock + OCR" ซึ่งมียอดติดตั้งรวมกันถึง 80,000 ราย ทั้งบนเบราว์เซอร์ Chrome และ Edge นอกจากนี้ Extension แต่ละรายการยังรองรับความสามารถในการติดต่อกับเซิร์ฟเวอร์ Command-and-Control (C2) และสร้างการเชื่อมต่อแบบ WebSocket ที่คงอยู่อย่างต่อเนื่องได้อีกด้วย

Zanki อธิบายว่า "สิ่งที่น่าสังเกตคือ Loading Framework ดังกล่าวรองรับการหมุนเวียนเปลี่ยน C2 Endpoint ตามคำสั่งที่ได้รับมาจากเซิร์ฟเวอร์ C2 ตัวแรก และพฤติกรรมนี้ถูกพบในการโจมตีจริงแล้ว"

"ความสามารถดังกล่าวทำให้กลุ่มผู้โจมตีสามารถกระจายเหยื่อออกไปยังกลุ่มต่าง ๆ และโครงสร้างพื้นฐาน C2 เฉพาะของแต่ละกลุ่มได้ อีกทั้งยังช่วยลดความเสี่ยงในการถูกตรวจจับ นอกจากนี้ Endpoint ที่ใช้ขโมยข้อมูลออกไปก็ยังได้รับมาแบบไดนามิกจากคำสั่งของ C2 ด้วยเช่นกัน ซึ่งทำให้สามารถสร้างช่องทางการขโมยข้อมูลแยกตามเหยื่อแต่ละรายได้"

เช่นเดียวกับที่พบในกรณีของ QuickLens โค้ดที่เป็นอันตรายซึ่งฝังอยู่ใน Extension จะทำการลบ Header ของ Content Security Policy (CSP) ออกจากทุกหน้าเว็บ และเอื้อให้สามารถ Inject โมดูลโค้ด JavaScript ลงบนเว็บไซต์เป้าหมายผ่าน Content Script ได้ โดยมีการตรวจพบโมดูลทั้งหมด 16 โมดูล ซึ่งครอบคลุมหมวดหมู่ดังต่อไปนี้

• มัลแวร์ดูดเงินคริปโตจาก Wallet แบบ Multi-chain (Wallet Drainer)
• เครื่องมือเก็บรวบรวม Seed Phrase ของ Hardware Wallet
• เครื่องมือเก็บรวบรวมบัญชีผู้ใช้ของกระดานเทรดคริปโตเคอร์เรนซี และ Wallet
• เครื่องมือดักจับข้อมูลยืนยันตัวตน หรือแบบฟอร์ม (Form) แบบครอบคลุมทั่วไป
• เครื่องมือขโมยบัญชีผู้ใช้ Facebook และ LinkedIn
• เครื่องมือขโมยประวัติการเข้าชมเว็บไซต์บนเบราว์เซอร์
• เหยื่อล่อในรูปแบบ ClickFix

โดยโมดูล ClickFix จะ Inject การแจ้งเตือนให้อัปเดตเว็บเบราว์เซอร์ปลอมเข้าไป และใช้คำสั่งที่แตกต่างกันไปตามระบบปฏิบัติการ เพื่อหลอกให้ผู้ใช้งานคัดลอก และวางคำสั่งที่เป็นอันตราย

ปัจจุบันยังไม่ทราบแน่ชัดว่าใครอยู่เบื้องหลังแคมเปญนี้ แต่การที่สามารถดำเนินการได้สำเร็จมานานกว่าสองปี แสดงให้เห็นว่าเป็นกลุ่มผู้โจมตีที่มีความสามารถสูงมาก

Zanki ระบุว่า "ความเสี่ยงที่ใหญ่ที่สุดสำหรับผู้ใช้งานคือ เทคนิคการดำเนินการที่กลุ่มผู้โจมตีสามารถเข้าซื้อ Extension ที่ถูกต้องได้สำเร็จ แล้วปล่อยเวอร์ชันใหม่ที่เพิ่มความสามารถที่เป็นอันตรายเข้าไป และแนวทางดังกล่าวเมื่อรวมเข้ากับการตั้งค่าอัปเดต Extension แบบค่าเริ่มต้นของ Chrome ซึ่งจะทำการอัปเดตอัตโนมัติไปยัง Extension เวอร์ชันล่าสุด จึงกลายเป็นช่องทางที่ทรงพลังสำหรับกลุ่มผู้โจมตีในการขยายผลกระทบ และการเข้าถึงจากการซื้อ Extension ดังกล่าวให้ได้มากที่สุด"

ที่มา : thehackernews