Chrome extension ที่ตรวจพบเมื่อสิงหาคม 2017 กลับมาก่อให้เกิดเหตุอีกครั้ง เรียกว่า FacexWorm เป็นไวรัสเก่าแต่มีเทคนิคใหม่ เหยื่อของมัลแวร์นี้ ทำผิดพลาดร้ายแรง: พวกเขาเปิดไฟล์ที่ชัดเจนว่าเป็นมัลลิเชียส (malicious)!
มันเข้าระบบอย่างไร?
เมื่อผู้ใช้เปิดข้อความสแปมสุ่มจากเพื่อนร่วมกันผ่าน Facebook Messenger จะได้ลิงก์วิดีโอในข้อความ ลิงก์นี้นำไปยัง proxy YouTube site ซึ่งแสดง popup ขอโหลด codec extension เพื่อเล่นวิดีโอ แล้วขอสิทธิ์เข้าถึง/เปลี่ยนข้อมูลบนเว็บไซต์ที่เปิดอยู่ เพื่อสตรีมวิดีโอเร็วขึ้น
เมื่อสคริปต์โหลดบน PC แล้ว FacexWorm จะดาวน์โหลดโค้ดมัลลิเชียสเพิ่มเติมจากเซิร์ฟเวอร์ Command-and-Control (C&C) เปิดเว็บไซต์ Facebook และส่งข้อความไปยังเพื่อนและผู้ติดตามทั้งหมดในรายการ นี่คือวิธีที่มันแพร่กระจายเข้าระบบและใช้ระบบแพร่ต่อไป
มันส่งผลต่อระบบอย่างไร?
เมื่อเข้าผ่านเบราว์เซอร์อื่นนอกจาก Google Chrome desktop มัลลิเชียสลิงก์จะ redirect ไปโฆษณาสุ่ม วิธีนี้หลบการตรวจจับ ทุกครั้งที่เปิดเว็บใหม่ มันจะสอบถาม C&C server หาและดึง JavaScript code ใหม่ โค้ดเหล่านี้โฮสต์บน GitHub repository และทำซ้ำกระบวนการเดิมบนเว็บนั้น
หากมีกระเป๋าเงินคริปโตเคอเรนซี (cryptocurrency wallet) บน PC หรือเข้าถึงหน้าการทำธุรกรรมคริปโตออนไลน์ FacexWorm จะค้นหาที่อยู่ที่ป้อนเข้าไป และแทนที่ด้วยที่อยู่อื่นที่แฮกเกอร์กำหนด
FacexWorm สามารถสลับที่อยู่ได้บนแพลตฟอร์มเทรดหลายแห่ง: Binance, Poloniex, Bitfinex, HitBTC และอื่นๆ
เหรียญคริปโตที่เป็นเป้าหมาย: Bitcoin (BTC), Dash (DASH), Ethereum Classic (ETC), Monero (XMR) และอื่นๆ
ความเสียหายที่อาจเกิดขึ้น?
FacexWorm โหลดเข้าระบบผ่านพอร์ทัลโซเชียลมีเดีย ทำให้มีหลายวิธีโจมตีเหยื่อและ Digital Identity ของพวกเขา
- ขโมยข้อมูลเข้าสู่ระบบ (Credentials): สามารถเจาะรหัสผ่านบนแพลตฟอร์ม Google, Coinhive และโซเชียลมีเดียอื่นๆ ส่งข้อมูลกลับเซิร์ฟเวอร์หลัก และติดตามต่อไป
- ขุดคริปโตเคอเรนซี (Cryptojacking): สคริปต์ Coinhive ที่ซับซ้อนรันบน PC เหยื่อโดยไม่ถูกตรวจพบ เชื่อมต่อกับ CoinHive pool ใช้พลังคอมพิวเตอร์ของเหยื่อขุดคริปโตให้กระเป๋าแฮกเกอร์ จำกัดการใช้ CPU ที่ 20% แต่นั่นคือค่าไฟเพิ่ม 20% ที่เหยื่อต้องจ่าย
- หลอกลวงคริปโตเคอเรนซี (Cryptocurrency Scam): ใช้รายละเอียดบัญชีที่ขโมยมา ใช้คีย์เวิร์ด Blockchain, Bitcoin, Ethereum, Ripple นำไปยัง scam page ที่เตรียมไว้ หน้าที่มีอ้างว่าผู้ชนะส่ง 0.5-10 ETH ไปที่แฮกเกอร์ และได้รับคืน 5-100 ETH (รูปแบบสแปมคริปโตทั่วไป)
- Proxy Website / Referral Fraud: เมื่อเข้าถึงเว็บไซต์ FacexWorm อาจแสดง proxy website ชื่อเดียวกัน Proxy sites ถูกกำหนดโดยแฮกเกอร์เป็น referral links ของเว็บต้นฉบับ แฮกเกอร์ได้ referral incentives เป้าหมาย: DigitalOcean, Binance, HashFlare, FreeBitco.in ฯลฯ
สรุป: ระวัง!
แม้รายงานเหยื่อปัจจุบันไม่มาก แต่ FacexWorm มีศักยภาพเป็นมัลแวร์ที่ทำลายล้างมากที่สุด อาจเจาะ Digital Identity และทำลายกระเป๋าคริปโตในระยะยาว ขอแนะนำให้ระวังก่อนคลิกข้อความลิงก์บน Facebook Messenger ไม่ว่าจะจากชื่อผู้ส่งใดก็ตาม
