macOS ปี 2024: มัลแวร์ไม่ได้ “บุกรุก” แต่ “หลอกให้เข้าเอง” และ AI กำลังเร่งความเร็วทั้งสองฝ่าย

จริง ๆ แล้ว หลายคนอาจคิดว่าการใช้ Mac ปลอดภัยกว่าฝั่ง Windows เยอะ ไม่ค่อยมีปัญหาเรื่องไวรัสหรือมัลแวร์เท่าไหร่ แต่พอได้ดูภาพรวมความปลอดภัย macOS ในไตรมาสแรกของปีนี้ (Q1 2024) ก็ต้องบอกเลยว่าโลกของอาชญากรรมไซเบอร์มันเปลี่ยนไปเยอะมาก โดยเฉพาะการโจมตีที่ไม่ได้เน้น “บุกรุก” ระบบแบบเก่า ๆ อีกแล้ว แต่เน้น “หลอกให้เรากดอนุญาต” ด้วยตัวเอง ซึ่งนี่คือไฮไลต์ที่เราสรุปมาให้ดูกัน

“ClickFix” กลายเป็นวิธีหลอกที่แพร่หลายที่สุดบน Mac

สิ่งที่เราเห็นว่าโดดเด่นและครองพื้นที่มากที่สุดในไตรมาสแรกของปีนี้คือเทคนิคที่เรียกว่า ClickFix อันนี้ไม่ใช่ตัวมัลแวร์โดยตรงนะ แต่มันคือเทคนิคทางวิศวกรรมสังคม (Social Engineering) ที่ใช้หลอกผู้ใช้งานให้ติดตั้ง Payload ของมัลแวร์เข้าไปในเครื่อง

วิธีการของ ClickFix ก็ง่าย ๆ เลย มันจะแสดงข้อผิดพลาดปลอม ๆ หรือขั้นตอนการยืนยันที่เราต้องแก้ เช่น บางทีอาจจะขึ้น Pop-up ปลอมให้เราแก้ CAPTCHA หรือบอกว่าพื้นที่ดิสก์เต็มให้กดกู้คืน แล้วสุดท้ายก็จะหลอกให้เรา Copy & Paste คำสั่งอันตรายลงใน Terminal พอเราทำตาม ระบบก็จะมองว่าเป็นการกระทำที่ถูกต้อง เพราะเราเป็นคนกดเอง

ความน่ากลัวของมันคืออะไร? ลองดูตัวเลขจากหลายแหล่ง:

• Microsoft Digital Defense Report ปี 2025: ที่เพิ่งเผยแพร่ใน Q1 ปีนี้ ระบุว่า ClickFix เป็นวิธีเข้าถึงระบบเริ่มต้นที่พบมากที่สุดถึง 47% ของการโจมตีที่รายงานทั้งหมด
• Moonlock Lab: หน่วยงานวิจัยความปลอดภัย พบว่า 66% ของผู้ใช้ Mac ที่ติดตั้งซอฟต์แวร์ของพวกเขา เจอปัญหาอย่างน้อยหนึ่งภัยคุกคามในปี 2025 และ ClickFix เป็นตัวนำ

แล้ว ClickFix มันใช้วิธีหลอกแบบไหนบ้างล่ะ?

• CAPTCHA ปลอม: ให้กรอกเพื่อ “ยืนยันตัวตน”
• หน้า “กู้คืนพื้นที่ดิสก์ Mac” ปลอม: หลอกให้กดเพื่อเคลียร์เครื่อง
• โฆษณาปลอมแอปดัง: อย่าง ChatGPT หรือ Atlas browser
• Typosquatted installers: สำหรับ Crypto Wallets เช่น ลงแอปผิดชื่อ สะกดเพี้ยนไปนิดเดียว
• หน้าตั้งค่าปลอม: สำหรับเครื่องมือ AI อย่าง Claude Code ที่อยู่บนแพลตฟอร์มที่ดูน่าเชื่อถือ
• CrashFix: เป็นอีกรูปแบบหนึ่งที่ Extensions ปลอมเป็น Ad Blocker ทำให้เบราว์เซอร์ล่ม แล้วหลอกให้กู้คืน ซึ่งมักจะจบลงด้วย Infostealer

