เว็บไซต์กว่าร้อยแห่งถูกแฮกให้แสดงผลหน้า Cloudflare ปลอม เพื่อปล่อยมัลแวร์ LunexStealer

กลยุทธ์การใช้หน้าจอคำสั่งปลอมเพื่อหลอกให้เหยื่อทำตามและติดตั้งมัลแวร์ หรือ ClickFix นั้นเรียกได้ว่าเป็นวิธีการระดับคลาสสิคไปแล้วในตอนนี้ ที่ถึงแม้จะมีวิธีการที่แตกต่างกันเล็กน้อยแต่ก็ยังยืนบนหลักการเดียวกัน ดังเช่นในข่าวนี้

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบแคมเปญการแฮกเว็บไซต์เพื่อสอดแทรกหน้ายืนยันตัวตน (Verification) ของ Cloudflare (ปลอม) มากกว่า 100 เว็บไซต์ผ่านทางการยิงสคริปท์ (Injection) แบบ JavaScript โดยฝีมือของกลุ่มแฮกเกอร์ที่ถูกตั้งรหัสว่า UAC-0277 ซึ่งทางทีมวิจัย CERT-UA หรือ Computer Emergency Response Team of Ukraine ที่เป็นผู้ตรวจพบแคมเปญดังกล่าวนั้นรายงานว่า ตัวแคมเปญนั้นมีจุดมุ่งหมายในการปล่อยมัลแวร์ประเภทขโมยข้อมูลจากเครื่องของเหยื่อ หรือ Infostealer ที่มีชื่อว่า LunexStealer (หรือรู้จักการในอีกชื่อหนึ่งว่า Psychedelic Stealer)

ในด้านการทำงานของแคมเปญนั้นจะเกิดขึ้นหลังจากที่เหยื่อเข้าไปสู่กลุ่มเว็บไซต์ที่ถูกแฮก แล้วทำตามคำสั่งที่ปรากฏบนหน้า CloudFlare ปลอมด้วยการป้อนคำสั่งที่อยู่บนหน้าจอไปฟีเจอร์ Run ก็จะนำไปสู่การดาวน์โหลดและรันไฟล์ติดตั้งมัลแวร์ที่ถูกสร้างขึ้นมาในรูปแบบตัวติดตั้ง (Installer) แบบ MSI ในทันที ตัวแคมเปญนั้นมีการใช้งานเทคนิคแบบ EtherHiding ซึ่งเป็นเทคนิคในการซ่อนที่อยู่ที่แท้จริงของหน้ายืนยันปลอมที่ตัวสคริปท์นั้นดึงมาใช้งานบนเว็บไซต์ไว้บนเครือข่ายบล็อกเชน (Blockchain) อย่าง Polygon หรือ Ethereum นอกจากตัวที่อยู่ของหน้าเพจดังกล่าวแล้ว ตัวแคมเปญยังมีการซ่อนโหมดปฏิบัติการ (Operating Mode) ของสคริปท์ดังกล่าวไว้บนแหล่งเดียวกันอีกด้วย

สำหรับโหมดการทำงานของตัวสคริปท์นั้นจะมีอยู่ 3 โหมดดังนี้

• Mode 0 - หยุดการทำงาน (Inactive)
• Mode 1 - แอบติดตามผู้ใช้งาน รวมทั้งติดตามว่าผู้ใช้งานมีการเข้าหน้าเพจใดบ้าง (Tracking)
• Mode 2 - แสดงผลหน้า Verification ปลอม

นอกจากนั้นทีมวิจัยยังพบว่าตัวติดตั้งดังกล่าวนั้นไม่ได้มีแค่รูปแบบเดียว แต่มีอยู่มากถึง 3 รูปแบบที่มีวิธีการทำงานที่แตกต่างกัน อันได้แก่

• รูปแบบแรก เป็นการติดตั้งมัลแวร์ลงสู่ระบบในทันที
• รูปแบบที่สอง จะเป็นการหลบเลี่ยง (Bypass) ระบบป้องกันของ Windows Account Control (UAC), เพิ่มตัวมัลแวร์ในรายชื่อยกเว้น (Microsoft Defender), ใช้งานช่องโหว่ความปลอดภัยบนไดร์เวอร์ (Driver) ของ AMD ที่มีชื่อไฟล์ว่า "PDFWKRNL.sys" เพื่อปิดกั้นซอฟต์แวร์รักษาความปลอดภัยบนเครื่อง, จากนั้นจึงทำการดาวน์โหลดไฟล์มัลแวร์ (Payload) มาจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) เพื่อทำการติดตั้ง
• รูปแบบที่สาม เป็นการใช้งานไฟล์ที่มีชื่อว่า "FnHotkeyUtility.exe" เพื่อทำ DLL Sideloading ไฟล์ DLL ของมัลแวร์ "spkvol.dll" ขึ้นมาถอดรหัส (Decryption) แล้วรันติดตั้งตัวมัลแวร์ลงเครื่อง

ตัวมัลแวร์นั้นจะมีองค์ประกอบ (Component) หลัก ๆ อยู่ 2 ตัว คือ

• LUNARAXE.CORE จะทำหน้าที่ในการติดต่อสื่อสารกับเซิร์ฟเวอร์ C2 เพื่อรับคำสั่งมาใช้งานกับปฏิบัติการ, ขโมยข้อมูลจากเว็บเบราว์เซอร์และแอบส่งข้อมูลกลับไปยังเซิร์ฟเวอร์ (Exfiltration), จัดการแท็ปต่าง ๆ บนเว็บเบราว์เซอร์, เปิดปิดการใช้งานส่วนเสริม (Extension), ใช้งานตัวแจ้งเตือน (Notification), รัน JavaScript บนเว็บเพจ, ซ้อนหน้าจอปลอม (Overlay Attack) บนเว็บเบราว์เซอร์ นอกจากนั้นถ้ามีการติดตั้งส่วนเสริมย่อยที่มีชื่อว่า NAIVEMESS ยังจะช่วยให้ตัวองค์ประกอบส่วนนี้สามารถคัดลอกไฟล์จากคอมพิวเตอร์, เขียนไฟล์เพิ่ม, และรันไฟล์ได้อีกด้วย
• LUNARAXE.STEALER ทำหน้าที่ในการขโมยรหัสผ่านต่าง ๆ จากฟอร์มบนเว็บไซต์ (Web Form) และส่งต่อไปยัง LUNARAXE.CORE พร้อม URL ของหน้าเว็บเพจดังกล่าว
• LUNARAXE.STRIP ใช้ในการปิดการป้องกันเชิงนโยบาย (Policy) ที่มีชื่อว่า Content Security Policy (CSP) เพื่อให้สามารถรัน JavaScript ได้อย่างสะดวกยิ่งขึ้น