มัลแวร์ ClickLock ใหม่บน macOS หลอกให้ผู้ใช้เปิดเผยรหัสผ่านสำหรับการล็อกอิน

 

มัลแวร์ขโมยข้อมูล (Information-Stealing) ตัวใหม่บน macOS ที่มีชื่อว่า ClickLock จะทำการบังคับปิดโปรแกรม และ Processes ที่มองเห็นได้ทั้งหมด เพื่อบีบให้ผู้ใช้ต้องกรอกรหัสผ่านสำหรับการล็อกอินเข้าสู่ระบบ

มัลแวร์นี้ถูกออกแบบมาเพื่อขโมย Cryptocurrency assets, ข้อมูล Login credentials, ข้อมูลจากโปรแกรม Password-manager, ข้อมูล Browser และข้อมูลการยืนยันตัวตนของ macOS อีกทั้งยังสามารถติดตั้ง Backdoor แบบแฝงตัวถาวร เพื่อให้สามารถแอบเข้าถึงระบบที่ติดมัลแวร์จากระยะไกลได้อย่างต่อเนื่อง

นักวิจัยจาก Group-IB ได้ทำการวิเคราะห์ Shell script ของ ClickLock หลังจากพบมัลแวร์ดังกล่าวบน VirusTotal ซึ่งมีการส่งเข้ามาครั้งแรกเมื่อวันที่ 9 มิถุนายนที่ผ่านมา มัลแวร์นี้ยังสามารถหลบเลี่ยงการตรวจจับจากโปรแกรมรักษาความปลอดภัยทุกแบบบนแพลตฟอร์มดังกล่าวได้

การตรวจสอบเพิ่มเติมพบว่า สคริปต์ที่เป็นอันตรายนี้ได้แพร่กระจายไปติดระบบต่าง ๆ อย่างน้อย 100 ระบบใน 33 ประเทศ ตั้งแต่เดือนพฤษภาคมที่ผ่านมา

การโจมตีน่าจะเริ่มต้นจากการหลอกล่อด้วยเทคนิค ClickFix เนื่องจากนักวิจัยสังเกตพบการนำคำสั่งที่เป็นอันตรายไปวางลงใน Terminal ซึ่งจะไปทำให้มีการแสดงหน้าต่าง "การยืนยันตัวตนว่าเป็นมนุษย์ (Human verification)" ของ Cloudflare ปลอมที่มาพร้อมกับแถบแสดงความคืบหน้าแบบเคลื่อนไหว

ในเวลาเดียวกัน การสั่งหยุดทำงานด้วย Keyboard จะถูกปิดใช้งาน, Cursor บน Terminal จะถูกซ่อนไว้ และ Modules สำหรับขโมยข้อมูลจะถูกดาวน์โหลดอยู่เบื้องหลัง

นอกจากนี้ ระบบ NotificationCenter ของ macOS ยังถูกระงับการทำงานเป็นเวลาประมาณ 6 ชั่วโมง ซึ่งเป็นการปิดกั้นการแจ้งเตือนต่าง ๆ ที่อาจทำให้ผู้ใช้รู้ตัวว่ากำลังถูกโจมตีได้

 

การบังคับให้กรอกรหัสผ่าน

นักวิจัยจาก Group-IB เน้นย้ำว่า ClickLock ไม่จำเป็นต้องอาศัยช่องโหว่ของระบบ หรือการยกระดับสิทธิ์ใด ๆ แต่สามารถบรรลุเป้าหมายได้ด้วยการใช้ Social engineering และการสร้าง Loops เพื่อบังคับให้ผู้ใช้โต้ตอบ

ความสำเร็จของการโจมตีนี้เกิดจากกลไกของมัลแวร์ที่ใช้การบีบบังคับให้เหยื่อต้องกรอกรหัสผ่านระบบ macOS ของตนเข้าไป

Group-IB ระบุว่า ในขั้นแรกสคริปต์จะแสดงหน้าต่างสำหรับกรอกรหัสผ่าน macOS ปลอมขึ้นมา โดยใช้ Username ที่ถูกต้องของเหยื่อร่วมกับ Apple icon ที่ดาวน์โหลดมา

หากผู้ใช้ยอมกรอกรหัสผ่าน มัลแวร์จะทำการตรวจสอบความถูกต้องของข้อมูล จากนั้นจะแอบส่งข้อมูลดังกล่าวไปยังผู้โจมตีผ่านแอปพลิเคชัน Telegram