ส่วนใหญ่ Payload ที่ติดมามักจะเป็น Infostealer หรือมัลแวร์ขโมยข้อมูล ที่หลายครั้งก็ยังมีส่วนประกอบของ Atomic Stealer (AMOS) ซึ่งเคยครองตลาดมัลแวร์ขโมยข้อมูลบน Mac มาก่อน แม้ว่านักพัฒนาหลักของ AMOS จะหายไปแล้ว แต่โค้ดของมันก็ยังถูกนำกลับมาใช้ใหม่เรื่อย ๆ นี่แหละ

Apple ตอบโต้แล้ว แต่สงครามยังไม่จบ

จริงอยู่ว่าหลายคนอาจจะบ่น Apple ในหลาย ๆ เรื่อง แต่เรื่องความปลอดภัยของ macOS ต้องยอมรับว่า Apple มีปฏิกิริยาตอบสนองต่อภัยคุกคามที่ค่อนข้างดีทีเดียว

ก่อนหน้านี้ macOS Sequoia (ในปี 2024) ได้แก้ไขช่องโหว่ Gatekeeper bypass แบบคลิกขวา ที่เคยทำให้ผู้ใช้ติดตั้งแอปเถื่อนที่ไม่ได้ผ่านการรับรองจาก Apple ได้ง่าย ๆ

และใน Q1 ปีนี้ macOS Tahoe 26.4 ก็ได้เปิดตัวฟีเจอร์ใหม่ที่แสดงคำเตือนเมื่อเรา Paste คำสั่งที่น่าสงสัยลงใน Terminal ซึ่งถือว่าเป็นการปรับปรุงที่ดี

แต่ก็นั่นแหละครับ มันอยู่ได้แค่ประมาณสองสัปดาห์เท่านั้น! ทาง Jamf Threat Labs ก็เจอ ClickFix รูปแบบใหม่ที่ข้าม Terminal ไปเลย มันใช้หน้าเว็บ Apple ปลอมกับลิงก์ `applescript://` เพื่อเปิด Script Editor พร้อมโหลดสคริปต์อันตรายไว้ล่วงหน้า เพราะไม่ได้แตะ Terminal คำเตือนใหม่ของ Apple ก็เลยไม่ทำงาน นี่แหละครับคือสงครามที่ไม่มีวันจบระหว่าง Apple กับนักพัฒนา มัลแวร์ที่เหมือนกับการเล่นแมวไล่จับหนู

มัลแวร์ซับซ้อนขึ้น: Infostealer และ Trojan ผสานร่าง

ข้อมูลจากรายงาน Jamf’s 2026 Security 360 แสดงให้เห็นชัดเจนว่ามัลแวร์บน Mac กำลังซับซ้อนขึ้นมาก ตัวเลข Trojan พุ่งจาก 16.61% ในปี 2024 เป็น 50.32% ในปี 2025 ซึ่งกลายเป็นประเภทมัลแวร์ที่ใหญ่ที่สุด

Atomic Stealer ตัวเดียวก็ครองกิจกรรมของ Trojan ถึง 77% และกิจกรรมของ Infostealer ถึง 78% สาเหตุเพราะ Infostealer สมัยใหม่มันไม่ใช่แค่ขโมยแล้วจบ แต่เริ่มมีฟังก์ชัน Trojan เพื่อสร้าง Backdoor กลับเข้ามาซ้ำสอง ผู้โจมตีไม่ต้องการแค่เข้ามาแล้วออกไป แต่ต้องการสร้างช่องทางเข้าออกไว้ตลอด

นักวิจัยถึงกับบอกว่ามัลแวร์ macOS ตอนนี้มันซับซ้อนมากจนบางทีเปิดโค้ดมาดูแล้วปวดหัวเลย แถมตัวอย่างใหม่ ๆ ในไตรมาสนี้ส่วนใหญ่ก็ยังไม่ถูก Antivirus ตรวจจับได้ด้วย

ลองดูมัลแวร์ใหม่ ๆ ที่ตรวจพบในไตรมาสนี้:

