Mac ถูกควบคุมระยะไกลไหม? วิจารณ์การเข้าถึงโดยไม่ได้รับอนุญาต

นี่เป็นอารมณ์แย่ที่สุด

คุณใช้คอมพิวเตอร์ Mac แล้วเริ่มสังเกตบางอย่างผิดปกติ ไฟล์ปรากฏที่คุณไม่เคยเห็น แอปพลิเคชันที่คุณไม่ได้ติดตั้ง หรือเมาส์เคลื่อนเอง

Mac ของคุณถูกแฮ็กหรือไม่?

ผมคือ Andrew อดีต Mac Administrator ประสบการณ์ IT 15 ปี จะแสดงสิ่งที่ควรเช็คถ้าสงสัยว่า MacBook, iMac หรืออุปกรณ์ที่รัน macOS ถูกบุดกัง

ในบทความนี้ เราจะตรวจสอบ 3 สถานการณ์ จะดูวิธีบอกว่ามีคนกำลัง Monitor Mac อยู่ วิธีบอกว่า Mac ถูกบุดกังในอดีต และวิธี Harden OS ป้องกันการเข้าถึงระยะไกลโดยไม่ได้รับอนุญาตในอนาคต

มาเริ่มกัน

จะรู้ได้ไงว่ามีคน Remote Access Mac ของเราอยู่?

ถ้าสงสัยว่ามีคน Remote Access Mac ของคุณขณะใช้งาน มีเครื่องหมายบ่งชี้บางอย่าง

1. เช็คไฟหน้ากล้อง (Camera Light)

คุณอาจได้ยินเรื่องราว駭客 เปิด Webcam โดยไม่ให้เจ้าของรู้ และดู/บันทึกทุกอย่างที่กล้องเห็น

โชคดีที่ Mac ที่มีกล้อง Built-in อย่าง iMac และ MacBook มี Indicator Light สีเขียว ตอนกล้องทำงาน

ไฟนี้เป็นเครื่องหมายที่เชื่อถือได้หมดหรือไม่?

Apple อ้างว่ากล้องต่อแบบ Series กับไฟ ถ้าไฟดับ กล้องก็จะดับ ในคำของ Apple เอง:

"กล้องถูกออกแบบมาให้ไม่สามารถ Activate ได้โดยไม่ให้ Camera Indicator Light ติดพร้อมกัน นี่คือวิธีที่คุณรู้ว่ากล้องเปิดอยู่"

อย่างไรก็ตาม Webcam Lights เคยถูกปิดใช้งานมาก่อน และไม่น่าแปลกที่ Hackers จะหาวิธีเปิดกล้องพร้อมทำให้ LED Indicator มิดลง

อย่าเชื่อ 100% ใน LED แตถ้าสังเกตว่าไฟติด และคุณไม่ได้รันโปรแกรมเข้าถึงกล้อง คนอื่นอาจเข้าถึงอยู่

2. หาไอคอน Apple Remote Desktop หรือ Screen Sharing

ซอฟต์แวร์ Remote Control ของ Apple ชื่อ Apple Remote Desktop (ARD) ให้ครู IT Pro หรือคนที่ได้รับอนุญาต Monitor, Manipulate และ Control Mac อื่นๆ

Screen Sharing เป็นอีกวิธีให้คนหรืออุปกรณ์อื่นเข้าถึงคอมพิวเตอร์คุณ

แตตอนมีคนเชื่อมต่อ Mac ของคุณด้วย ARD หรือ Screen Sharing macOS จะแสดง Screen Sharing Icon ที่มุมขวาบนของหน้าจอ

ถ้า Mac อยู่ที่ Lock Screen (หรือ Login Screen) จะเห็นข้อความว่า "Your screen is being observed" (หน้าจอของคุณกำลังถูกสังเกต)

ขึ้นอยู่กับ OS Version ข้อความนี้จะอยู่มุมขวาบน ถัดจาก Screen Sharing Icon ใน macOS 12 Monterey หรือกลางหน้าจอเหนือ User Accounts ในรุ่นเก่า

นี่คือรูปแบบใน macOS Monterey:

ถ้าเห็น Icon นี้ Mac ของคุณอาจอยู่ภายใต้การเฝ้าระวัง

มี 2 กรณีที่ Icon นี้ไม่ได้หมายถึงมีคน Remote Monitor หน้าจอคุณ

1. ถ้าคุณใช้ AirPlay Mirror หน้าจอ Mac แบบ Wireless เมื่อเชื่อมต่อ Apple TV หรืออุปกรณ์ AirPlay อื่น macOS จะแสดง Screen Sharing Icon เหมือน ARD และ Remote Screen Sharing

