เมื่อเร็วๆ นี้ Microsoft ได้เตือนเกี่ยวกับแฮกเกอร์ที่ใช้แอปพลิเคชัน OAuth ในทางที่ผิดเพื่อฟิชชิ่ง และเหตุการณ์ก่อนหน้านี้แสดงให้เห็นว่าผู้โจมตีแพร่กระจายมัลแวร์โดยใช้ใบรับรองดิจิทัลที่ถูกต้องตามกฎหมาย ขณะนี้นักวิจัยกล่าวว่าผู้ประสงค์ร้ายได้ใช้ผลการค้นหาที่ปรับปรุงด้วย AI ของ Bing เพื่อกระจายมัลแวร์
ผู้โจมตีส่งเสริมโปรแกรมติดตั้ง OpenClaw ปลอมที่โฮสต์บน GitHub ซึ่งการค้นหา AI ของ Bing แนะนำเมื่อผู้ใช้ค้นหาเอเจนต์ AI โอเพ่นซอร์สเวอร์ชัน Windows
โปรแกรมติดตั้ง OpenClaw ปลอมได้รับการโปรโมตผ่านการค้นหา Bing AI
OpenClaw คือเอเจนต์ AI แบบโอเพ่นซอร์สที่ได้รับความนิยมในหมู่นักพัฒนาและผู้ที่ชื่นชอบ AI ผู้คุกคามพยายามที่จะใช้ประโยชน์จากความนิยมดังกล่าวโดยการเผยแพร่พื้นที่เก็บข้อมูล GitHub ที่เป็นอันตรายซึ่งแอบอ้างเป็นผู้ติดตั้ง OpenClaw ที่ถูกต้องตามกฎหมาย
นักวิจัยด้านความปลอดภัยที่ Huntress ค้นพบแคมเปญนี้หลังจากระบุที่เก็บข้อมูลหลายแห่งที่ดูเหมือนถูกต้องตามกฎหมายเมื่อเห็นแวบแรก
ผู้โจมตีพยายามทำให้โปรเจ็กต์ดูน่าเชื่อถือโดยใช้ชื่อองค์กร GitHub ที่คล้ายกับชื่อจริง เช่น openclaw-installer ที่เก็บยังได้คัดลอกโค้ดจากโครงการ Cloudflare moltworker เพื่อให้ดูเหมือนกิจกรรมการพัฒนาที่แท้จริง
ที่มา: พรานหญิง
มีรายงานว่าการค้นหา AI ของ Bing แนะนำหนึ่งในที่เก็บข้อมูลเหล่านี้เมื่อผู้ใช้ค้นหา OpenClaw เวอร์ชัน Windows โดยนำเหยื่อไปยังคำแนะนำในการติดตั้งที่เป็นอันตราย
ผู้ใช้ macOS กำหนดเป้าหมายด้วยคำสั่ง Terminal
ห่วงโซ่การโจมตีสำหรับ macOS อาศัยวิศวกรรมสังคมผ่านคำแนะนำในการติดตั้ง
ผู้ใช้ได้รับคำสั่งให้เรียกใช้คำสั่ง bash ใน Terminal ซึ่งดาวน์โหลดไฟล์เพิ่มเติมจากที่เก็บ GitHub อื่นที่ควบคุมโดยผู้โจมตี
เพย์โหลดที่ดาวน์โหลดมานั้นได้ติดตั้ง Atomic Stealer ซึ่งเป็นมัลแวร์ขโมยข้อมูล macOS ที่ออกแบบมาเพื่อดึงข้อมูลที่ละเอียดอ่อนจากเครื่องที่ติดไวรัส
ตัวติดตั้ง Windows ใช้งานตัวโหลดมัลแวร์หลายตัว
ผู้ใช้ Windows พบโปรแกรมติดตั้งปลอม เช่น OpenClaw_x64.exe ซึ่งมีไฟล์ปฏิบัติการที่เป็นอันตรายหลายตัว
เพย์โหลดจำนวนมากเป็นตัวโหลดมัลแวร์แบบ Rust ที่ออกแบบมาเพื่อปรับใช้มัลแวร์เพิ่มเติมหลังจากการติดไวรัสครั้งแรก
นักวิจัยระบุมัลแวร์หลักสองตระกูลที่ใช้ในแคมเปญ
หนึ่งในนั้นคือ Vidar infostealer ซึ่งเป็นมัลแวร์ขโมยข้อมูลรับรองที่ดึงข้อมูลคำสั่งและการควบคุมผ่านช่องทาง Telegram และโปรไฟล์ Steam
อีกประการหนึ่งคือ GhostSocks ซึ่งเป็นมัลแวร์พร็อกซีเชื่อมต่อกลับที่แปลงระบบที่ติดไวรัสให้เป็นโหนดพร็อกซีที่ผู้โจมตีสามารถใช้เพื่อกำหนดเส้นทางการรับส่งข้อมูลที่เป็นอันตราย
เครื่องที่ติดไวรัสสามารถใช้เพื่อขโมยข้อมูลประจำตัวและเครือข่ายพร็อกซีได้
เมื่อติดตั้งแล้ว มัลแวร์อาจทำให้ผู้โจมตีสามารถขโมยข้อมูลประจำตัวและข้อมูลที่ละเอียดอ่อนอื่น ๆ จากอุปกรณ์ของเหยื่อได้
ระบบที่ถูกโจมตียังสามารถเลี่ยงระบบตรวจจับการฉ้อโกงหรือกำหนดเส้นทางการรับส่งข้อมูลที่เป็นอันตรายผ่านเครื่องที่ติดไวรัส ช่วยให้ผู้โจมตีปกปิดกิจกรรมของพวกเขาได้
นักวิจัยติดตามบัญชี GitHub และที่เก็บข้อมูลหลายแห่งที่เกี่ยวข้องกับแคมเปญและรายงานไปยัง GitHub
เหตุการณ์ดังกล่าวเน้นให้เห็นถึงแนวโน้มที่เพิ่มขึ้นของอาชญากรรมในโลกไซเบอร์ โดยผู้โจมตีใช้ประโยชน์จากแพลตฟอร์มและเครื่องมือที่เชื่อถือได้เพื่อแพร่กระจายมัลแวร์
ผู้เชี่ยวชาญด้านความปลอดภัยแนะนำให้ดาวน์โหลดซอฟต์แวร์จากที่เก็บข้อมูลอย่างเป็นทางการหรือหน้าโครงการที่ได้รับการตรวจสอบแล้วเท่านั้น และบุ๊กมาร์กแหล่งที่มาที่เชื่อถือได้แทนที่จะอาศัยผลการค้นหาเพียงอย่างเดียว
ในข่าวความปลอดภัยทางไซเบอร์แยกกัน นักวิจัยยังได้เตือนเกี่ยวกับแคมเปญฟิชชิ่งที่มีธีมของ Google ที่เผยแพร่ทางออนไลน์ซึ่งพยายามขโมยข้อมูลประจำตัวของบัญชี
ผ่านทางคอมพิวเตอร์ Bleeping
*️⃣ ลิงค์ที่มา:
แอปพลิเคชัน OAuth สำหรับฟิชชิ่ง การแพร่กระจายมัลแวร์โดยใช้ใบรับรองดิจิทัลที่ถูกต้อง
ฮันเทรส , , แคมเปญฟิชชิ่งธีม Google,
Bleeping Computer ,