• DigitStealer (Jamf): ทำงานบนหน่วยความจำเท่านั้น และเฉพาะบนชิป M2 หรือใหม่กว่า
• ChillyHell (Jamf): เป็น Backdoor ที่ได้รับการ Notarized จาก Apple และซ่อนตัวมาตั้งแต่ปี 2021
• Phoenix Worm (Mosyle): Golang stager ที่ค่อย ๆ สร้างช่องทางเข้า และส่งต่อ Payload ใน Stage ที่สอง
• ShadeStager (Mosyle): เป็นส่วนหลังการโจมตี ที่สร้างขึ้นมาเพื่อขโมย SSH keys, AWS, Azure, GCP credentials, Kubernetes configs และ Git/Docker auth จากเครื่องนักพัฒนา
• MonetaStealer (Iru researchers): Infostealer ที่ใช้ AI ช่วยในการพัฒนา และยังไม่ถูกตรวจจับบน VirusTotal
• NotNullOSX (Moonlock Lab): Go-based stealer ใหม่ ที่นักพัฒนาคือคนเดียวกับผู้สร้าง macOS Stealer ดั้งเดิม และกำลังวางแผนจะขโมย iCloud credential ด้วย

เกาหลีเหนือ: ผู้เล่นหลักที่ทำให้ Mac ไม่เคยปลอดภัย

ถ้ามีกลุ่มไหนที่ทำให้นักวิจัยความปลอดภัย Mac ต้องทำงานหนักเป็นพิเศษในไตรมาสนี้ ก็ต้องบอกว่าเป็นกลุ่มจากเกาหลีเหนือเลยครับ

กลยุทธ์ที่น่าสนใจอย่างหนึ่งคือการปลอมตัวเป็น Recruiter หลอกว่ามีตำแหน่งงานดีเกินจริงมาเสนอทาง LinkedIn พอติดต่อกันจนรู้สึกเชื่อใจ ก็จะส่ง “ข้อสอบทางเทคนิค” หรือ Coding Challenge มาให้ ซึ่งมักจะซ่อนมัลแวร์ไว้ใน Package อย่าง npm หรือใน Visual Studio Code Workspace ที่ถูกแก้ไข

นักพัฒนาก็ชอบท้าทายอยู่แล้ว พอเปิดไฟล์ หรือ Build โค้ดเสร็จ ระบบก็ถูก Backdoor เข้าไปเรียบร้อยแล้ว ที่น่ากลัวคือบางตัวอย่างของ FlexibleFerret ยังมี Apple Developer Signature ที่ถูกต้อง ทำให้สามารถหลีกเลี่ยงการป้องกันของ XProtect ได้โดยไม่ถูกแจ้งเตือน

Mandiant เคยระบุในการรับมือกับเหตุการณ์เดียว พบว่ามีมัลแวร์ macOS ถึง 7 ตระกูลที่พุ่งเป้าไปที่คนคนเดียว และทั้งหมดเชื่อมโยงกับกลุ่มเกาหลีเหนือที่พวกเขากำลังติดตามอยู่

AI เร่งเกมทั้งฝั่งโจมตีและป้องกัน

เราคงพูดถึงสถานการณ์ความปลอดภัย macOS ในปัจจุบันไปโดยไม่พูดถึง AI ไม่ได้หรอกครับ เพราะผู้โจมตีกำลังใช้ AI ในการสร้างมัลแวร์อย่างกว้างขวาง

Mosyle เพิ่งพบตัวอย่างมัลแวร์ Mac ที่เชื่อว่าเป็นหนึ่งในชิ้นแรก ๆ ที่เขียนขึ้นโดยใช้โค้ดที่สร้างโดย AI

ในฝั่งของการโจมตี AI ในรูปแบบของ LLM (Large Language Model) กำลังเขียนกฎใหม่ของการตรวจจับ มัลแวร์ตัวเดียวกันอาจจะดูต่างไปอย่างสิ้นเชิงในวันรุ่งขึ้นหลังจากมีคนเขียนบล็อกว่ามันถูกตรวจจับแล้ว ซึ่งกระบวนการนี้ไม่ใช่ฝีมือมนุษย์ทั้งหมด AI กำลังเร่งความเร็วในการเปลี่ยนแปลงนี้

และมันไม่ใช่แค่เรื่องการกลายพันธุ์นะ มีรายงานจาก Checkpoint เกี่ยวกับแฮกเกอร์ชาวจีนที่สร้างทีม AI Agents ของตัวเอง มันคือกรอบการทำงานของมัลแวร์ที่มี Roadmap และแผนงานที่จะนำฟีเจอร์ใหม่ ๆ มาใช้ในไม่กี่สัปดาห์ ทีมของเราก็ตกใจเหมือนกัน โชคดีที่เราใช้ AI Agents ใน Workflow ของเราแล้ว ก็เลยยังตามทัน

