ตรวจพบเฟรมเวิร์กมัลแวร์สำหรับทำ ClickFix ตัวใหม่ Exvicy แท้จริงแล้วแค่ลอกโค้ดของ ErrTraffic มาย้อมแมวอีกที

ในวงการการพัฒนามัลแวร์นั้น มัลแวร์หลายตัวมักจะเป็นการลอกมาจากตัวเก่าเอามาดัดแปลงใหม่นิดหน่อย และในกรณีนี้ก็เรียกว่าเป็นเคสตัวอย่างหนึ่งที่คุณสามารถเห็นได้บ่อย ๆ

จากรายงานโดยเว็บไซต์ SCWorld ได้กล่าวถึงการตรวจพบมัลแวร์แบบเฟรมเวิร์ก (Framework) ที่ใช้สำหรับการทำหน้าจอหลอกลวงเพื่อให้เหยื่อติดตั้งมัลแวร์ตัวอื่น หรือ ClickFix ที่มีชื่อว่า Exvicy ซึ่งถูกขายอยู่ในรูปแบบของมัลแวร์แบบเช่าใช้ (MaaS หรือ Malware-as-a-Service) โดยทางทีมวิจัย Threat Detection & Research จากบริษัท Sekoia บริษัทผู้พัฒนาแพลตฟอร์มรักษาความปลอดภัยไซเบอร์ด้วยปัญญาประดิษฐ์ (AI หรือ Artificial Intelligence) มัลแวร์ตัวนี้ได้ถูกโฆษณาอยู่บนเว็บบอร์ดใต้ดิน Exploit.IN ในราคา 1,200 ดอลลาร์สหรัฐ (40,263.58 บาท) ถึง 2,000 ดอลลาร์สหรัฐ (67,105.96 บาท) ต่อเดือน

ตัวมัลแวร์ดังกล่าวนั้นมีความสามารถในการยิง (Injection) โค้ด JavaScript ลงไปยังเว็บไซต์ที่ถูกสร้างขึ้นบน Wordpress เปลี่ยนเป็นหน้าตรวจสอบของ Cloudflare (ปลอม) หลอกให้เหยื่อคัดลอกโค้ดไปรันเพื่อติดตั้งมัลแวร์ตัวอื่นที่แฮกเกอร์วางกับดักไว้ โดยมัลแวร์ ClickFix ตัวนี้สนับสนุนการใช้งานมากถึง 13 ภาษา ถึงแม้หลายอย่างบนโฆษณาจะดูดีสำหรับผู้ใช้งาน แต่สิ่งที่ทีมวิจัยตรวจพบกลับพบว่า แท้จริงแล้วมัลแวร์ตัวนี้มีการคัดลอกองค์ประกอบของมัลแวร์ที่คล้ายกันอย่าง ErrTraffic มาเป็นจำนวนมาก ต่างกันเพียงอย่างเดียวคือมัลแวร์ ErrTraffic นั้นใช้การซ่อนที่อยู่ของเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) บนเครือข่ายบล็อกเชน (Blockchain) Polygon ขณะที่ Exvicy นั้นใช้แบบค่าคงที่ หรือ Hardcoded แทน ซึ่งทางทีมวิจัยคาดว่าทีมพัฒนาอาจได้รับตัวโค้ดต้นฉบับ (Source Code) จากโค้ดที่รั่วไหลออกมาสู่สาธารณะ