แต่นอน ถ้าคุณไม่ได้เริ่ม Screen Mirroring Session เอง ยังเป็นไปได้ว่าคนอื่นเริ่ม AirPlay ระยะไกล แต่อย่างไรก็ตาม ถ้ามีคนเข้าถึง Mac ของคุณ ไม่น่าจะมีแรงจูงใจใช้ AirPlay

2. กรณีที่สอง เกิดขึ้นตอน Record หน้าจอ Screen Recording บน macOS ทำได้ ใช้ Shortcut shift + command + 5 แล้วคลิก "Record"

ถ้าตามมาทำ จะเห็นวงกลมพร้อมปุ่ม Stop สี่เหลี่ยม มุมขวาบน จะเห็น Screen Sharing Icon เฉพาะตอน Lock Screen ขณะ Screen Recording ทำงานอยู่

3. ดูการเคลื่อนไหวของเมาส์ หรือ GUI Behavior ที่ผิดปกติ

เมาส์ของคุณเคลื่อนเองไหม?

โปรแกรมเปิด/ปิดเองไหม? เห็น Keystrokes ถูกพิมพ์บนคอมพิวเตอร์ไหม?

พฤติกรรมแปลกๆ เหล่านี้อาจบ่งชี้ว่ามีคน Remote Control Mac ของคุณ

ตรวจสอบว่า Peripheral Input Devices เช่น Magic Mouse, Wireless Keyboard, Trackpad ไม่ได้ทำงานผิดปกติ เพราะอาจก่อให้เกิดอาการเหมือนกัน

4. ใช้คำสั่ง Who

ถ้า Remote Login เปิดอยู่บน Mac คนอาจเข้าถึง Mac ผ่าน Secure Shell (SSH)

วิธีเช็คง่าย: รันคำสั่ง "who" จาก macOS Terminal จาก Launchpad ค้นหา "Terminal" คลิกเปิดแอป

ที่ Prompt พิมพ์ "who" (ไม่ต้องเครื่องหมายคำพูด) กด Return

Terminal จะโชว์ User ที่ Login อยู่ในคอมพิวเตอร์

Remote Users จะแสดงพร้อม IP Address ใน Screenshot ด้านบน User "jeremiah" เชื่อมต่อจาก IP 192.168.1.22

วิธีบอกว่า Mac ถูกแฮ็ก (ในอดีต)

ถ้าไม่สงสัยว่ามีคน Access อยู่ตอนนี้ แต่อยากรู้ว่ามีใคร Remote Access Mac ในอดีต มีหลายที่เช็คได้

1. เช็ค Log Files

กลับไป Terminal พิมพ์คำสั่ง:

log show –last 7d –predicate ‘processImagePath CONTAINS “screensharingd” AND eventMessage CONTAINS “Authentication”‘

คำสั่งนี้จะโชว์ Screen Sharing Log Items 7 วันที่ผ่านมา พร้อมข้อความ Authentication

เห็นในตัวอย่าง User 'jeremiah' พยายามสร้าง Screen Sharing Session จาก IP 192.168.1.22

2. หาไฟล์ใหม่หรือไฟล์ที่ถูกแก้ไข

สังเกตไฟล์ใหม่ที่คุณไม่ได้สร้างไหม? ไฟล์บางส่วนถูกแก้ไขแตคุณไม่ได้เปลี่ยน?

นี่เป็นเครื่องหมายว่ามีคนเข้าถึงและจัดการคอมพิวเตอร์คุณ

จำไว้ว่า System สร้างไฟล์ของตัวเองทั่ว OS อย่าตกใจทันทีถ้าเจอไฟล์ไม่รู้จัก

อย่างไรก็ตาม ไฟล์แปลกๆ อาจเป็นอาการของการเข้าถึงโดยไม่ได้รับอนุญาต

3. เช็ค User Accounts ใหม่

เปิด Terminal อีกครั้ง พิมพ์:

dscl . list /Users

ข้าม User ที่ขึ้นต้น Underscore และข้าม daemon, nobody, root นี่คือ Normal Users Built-in ของ macOS

ถ้าเจอ User ที่ไม่รู้จัก อาจเป็นคนที่มี Remote Access สร้าง User เหล่านี้ขึ้นมาใช้เข้าถึง Mac

4. เช็ค Malware

อีกอย่างที่เช็คคือ Malware

Malware หลายรูปแบบ หนึ่งในฟังก์ชันคือ Remote Access คอมพิวเตอร์เพื่อ Identity Theft, Botnets, Extortion

Bitdefender Antivirus 排名 อยู่ต้นทุกครั้งเรื่อง MacOS Virus Scanning และ Protection ซอฟต์แวร์ไม่ฟรี ต้องจ่ายเงินบ้างต่อปี

ตัวเลือกอีกตัว Malwarebytes ไม่ฟรีเหมือนกัน แต่มี 14-day Trial ถ้าต้องการแค่ Scan ครั้งเดียว ตัวนี้อาจดีกว่า

5. หา Applications ที่ติดตั้งใหม่

จาก Finder Menu คลิก Go แล้ว Applications ใน List View คลิก Date Modified เรียงแอป

สังเกตโปรแกรมล่าสุดที่ดูแปลก หรือไม่รู้จักไหม?

