Skip to content

มัลแวร์ Mac เจอทางเลี่ยงระบบเตือนใหม่บน macOS Tahoe 26.4 ได้แล้ว!

Security Bite: ClickFix malware authors already bypassing Apple’s new Terminal paste warning

จริง ๆ แล้วโลกของความปลอดภัยไซเบอร์นี่มันก็เหมือนการไล่จับกันไปเร่มาระหว่างคนดีกับคนไม่ดีนะครับ คือฝั่ง Apple เขาพยายามอัปเดตระบบป้องกันมาเท่าไหร่ อีกฝั่งที่เป็นคนสร้างมัลแวร์ Mac ก็จะหาทางเลี่ยงไปได้เรื่อย ๆ ไม่กี่สัปดาห์ก่อน เรายังดีใจกับฟีเจอร์ใหม่ของ Apple ที่มาพร้อมกับ macOS Tahoe 26.4 ที่มีระบบเตือนผู้ใช้เวลาจะวางคำสั่งที่อาจเป็นอันตรายลงใน Terminal แต่ตอนนี้ Jamf Threat Labs เขาออกมาเปิดเผยแล้วว่ามีวิธีใหม่ที่เจ้าพวกมัลแวร์นี้ใช้เลี่ยงระบบเตือนนี้ไปได้สบาย ๆ เลยครับ

เมื่อ Apple ปรับเกม มัลแวร์ก็ต้องเปลี่ยนแผน

ก่อนหน้านี้ Apple ได้พยายามปิดช่องโหว่หลายอย่างเพื่อป้องกันมัลแวร์ Mac อย่างเช่นตอน macOS Sequoia ที่ทำให้การ “ข้าม” Gatekeeper เพื่อเปิดแอปที่ไม่ได้ลงชื่อรับรองจาก Apple ทำได้ยากขึ้น คือต้องเข้าไปตั้งค่าใน Privacy หลายขั้นตอนกว่าจะรันได้ นี่ทำให้พวกไฟล์ติดตั้งปลอม (Fake DMG installers) โดนผลกระทบไปเต็ม ๆ ครับ แต่จริง ๆ แล้วมันก็เหมือนการผลักดันให้คนร้ายไปหาวิธีอื่นแทน

นั่นแหละครับที่ทำให้เทคนิคที่เรียกว่า “ClickFix” โผล่ขึ้นมาโดดเด่น เพราะมันราคาถูก ทำเร็ว และยังสามารถเลี่ยง Gatekeeper ได้โดยไม่ต้องมีใบรับรองเลย หัวใจหลักของ ClickFix ไม่ได้อยู่ที่ตัวมัลแวร์เองนะ แต่เป็นเทคนิคการหลอกลวงที่อาศัย “Social Engineering” หรือการใช้จิตวิทยาหลอกให้ผู้ใช้งานเผลอไปวางและรันคำสั่งอันตรายใน Terminal ด้วยตัวเอง

กลโกงใหม่ของมัลแวร์: ไม่ต้องแตะ Terminal ด้วยซ้ำ!

นี่แหละครับที่น่ากลัว คือ Jamf เขาพบว่ามีมัลแวร์ Mac รูปแบบ ClickFix แบบใหม่ที่ฉลาดกว่าเดิมมาก มันไม่จำเป็นต้องให้ผู้ใช้เอาคำสั่งไปวางใน Terminal เพื่อให้ระบบเตือนทำงานเลยครับ

ยกตัวอย่างที่ Jamf เจอนะ มันจะใช้หน้าเว็บปลอมที่ทำเลียนแบบของ Apple เลยครับ เช่น เว็บที่อ้างว่า “กู้คืนพื้นที่ดิสก์บน Mac ของคุณ” ซึ่งหน้าตาจะดูน่าเชื่อถือมาก และแน่นอนว่าบนหน้านั้นจะมีปุ่มให้กดที่เขียนว่า “Execute” หรือ “ดำเนินการ” พอผู้ใช้เผลอไปกดปุ่มนี้ปุ๊บ มันจะเรียกใช้ applescript:// URL scheme ในเบราว์เซอร์ ซึ่งจะทำให้ Script Editor เปิดขึ้นมาทันที พร้อมกับสคริปต์ที่เขียนเตรียมไว้ให้เรียบร้อยเลยครับ

สิ่งที่คุณต้องทำต่อก็แค่กดอีกคลิกเดียว สคริปต์นั้นก็จะทำงานทันที!

  • หน้าเว็บปลอม: มักเป็นหน้าเว็บที่เลียนแบบ Apple ดูน่าเชื่อถือ เช่น “Reclaim disk space on your Mac”
  • ปุ่ม “Execute”: เมื่อคลิกแล้วจะสั่งให้ระบบเปิดแอปพลิเคชันอื่น
  • applescript:// URL scheme: เป็นตัวกลางที่ทำให้เบราว์เซอร์เปิด Script Editor ขึ้นมาอัตโนมัติ
  • สคริปต์อันตราย: ถูกโหลดมาพร้อมแล้วใน Script Editor เพียงคลิกเดียวก็ทำงาน

เพราะคำสั่งทั้งหมดนี้ไม่ได้ไปผ่าน Terminal เลย ระบบเตือนใหม่ใน macOS Tahoe 26.4 ก็เลยไม่มีโอกาสได้ทำงานครับ แม้ว่าใน macOS 26.4 ตัว Script Editor เองจะมีหน้าต่างเตือนเรื่อง “unidentified developer” ก่อนบันทึกสคริปต์ แต่ถ้าผู้ใช้ไม่ทันระวังแล้วกด “ยอมรับ” ไป มัลแวร์ก็จะทำงาน ดึงคำสั่ง curl ที่ซับซ้อนลงมา และติดตั้งพวก Infostealer หรือ Trojan อย่าง Atomic Stealer ลงบนเครื่อง Mac ของคุณได้เลย

มุมมองของเราถึงสงครามไซเบอร์ที่ไม่มีวันจบ

เรื่องนี้มันแสดงให้เห็นเลยครับว่าสงครามระหว่างผู้พัฒนาซอฟต์แวร์กับพวกมัลแวร์มันไม่มีวันจบจริง ๆ Apple พยายามสร้างเกราะป้องกันใหม่ ๆ ออกมาเท่าไหร่ มิจฉาชีพก็มักจะหาช่องโหว่หรือวิธีใหม่ ๆ มาโจมตีได้เสมอ สำหรับผู้ใช้งาน Mac อย่างเรา ๆ สิ่งที่สำคัญที่สุดก็คือต้องระวังตัวให้มาก ๆ ครับ อย่าเพิ่งรีบกดอะไรที่ไม่แน่ใจ หรือถ้าเป็นไปได้ ควรตรวจสอบแหล่งที่มาของข้อมูลหรือไฟล์ก่อนเสมอ เพราะสุดท้ายแล้ว เกราะป้องกันที่ดีที่สุดอาจจะไม่ใช่แค่ระบบที่ Apple สร้างขึ้น แต่เป็นสติและวิจารณญาณของเราเองนี่แหละครับ

ที่มา: 9to5mac.com

ข่าวที่เกี่ยวข้อง

Tags: