แฮกเกอร์จีนใช้ช่องโหว่ Zero-Day บน Chrome และ Windows เพื่อปล่อยมัลแวร์ CLEANGULP

หนึ่งในเว็บเบราว์เซอร์ที่โดนเจาะมากที่สุดก็คงจะหนีไม่พ้นเว็บเบราว์เซอร์ Chrome ของทาง Google เนื่องด้วยความนิยมของเว็บเบราว์เซอร์ตัวนี้ทำให้ทั้งแฮกเกอร์ และมัลแวร์นั้นมุ่งเล็งที่จะใช้ช่องโหว่ความปลอดภัยต่าง ๆ ในการเจาะเข้า อย่างเช่นในกรณีนี้

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบแคมเปญของกลุ่มแฮกเกอร์จากจีน UTA0565 ในการเจาะเว็บเบราว์เซอร์ Chrome ผ่านทางการใช้ช่องโหว่ที่เกิดขึ้นระหว่างการพัฒนา หรือ Zero-Day ผ่านทางการหลอกเหยื่อให้เข้าเว็บไซต์ปลอม เพื่อปล่อยมัลแวร์ไม่ระบุประเภทที่มีชื่อว่า CLEANGULP โดยมัลแวร์ตัวนี้นั้นมีความสามารถที่หลากหลายผ่านทางชุดคำสั่งต่าง ๆ เช่น

• Shell ใช้ในการรันคำสั่ง (Command)
• PS ใช้ในการทำรายชื่อของ Process ทั้งหมดที่รันอยู่
• Upload ใช้ในการอัปโหลดไฟล์บนเครื่องไปยังเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control)
• Download ใช้ในการดาวน์โหลดไฟล์มาจากเซิร์ฟเวอร์ C2
• BOF ใช้ในการรัน Beacon Object File (BOF)

โดยมัลแวร์ตัวนี้นั้นจะติดต่อกับเซิร์ฟเวอร์ C2 จากโดเมนที่ถูกบันทึกไว้เป็นค่าถาวร หรือ Hardcoded อยู่ภายในโค้ดของมัลแวร์ ชื่อ "thecovnresation[.]com” ซึ่งการตั้งชื่อโดเมนนั้นเป็นการตั้งเรียนแบบชื่อโดเมนของสถาบันด้านวิชาการที่ไม่แสวงหากำไรชื่อ "theconversation[.]com" โดยมีการพิมพ์ตัวอักษรสลับกันอยู่ไม่กี่ตัวอักษร

การใช้งานช่องโหว่บน Chrome และตัวระบบ Windows นั้นจะคล้ายคลึงกับแคมเปญการปล่อยมัลแวร์ GRIMWEDGE ที่ทางทีมข่าวเคยได้พูดถึงไปในสัปดาห์ที่แล้วเนื่องจากมีการใช้ช่องโหว่มากถึง 3 ช่องโหว่ คือ ช่องโหว่บน Chome 2 ตัว (CVE-2026-85046, CVE-2026-87491) และอีก 1 ตัวบนระบบ Windows Advanced Local Procedure Call (CVE-2026-85880) มาใช้งานในรูปแบบลูกโซ่ (Chain) เพื่อให้ตัวไฟล์มัลแวร์ (Payload) หนีออกจากสภาพแวดล้อมจำลอง (Sandbox) เพื่อมาติดตั้งตัวเองลงบนระบบ Windows

ในส่วนของแคมเปญนั้น ทางทีมวิจัยจาก Volexity บริษัทผู้เชี่ยวชาญด้านการชันสูตรหน่วยความจำหลังการติดมัลแวร์ (Memory Forensic) กล่าวว่า ตัวแคมเปญเพื่อแพร่กระจายมัลแวร์กล่าวนั้นมีมากมาย โดยหนึ่งในแคมเปญที่ตรวจพบนั้นเป็นแคมเปญที่ส่งหน้าองค์กรรัฐภายในเขตทวีปเอเชียด้วยภาษาจีนและภาษาอังกฤษ โดยอ้างว่าเป็นอีเมลจากองค์กร Center for American Progress (CAP) ที่ขอให้สนับสนุนแคมเปญของนักกิจกรรมทางการเมืองในฮ่องกง พร้อมลิงก์ปลอมภายในที่ทำเลียนแบบเว็บไซต์ขององค์กรดังกล่าวที่มีชื่อโดเมนว่า "chinadigitaltimes[.]top" และ "americanprgoress[.]top" โดยภายในเว็บไซต์นั้นมีการซ่อนโค้ดอันตรายเพื่อให้ช่องโหว่ทั้ง 3 ข้างต้นทำงาน นำไปสู่การดาวน์โหลดไฟล์ Payload ชื่อว่า "chrome_cleanup.exe" ลงมาจากเซิร์ฟเวอร์ C2 เพื่อติดตั้งมัลแวร์บนเครื่องต่อไป