มัลแวร์อัปเดตเบราว์เซอร์ปลอมและแคปต์ชาปลอมที่มุ่งเป้าผู้ใช้คริปโต
มัลแวร์แคปต์ชาปลอมและอัปเดตเบราว์เซอร์ปลอมขโมยคริปโตอย่างไร: กลวิธีให้วางคำสั่ง สัญญาณเตือน ขั้นตอนป้องกัน และสิ่งที่ต้องทำหากคุณเผลอรันไปแล้ว
การโจมตีด้วยแคปต์ชาปลอมและอัปเดตเบราว์เซอร์ปลอมหลอกให้คุณติดตั้งมัลแวร์ด้วยตัวเอง เว็บไซต์จะแสดงกล่อง “ยืนยันว่าคุณเป็นมนุษย์” ที่ดูน่าเชื่อถือ หรือคำเตือน “กรุณาอัปเดตเบราว์เซอร์” แล้วสั่งให้คุณดาวน์โหลดไฟล์หรือวางคำสั่งลงในคอมพิวเตอร์ ซึ่งจะติดตั้งซอฟต์แวร์ที่ขโมยข้อมูลกระเป๋าเงินคริปโต รหัสผ่าน และเซสชันเบราว์เซอร์ แคปต์ชาหรือการอัปเดตเบราว์เซอร์ของจริงไม่เคยขอให้คุณเปิดหน้าต่างคำสั่ง หรือรันไฟล์ที่ดาวน์โหลดจากเว็บไซต์สุ่ม ๆ
ผู้ใช้คริปโตเป็นเป้าหมายหลัก เพราะคอมพิวเตอร์ที่ติดมัลแวร์เพียงเครื่องเดียวอาจทำให้ไฟล์ hot wallet, seed phrase ที่จดไว้ในโน้ต, เซสชันของกระดานเทรด และตัวจัดการรหัสผ่านรั่วไหลได้ คู่มือนี้อธิบายว่าการโจมตีเหล่านี้ทำงานอย่างไร สัญญาณเตือนมีอะไรบ้าง และควรทำอย่างไรหากคุณคิดว่าเผลอรันไปแล้ว
กลวิธีแคปต์ชาปลอมทำงานอย่างไร
เทคนิคนี้ซึ่งนักวิจัยด้านความปลอดภัยมักเรียกว่า “ClickFix” ทำให้เหยื่อกลายเป็นผู้ติดตั้งเสียเอง
- 1คุณเข้าไปยังหน้าเว็บหนึ่ง — อาจเป็นบล็อกที่ถูกแฮ็ก โปรแกรมดูเอกสารปลอม เว็บซอฟต์แวร์เถื่อน หรือลิงก์ที่ส่งมาในแชตของชุมชนคริปโต
- 2มีการตรวจสอบหน้าตาคุ้นเคยปรากฏขึ้น ออกแบบให้เหมือนบริการแคปต์ชาชื่อดัง บอกว่าคุณต้องยืนยันว่าเป็นมนุษย์
- 3เมื่อคุณคลิกที่กล่อง หน้าเว็บจะแอบคัดลอกคำสั่งอันตรายไปไว้ในคลิปบอร์ดของคุณ
- 4มีคำแนะนำใหม่ปรากฏขึ้น: บน Windows คือ “กด Windows + R จากนั้น Ctrl + V แล้วกด Enter” บน Mac บางรูปแบบอาจขอให้คุณเปิด Terminal แล้ววาง
- 5คุณรันคำสั่ง โดยไม่ได้เห็นเนื้อหาทั้งหมด คำสั่งจะดาวน์โหลดและเริ่มมัลแวร์ในเบื้องหลัง
- 6หน้าเว็บอาจแสดงว่า “ยืนยันเสร็จสิ้น” และปล่อยให้คุณใช้งานต่อ จึงดูเหมือนไม่มีอะไรผิดปกติ
กลวิธีนี้ได้ผลเพราะมันหลบเลี่ยงการป้องกันของเบราว์เซอร์ได้หลายชั้น คนที่รันโปรแกรมคือคุณ ไม่ใช่เว็บไซต์