แต่ในกรณีที่ผู้ใช้กดยกเลิกหน้าต่างดังกล่าว มัลแวร์จะสร้างกลไกการแฝงตัวในระบบผ่านทาง LaunchAgents ของ macOS จำนวน 2 รายการ (com.authirity.plist และ com.chromer.plist) และจะโหลดตัวเองขึ้นมาทำงานใหม่ในการล็อกอินครั้งถัดไป

เมื่อมัลแวร์กลับมาทำงานอีกครั้ง Module ขโมยรหัสผ่านจะสั่งรันคำสั่งแบบ Loop เพื่อบังคับปิดโปรแกรมในทุก ๆ 210 มิลลิวินาที โดยมุ่งเป้าไปที่แอปพลิเคชันหลักของระบบ (เช่น Finder, Dock, Terminal, Activity Monitor, Console, System Settings, Spotlight และ Web browsers) พร้อมทั้งแสดงหน้าต่างกรอกรหัสผ่านบนหน้าจอเท่านั้น จนกว่าเหยื่อจะยอมทำตาม

Group-IB รายงานว่า Loop ที่บังคับการทำงานดังกล่าวถูกตั้งค่าให้ดำเนินการอย่างต่อเนื่องนานถึง 300,000 วินาที (ประมาณ 83 ชั่วโมง) หรือจนกว่าเหยื่อจะยอมใส่รหัสผ่านที่ถูกต้อง

 

LaunchAgent ตัวที่สองจะเรียกใช้งานกลไกการบีบบังคับที่แยกต่างหากออกไป ซึ่งจะทำการบังคับปิดแอปพลิเคชันระบบหลายตัวที่ได้กล่าวถึงไปแล้วเช่นเดียวกัน พร้อมทั้งร้องขอ Keychain authorization ผ่านทางหน้าต่างของระบบที่ถูกต้องตามปกติ เพื่อขออนุมัติในการเข้าถึง Safe Storage key ของ Chrome browser

จากนั้น Key ดังกล่าวจะสามารถนำไปใช้เพื่อถอดรหัสข้อมูลรหัสผ่าน, Cookies และข้อมูลการกรอกอัตโนมัติ (Autofill) ของ Browser ตระกูล Chromium ที่จัดเก็บแบบ Offline จากฐานข้อมูลที่ถูกขโมยมาได้

กลไกที่สองนี้มีระยะเวลาในการทำงานซ้ำทุก ๆ 200 มิลลิวินาที และถูกตั้งค่าให้ดำเนินการต่อเนื่องยาวนานถึงเกือบ 35 วัน (3 ล้านวินาที)

นอกจากนี้ ClickLock ยังมีการติดตั้ง Module สำหรับเก็บรวบรวมข้อมูล ซึ่งจะมุ่งเป้าไปที่ข้อมูลดังต่อไปนี้

• ข้อมูลจาก Browsers ทั้ง 8 ตัว ได้แก่ Chrome, Firefox, Brave, Edge, Opera, Vivaldi, Arc และ Chromium
• ข้อมูลสำหรับการล็อกอินที่บันทึกไว้, Cookies, ข้อมูลการกรอกอัตโนมัติ (Autofill), Bookmarks, พื้นที่จัดเก็บข้อมูลภายใน Local และพื้นที่จัดเก็บข้อมูล Session
• ข้อมูล Crypto wallet extensions และไฟล์ Wallet บน Desktop
• ข้อมูล Wallet ที่ถูกเข้ารหัสไว้ เพื่อนำไปใช้ในการพยายาม Cracking แบบ Offline
• ข้อมูล Extension ของโปรแกรม Password-manager
• ข้อมูล Crypto addresses ที่ถูก Cached ไว้ ครอบคลุมทั้ง EVM, Bitcoin, Solana, TRON, TON และ Stacks
• ประวัติการใช้งานคำสั่ง Shell
• การตั้งค่า FileZilla FTP และข้อมูลเซิร์ฟเวอร์ที่เชื่อมต่อล่าสุด
• ข้อมูลพื้นฐานของระบบ และหมายเลข IP Public

