พบมัลแวร์ตัวใหม่ระบาดผ่าน Whatsapp ในหลายประเทศ ด้วยการเนียนเป็นเอกสารธุรกิจปลอม

เมื่อพูดถึงแอปพลิเคชันแชทยอดนิยมที่สุดในไทยคงจะหนีไม่พ้น LINE แต่ถ้าเป็นระดับโลก ก็ต้องเป็น Whatsapp อย่างแน่นอน และด้วยความนิยมนี่เอง ตัวบริการแชทนี้ก็ได้กลายมาเป็นตัวกลางในการแพร่กระจายมัลแวร์ของแฮกเกอร์อีกด้วย และในครั้งนี้ก็เป็นอีกครั้งหนึ่งที่แอปนี้ต้องตกเป็นข่าว

จากรายงานโดยเว็บไซต์ Windows Report ได้กล่าวถึงการที่ทีมวิจัยจาก Kaspersky บริษัทผู้พัฒนาซอฟต์แวร์แอนตี้ไวรัสชื่อดัง ได้พบแคมเปญการแพร่กระจายมัลแวร์ผ่านทางแอปพลิเคชัน Whatsapp ซึ่งเป็นการหลอกลวงแบบ Phishing โดยแฮกเกอร์จะตีเนียนเป็นธุรกิจ หรือผู้ที่ติดต่อที่น่าเชื่อถือ (Trusted Contract) ซึ่งหลังจากที่เหยื่อตอบรับ แฮกเกอร์ก็จะอ้างว่ามีเอกสารเกี่ยวกับการเงิน เช่น รายงานการเงิน, สเตทเมนต์, และเอกสารธุรกิจอื่น ๆ เป็นแบบไฟล์แนบให้เหยื่อเปิด แต่แท้จริงแล้วไฟล์นั้นคือไฟล์สคริปท์แบบ VBScript สำหรับใช้เปิดบนระบบปฏิบัติการ Windows

ซึ่งในการทำงานของมัลแวร์นั้น หลังจากที่เหยื่อรันไฟล์ดังกล่าวขึ้นมาแล้ว ตัวสคริปท์จะทำการติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) เพื่อดาวน์โหลดองค์ประกอบ (Component) ของมัลแวร์ลงมาบนเครื่อง หลังจากนั้นสคริปท์ตัวที่ 2 ก็จะเข้าปรับเปลี่ยนส่วนของ Windows Registry เพื่อให้ระบบป้องกันของ User Account Control (UAC) อ่อนแอลง ซึ่งจะนำไปสู่ขั้นถัดไปนั่นคือ สคริปท์จะทำการดาวน์โหลดไฟล์บีบอัดแบบ Zip ที่ภายในนั้นมีเครื่องมือสำหรับการควบคุมระบบจากระยะไกล (Remote Management Tool) ที่มีชื่อว่า ManageEngine Endpoint Central ซึ่งเครื่องมือนี้ตามปกตินั้นมักจะเป็นเครื่องมือที่แผนกไอทีใช้ในการเข้าควบคุมเพื่อจัดการซ่อมบำรุงเครื่องของพนักงานในบริษัท แต่แฮกเกอร์ได้เอามาใช้งานในทางที่ผิดเพื่อควบคุมเครื่องของเหยื่อแทนในกรณีนี้

ทางทีมวิจัยได้ทำการตรวจสอบในเชิงลึกแล้วพบว่าไฟล์เอกสารแอบอ้างนั้นมีการทำในแบบมากมายหลานภาษา ทำให้คาดว่าแคมเปญนี้ไม่ได้จำกัดอยู่ในบริเวณเขตในเขตหนึ่ง แต่มีเป้าหมายเป็นการโจมตีไปทั่วโลก ซึ่งประเทศที่มีการยืนยันว่ามีการระบาดแล้วนั้นประกอบด้วย บราซิล, อินเดีย, เม็กซิโก, สิงคโปร์, ไต้หวัน, สเปน, ออสเตรเลีย, รัสเซีย, เวียดนาม, มาเลเซีย, และ สหราชอาณาจักร ซึ่งเรียกได้ว่ามากมายหลากหลายมากเลยทีเดียว นอกจากนั้นทางทีมวิจัยยังได้ทำการตรวจสอบโครงสร้างพื้นฐานที่เกี่ยวข้องพบว่ามีการใช้งานภาษาจีนเป็นหลัก ทั้งยังมีการใช้งานร่วมกับมัลแวร์ประเภทเข้าควบคุมเครื่องจากระยะไกล (RAT หรือ Remote Access Trojan) แต่ก็ยังไม่สามารถยืนยันตัวผู้อยู่เบื้องหลังที่แท้จริงได้ในขณะนี้