การโจมตีด้วยอัปเดตเบราว์เซอร์ปลอมทำงานอย่างไร
รุ่นพี่ของแคปต์ชาปลอมคือแบนเนอร์อัปเดตปลอม
- เว็บไซต์ที่ถูกเจาะหรือเว็บไซต์อันตรายจะแสดงข้อความเต็มหน้าจอว่าเบราว์เซอร์ของคุณล้าสมัย หรือไม่สามารถแสดงหน้าได้หากไม่อัปเดต
- หน้าเว็บจะเลียนแบบแบรนด์ของเบราว์เซอร์ที่คุณใช้และมีปุ่มดาวน์โหลดให้
- ไฟล์นั้นคือมัลแวร์ มักปลอมตัวเป็นตัวติดตั้งหรือไฟล์บีบอัดที่มีสคริปต์อยู่ข้างใน
เบราว์เซอร์ของจริงอัปเดตอัตโนมัติหรือผ่านการอัปเดตระบบ คุณไม่จำเป็นต้องดาวน์โหลดอัปเดตเบราว์เซอร์จากเว็บไซต์ที่บังเอิญเข้าไปเลย
มัลแวร์ขโมยอะไรไปบ้าง
แคมเปญส่วนใหญ่เหล่านี้ส่งมัลแวร์ขโมยข้อมูล — มัลแวร์ที่รวบรวมข้อมูลมีค่าอย่างรวดเร็วแล้วส่งไปให้ผู้โจมตี สำหรับผู้ใช้คริปโต ข้อมูลเหล่านี้อาจรวมถึง:
| ข้อมูลที่ถูกขโมย | ทำไมจึงสำคัญ |
|---|---|
| ข้อมูลส่วนขยายกระเป๋าเงินในเบราว์เซอร์ | ห้องนิรภัยที่เข้ารหัสอาจถูกถอดรหัสแบบออฟไลน์ได้หากรหัสผ่านอ่อนหรือถูกบันทึกไว้ |
| รหัสผ่านที่บันทึกไว้และการกรอกอัตโนมัติ | ข้อมูลล็อกอินกระดานเทรด บัญชีอีเมล และรหัสผ่านกระเป๋าเงิน |
| คุกกี้เซสชัน | บางครั้งผู้โจมตีสามารถยึดเซสชันที่ล็อกอินอยู่ได้โดยไม่ต้องใช้รหัสผ่านหรือรหัส 2FA |
| ไฟล์และโน้ต | ภาพหน้าจอหรือไฟล์ข้อความที่มี seed phrase |
| คลิปบอร์ด | มัลแวร์บางตัวสลับที่อยู่ที่คัดลอกไว้ ดู มัลแวร์คลิปบอร์ด |
เนื่องจากมัลแวร์ขโมยข้อมูลทำงานภายในไม่กี่วินาที ความเสียหายอาจเกิดขึ้นก่อนที่คุณจะสังเกตเห็นความผิดปกติใด ๆ
ตัวอย่างสมมติ
ต่อไปนี้เป็นภาพประกอบที่รวมจากหลายกรณี ไม่ใช่เหตุการณ์จริง
ลองนึกถึง Alex ที่ค้นหาเครื่องมือกราฟฟรีและเปิดเว็บไซต์ดาวน์โหลดแห่งหนึ่ง กล่องแคปต์ชาปรากฏขึ้น หลังจากคลิก Alex ได้รับคำสั่งให้กด Windows + R แล้ววางเพื่อ “ยืนยันให้เสร็จสิ้น” รู้สึกแปลก ๆ แต่เว็บไซต์ดูเป็นมืออาชีพ ไม่กี่ชั่วโมงต่อมา กระเป๋าเงินบนเบราว์เซอร์ของ Alex ถูกดูดเงินจนหมด และบัญชีกระดานเทรดแสดงความพยายามถอนเงิน มัลแวร์ได้คัดลอกข้อมูลที่เข้ารหัสของกระเป๋าเงิน รหัสผ่านที่บันทึกไว้ และคุกกี้เซสชันภายในไม่กี่นาทีหลังจากถูกรัน