แม้กระทั่งเครื่องมือ AI Agents เองก็ยังกลายเป็นเป้าหมาย เช่น แพลตฟอร์มอย่าง OpenClaw ที่ AI Agents สามารถรัน Shell Command และเข้าถึงเครื่องของคุณได้อย่างลึกซึ้ง ผู้โจมตีอาจซ่อนคำสั่งอันตรายไว้ในไฟล์ SKILL.md เพื่อให้ Agent ทำงาน และสุดท้ายก็ถามรหัสผ่านจากผู้ใช้แบบสุภาพ

แต่ก็มีข่าวดีนะ Claude Mythos ซึ่งเป็นโมเดล AI ขั้นสูงของ Anthropic ที่เก่งมากในการค้นหาช่องโหว่ซอฟต์แวร์ ถึงแม้จะเปิดตัวหลัง Q1 เล็กน้อย แต่มันสำคัญมาก เพราะ Apple ก็อยู่ในกลุ่ม Project Glasswing ที่ได้รับโมเดลนี้ไปใช้แล้ว ไอเดียคือ Mythos จะช่วยค้นหาและแก้ไขช่องโหว่ Zero-day ในซอฟต์แวร์สำคัญ ๆ ก่อนที่ผู้โจมตีจะเจอ ซึ่งในการทดสอบมันสามารถพบ Zero-day ที่ไม่เคยรู้มาก่อนหลายพันรายการ และสามารถเขียน Exploit ได้สำเร็จมากกว่า 83% ตั้งแต่ครั้งแรกที่ลอง รวมถึงบน macOS ด้วย

เรื่องนี้สำคัญยังไงกับ Mac ของเรา? ก็คือ Apple จะมีเครื่องมือภายในที่สามารถตามล่า Zero-day บน macOS ได้ในระดับที่น่าทึ่ง ซึ่งหมายความว่าระบบป้องกันของ Apple จะแข็งแกร่งขึ้นได้เร็วขึ้น แต่อีกด้านหนึ่งคือ เราต้องจับตาดูว่าถ้าโมเดล AI ที่มีความสามารถแบบนี้ถูกเปิดเผยหรือรั่วไหลออกมาได้ เทคนิค Social Engineering ทั้งหมดที่เราพูดถึงวันนี้ก็จะดูเชยไปเลย เรายังไม่ถึงจุดนั้น แต่สักวันคงจะถึง

สรุปแล้ว ความปลอดภัย macOS ในวันนี้ซับซ้อนกว่าเมื่อก่อนเยอะ

เรามองว่าสถานการณ์ความปลอดภัยของ macOS ในปัจจุบันน่าสนใจและท้าทายขึ้นมากครับ ไม่ใช่แค่เรื่องของการป้องกันมัลแวร์แบบเดิมๆ อีกต่อไปแล้ว แต่เป็นเรื่องของจิตวิทยาผู้ใช้ และความสามารถของ AI ที่เข้ามามีบทบาททั้งฝั่งโจมตีและป้องกัน ส่วนตัวคิดว่าผู้ใช้งาน Mac ทุกคนไม่ควรประมาทเด็ดขาดครับ เพราะตอนนี้ผู้โจมตีไม่ได้สนใจแค่การเจาะเข้าระบบแบบยากๆ แล้ว แต่พวกเขาสนใจการหลอกให้เรากดอนุญาตด้วยตัวเองง่ายๆ และนี่คือจุดที่เราต้องระวังให้มากขึ้นกว่าเดิม เพื่อไม่ให้ตกเป็นเหยื่อของมัลแวร์ที่ฉลาดขึ้นเรื่อยๆ

ที่มา: 9to5mac.com

ข่าวที่เกี่ยวข้อง

• แอป EQSweep ช่วยจูนเสียงหูฟังบน Android ให้ตรงใจผ่านการไล่คลื่นความถี่
• หลุดสเปกกล้อง Galaxy A38 คาดใช้ชุดเดิมความละเอียด 50 ล้านพิกเซล
• YouTube Music เพิ่มป้ายกำกับเพลงที่สร้างด้วย AI ใต้ชื่อเพลงแล้ว
• Poco X8s ผ่านการรับรอง กสทช. ในไทยแล้ว ลุ้นเปิดตัวเร็วๆ นี้