Module ที่เก็บรวบรวมข้อมูลจะทำการแพ็กข้อมูลที่รวบรวมมาได้พร้อมกับไฟล์ Summary log ให้อยู่ในรูปแบบไฟล์ ZIP archive จากนั้นจึงอัปโหลดข้อมูลดังกล่าวออกไปผ่านทาง Telegram Bot API

ไฟล์ที่มีขนาดใหญ่กว่า 40 MB จะถูกแบ่งออกเป็นส่วนย่อย ๆ ในขณะที่มีการใช้ Retry logic เพื่อให้มั่นใจว่าการอัปโหลดจะสามารถกลับมาทำงานต่อได้หากเครือข่ายเกิดการขัดข้องชั่วคราว

Module ส่วนสุดท้ายคือเครื่องมือ Open-source ที่ชื่อว่า GSocket ซึ่งถูกนำมาดัดแปลงให้ทำหน้าที่เป็น Backdoor แบบแฝงตัวถาวรสำหรับผู้โจมตี

Backdoor นี้จะสร้างกลไกการแฝงตัวในระบบผ่านหลายวิธี ซึ่งรวมถึงการใช้ LaunchAgent, การเพิ่มคำสั่งใน crontab และการปรับเปลี่ยนไฟล์ Shell config

มัลแวร์จะทำการเชื่อมต่อผ่านระบบ GSocket relay ซึ่งช่วยให้ผู้โจมตีสามารถเปิดการเชื่อมต่อแบบ Reverse shell และควบคุมระบบจากระยะไกลได้

สิ่งที่แตกต่างจาก Modules อื่น ๆ ของ ClickLock ที่จะลบตัวเองทิ้งหลังจากทำงานเสร็จสิ้นก็คือ GSocket เป็นเพียงองค์ประกอบเดียวที่จะยังคงแฝงตัวอยู่บนระบบที่ติดมัลแวร์

 

Group-IB แจ้งเตือนว่า "มัลแวร์มีช่วงเวลาที่เปิดโอกาสให้ระบบตรวจจับได้น้อยมาก" และตัว Payloads ที่เป็นอันตรายต่าง ๆ จะถูกนำไป Hosted ไว้บนโดเมนปกติที่ถูกเจาะระบบ ซึ่งยังคงมีประวัติความน่าเชื่อถือที่ดี

นอกจากนี้ สคริปต์ดังกล่าวยังไม่ถูกระบบของ VirusTotal ขึ้นสถานะว่าเป็นไฟล์อันตราย และ Modules ต่าง ๆ ของมัลแวร์จะทำการลบตัวเองทิ้งหลังจากการทำงานเสร็จสิ้น โดยไม่ทิ้งร่องรอย หรือ Artifacts ใด ๆ หลงเหลือไว้เลย

นักวิจัยระบุว่า การตรวจจับยังคงเป็นไปได้โดยพิจารณาจากพฤติกรรมการทำงานของมัลแวร์ เช่น การใช้คำสั่ง Osascript เพื่อเปิดหน้าต่างกรอกรหัสผ่าน, การบังคับปิด Process การทำงานต่าง ๆ ซ้ำ ๆ, การเข้าถึง Directories โปรไฟล์ของ Browser ทีละมาก ๆ และการเชื่อมต่อออกไปยัง API ของ Telegram

เพื่อป้องกันการโจมตีเหล่านี้ ผู้ใช้ควรหลีกเลี่ยงการนำคำสั่งที่ตนเองไม่เข้าใจไปวางลงใน Terminal โดยเฉพาะอย่างยิ่งหากคำสั่งนั้นมาจากเว็บไซต์

นักวิจัยระบุว่า "หน้าเว็บใดก็ตามที่สั่งให้คุณเปิด Terminal ไม่ว่าหน้าเว็บนั้นจะดูน่าเชื่อถือแค่ไหนก็ตาม ล้วนเป็นความพยายามที่จะเจาะระบบของคุณทั้งสิ้น"

หากมีหน้าต่างเด้งขึ้นมาให้กรอกรหัสผ่านสำหรับการล็อกอินในขณะที่ส่วนอื่น ๆ ของระบบดูเหมือนจะไม่ตอบสนองใด ๆ Group-IB แนะนำให้บังคับปิดเครื่อง (Force shutdown) โดยการกดปุ่ม Power ค้างไว้ จากนั้นให้ Boot เข้าสู่โหมดปลอดภัย (Safe Mode) เพื่อทำการกู้คืนระบบต่อไป

ที่มา : Bleepingcomputer