รายการตรวจสอบสัญญาณเตือน
- “แคปต์ชา” ขอให้คุณใช้คีย์ลัด เปิด Run, Terminal หรือ PowerShell หรือวางอะไรก็ตาม
- เว็บไซต์ ไม่ใช่เบราว์เซอร์ของคุณ บอกว่าคุณต้องดาวน์โหลดอัปเดต
- ไฟล์ที่ดาวน์โหลดมาเป็นสคริปต์ ช็อตคัต หรือไฟล์ประเภทแปลก ๆ แทนที่จะเป็นตัวติดตั้งปกติจากผู้ผลิตอย่างเป็นทางการ
- หน้าเว็บปรากฏหลังถูกเปลี่ยนเส้นทางจากเว็บไซต์ที่คุณไม่คาดคิด หรือจากโฆษณาในผลการค้นหา
- ลิงก์ในการสนทนาบน Discord, Telegram หรือ X พาไปยังขั้นตอน “ยืนยัน”
- เบราว์เซอร์หรือโปรแกรมป้องกันไวรัสเตือนเกี่ยวกับไฟล์ แต่หน้าเว็บบอกให้คุณเพิกเฉย
วิธีป้องกันตัวเอง
- 1อย่าวางคำสั่งที่คุณไม่เข้าใจเด็ดขาด โดยเฉพาะคำสั่งจากหน้าเว็บ
- 2อัปเดตซอฟต์แวร์จากแหล่งทางการเท่านั้น: เมนูการตั้งค่าของเบราว์เซอร์ เครื่องมืออัปเดตของระบบปฏิบัติการ หรือเว็บไซต์ทางการของผู้ผลิต
- 3เก็บ seed phrase แบบออฟไลน์ อย่าบันทึกไว้ในแอปโน้ต ภาพหน้าจอ หรือเอกสารบนคลาวด์ ดู วิธีสำรอง seed phrase อย่างถูกต้อง
- 4ใช้ฮาร์ดแวร์วอลเล็ต สำหรับจำนวนเงินที่มีนัยสำคัญ เพื่อให้คีย์ส่วนตัวไม่เคยอยู่บนคอมพิวเตอร์ของคุณ
- 5ใช้ตัวจัดการรหัสผ่าน ที่มีรหัสผ่านหลักแข็งแรง และเปิดใช้ 2FA ผ่านแอปหรือคีย์ฮาร์ดแวร์บนกระดานเทรดและอีเมล
- 6แยกกิจกรรม: พิจารณาใช้อุปกรณ์หรือโปรไฟล์เบราว์เซอร์เฉพาะสำหรับคริปโตที่ไม่ใช้ดาวน์โหลดไฟล์หรือท่องเว็บไซต์สุ่ม ๆ
- 7ระวังโฆษณาในผลการค้นหา สำหรับซอฟต์แวร์และเครื่องมือคริปโต คู่มือของเราเรื่อง ฟิชชิงผ่านโฆษณาในผลการค้นหา อธิบายเหตุผลไว้
สิ่งที่ต้องทำหากคุณรันไปแล้ว
- 1ตัดการเชื่อมต่ออินเทอร์เน็ต ของอุปกรณ์ที่ติดมัลแวร์
- 2จากอุปกรณ์ที่สะอาด สร้างกระเป๋าเงินใหม่ด้วย seed phrase ใหม่ แล้วย้ายเงินจากกระเป๋าเงินทุกใบที่เคยอยู่บนคอมพิวเตอร์ที่ติดมัลแวร์ ทำตาม สิ่งที่ต้องทำทันทีหากกระเป๋าเงินของคุณถูกเจาะ
- 3เปลี่ยนรหัสผ่าน ของอีเมล กระดานเทรด และตัวจัดการรหัสผ่าน โดยเริ่มจากอีเมล และออกจากระบบทุกเซสชันที่ใช้งานอยู่
- 4เพิกถอนการอนุมัติโทเค็น จากกระเป๋าเงินที่ได้รับผลกระทบซึ่งคุณยังใช้งานต่อ