ถ้าเจอ ใส่ชื่อแอปใน Search Engine ดูว่า Legitimate ไหม ถ้าไม่ ลบมันทิ้ง

6. เช็ค Login Items

Unauthorized Startup Programs อาจบ่งชี้ Spyware, Adware หรือ Malware อื่นๆ อยู่บนคอมพิวเตอร์

อาจเป็น Script เรียบง่าย (และชั่วร้าย) ที่ Re-enable Screen Sharing ทุกครั้งที่ Login

ดูโปรแกรมที่รันตอน Login: ไป System Preferences คลิกไอคอน Users & Groups แล้วคลิกแท็บ Login Items ขวา

Pane นี้จะลิสต์โปรแกรมที่รันตอน Login เลือก Item ที่ไม่รู้จักหรือไม่ต้องการ แล้วคลิกปุ่ม Minus เพื่อลบ

วิธีหยุดไม่ให้คนเข้าถึง Mac ระยะไกล

แม้ไม่สงสัยว่ามีคนเข้าถึง Mac ในอดีต การปรับ Setting OS ให้ปลอดภัยกว่านั้นเป็นความคิดดี เรียกว่า Hardening ไม่ใช้เวลามาก นี่คือ Settings ที่ควรเช็ค:

1. เช็คสิทธิ์เข้าถึง Camera และ Microphone

ใน System Preferences คลิก Security & Privacy แล้วเลือกแท็บ Privacy

คลิกไอคอน Padlock มุมซ้ายล่าง และ Authenticate เพื่อเปลี่ยน Setting ใน Pane นี้

เลื่อนไป Camera ด้านซ้าย เลือก Item แอปที่มีสิทธิ์เข้าถึงจะลิสต์ขวา พร้อม Checkmark

เอา Checkmark ออกจากโปรแกรมที่ไม่อยากให้เข้าถึงกล้อง

ทำซ้ำสำหรับ Microphone

2. ติดตั้ง Antimalware Software

Antivirus Program ที่ดี แม้จะ煩瑣 เป็นอีกเส้นป้องกันกิจกรรมชั่วร้ายบน Mac ดูคำแนะนำข้างบน

3. ปิด SSH, Screen Sharing, และ Remote Management Access

กลับไป System Preferences ไปที่ Pane Sharing

เอา Checkmark ออกจาก: "Screen Sharing," "Remote Login," และ "Remote Management"

ทำอย่างนี้จะจำกัด Remote Access ให้ Mac คุณ สามารถเปิดกลับมา Manual ได้ตอนต้องการอนุญาตชั่วคราว

FAQs

ตอนนี้รู้ Indicator ของ Remote Access และวิธี Harden Mac ป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตในอนาคต แต่อาจมีคำถามเพิ่ม

Mac ถูกแฮ็กระยะไกลได้ไหม?

ได้ Mac ไม่ได้ Immune ต่อ Remote Hacking ถ้า SSH เปิดอยู่ ใครก็ตามที่มี Admin Credentials สามารถ Remote Execute Code นำไปสู่ Full Takeover ของ Mac

ดู Recent Activity บน Mac ยังไง?

System.log file ใน Console Utility เป็นจุดเริ่มต้นที่ดี ใน Log Filen นี้ Search Keywords ได้ ถ้ามองหา Screen Sharing Events ใช้คำแนะนำข้างบน

คืนการควบคุม Mac ของคุณ

ทำตามขั้นตอนข้างต้น ไม่เพียงแค่ระบุได้ว่ามีคนเข้าถึง Mac ระยะไกล แต่วยเช็คกิจกรรมอดีต และ Harden ระบบป้องกันการถูกบุดกังในอนาคตได้

ไม่ต้องกลัวตอนใช้ Mac ทำตามคู่มือนี้และใช้ Common Sense คุณจะมั่นใจไปว่า Mac เป็นของคุณ และไม่มีใครเข้าถึงได้ ยกเว้นคุณและคนที่คุณให้อนุญาต