- 5ล้างเครื่องและติดตั้งระบบใหม่ สำหรับคอมพิวเตอร์ที่ติดมัลแวร์ หรือให้ผู้เชี่ยวชาญทำ การลบมัลแวร์ขโมยข้อมูลด้วยตนเองไม่น่าเชื่อถือ
- 6รายงานเว็บไซต์อันตราย ผ่านเครื่องมือรายงาน safe browsing ของเบราว์เซอร์ และแจ้งเราผ่าน แบบฟอร์มรายงาน ของเรา
สรุป
แคปต์ชาปลอมและอัปเดตปลอมได้ผลเพราะทำให้คุณรันมัลแวร์ด้วยตัวเอง ไม่มีการยืนยันของจริงใดขอให้คุณวางคำสั่ง และไม่มีเบราว์เซอร์ของจริงใดต้องดาวน์โหลดจากหน้าเว็บสุ่ม ๆ เก็บคีย์ให้ห่างจากคอมพิวเตอร์ที่ใช้ประจำวัน อัปเดตจากแหล่งทางการเท่านั้น และหากพลาดไปแล้ว ให้รีบลงมือจากอุปกรณ์ที่สะอาด
คำถามที่พบบ่อย
การโจมตีด้วยแคปต์ชาปลอมคืออะไร?
การโจมตีด้วยแคปต์ชาปลอมจะแสดงหน้าเว็บที่ดูเหมือนการตรวจสอบ “ยืนยันว่าคุณเป็นมนุษย์” ทั่วไป แต่แทนที่จะให้คลิกรูปภาพ กลับสั่งให้คุณกดคีย์ลัดเพื่อเปิดหน้าต่างคำสั่งแล้ววางคำสั่งที่ซ่อนอยู่ คำสั่งนั้นจะดาวน์โหลดมัลแวร์ ซึ่งมักเป็นมัลแวร์ขโมยข้อมูล (infostealer) ที่มุ่งเป้ากระเป๋าเงินคริปโต รหัสผ่าน และข้อมูลเบราว์เซอร์
แคปต์ชาของจริงจะขอให้ฉันรันคำสั่งไหม?
ไม่มีวัน แคปต์ชาที่ถูกต้องจะให้คุณติ๊กช่อง คลิกรูปภาพ หรือแก้ปริศนาภายในเบราว์เซอร์ ไม่เคยขอให้คุณเปิดหน้าต่าง Run, Terminal หรือ PowerShell หรือวางอะไรก็ตาม คำแนะนำลักษณะนี้ทุกกรณีคือการโจมตี และคุณควรปิดหน้านั้นทันที
เบราว์เซอร์จำเป็นต้องอัปเดตด้วยตนเองจากเว็บไซต์จริงหรือ?
เบราว์เซอร์สมัยใหม่อย่าง Chrome, Firefox, Edge และ Safari อัปเดตตัวเองหรืออัปเดตผ่านระบบอัปเดตของระบบปฏิบัติการ เว็บไซต์ที่บอกให้คุณดาวน์โหลดไฟล์อัปเดตเบราว์เซอร์แทบจะเป็นอันตรายเสมอ ให้ตรวจสอบการอัปเดตจากเมนูการตั้งค่าของเบราว์เซอร์เท่านั้น
ฉันรันคำสั่งไปแล้ว คริปโตของฉันปลอดภัยไหม?
ให้ถือว่าไม่ปลอดภัย ตัดการเชื่อมต่อคอมพิวเตอร์ ใช้อุปกรณ์อื่นที่สะอาดย้ายเงินจาก hot wallet ทุกใบที่มีคีย์หรือวลีอยู่บนคอมพิวเตอร์เครื่องนั้นไปยังกระเป๋าเงินใหม่ เปลี่ยนรหัสผ่านสำคัญจากอุปกรณ์ที่สะอาดและยกเลิกเซสชันที่ใช้งานอยู่ จากนั้นล้างเครื่องที่ติดมัลแวร์และติดตั้งระบบใหม่