DOUBLECUP ClickFix มีการฝังมัลแวร์ไว้บนรูปภาพภายในแคชของเว็บเบราว์เซอร์

DOUBLECUP ClickFix มีการฝังมัลแวร์ไว้บนรูปภาพภายในแคชของเว็บเบราว์เซอร์

จากรายงานโดยเว็บไซต์ Bleeping Computer ได้กล่าวถึงการตรวจพบแคมเปญ ClickFix ตัวใหม่ที่มีจุดประสงค์เพื่อปล่อยมัลแวร์นกต่อ (Loader) ที่มีชื่อว่า CountLoader ใส่เหยื่อ ซึ่งมัลแวร์ตัวนี้นั้นสามารถนำพาให้เหยื่อติดมัลแวร์อีกหลากชนิดในตอนหลังได้ ซึ่งทีมวิจัย Threat Research Unit จากบริษัท SOCRadar บริษัทผู้เชี่ยวชาญด้านการตรวจสอบภัยไซเบอร์ได้กล่าวว่า แคมเปญดังกล่าวได้มีการนำเอาเครื่องมือประเภทมัลแวร์นกต่อสำหรับเช่าใช้ หรือ LaaR (Loader-as-a-Service) จากทางรัสเซีย ที่มีชื่อว่า DOUBLECUP เข้ามาใช้งาน 

โดยเครื่องมือนี้นั้นเป็นมากกว่าแค่มัลแวร์ แต่เป็นโครงสร้างพื้นฐาน (Infrastructure) สำหรับใช้ในการปล่อยมัลแวร์นกต่ออย่างครบวงจร เช่น การสร้างแคมเปญสำหรับการปล่อยมัลแวร์ และการสร้างโค้ดสำหรับใช้ในการปล่อยมัลแวร์เพื่อฝังลงบนเว็บไซต์ของผู้ใช้บริการ นอกจากนั้นยังมีบริการอื่น ๆ อีกมากมาย เช่น การเป็นโฮสต์เพื่อฝากรูปภาพสกุล PNG ที่มีการฝังโค้ดด้วยเทคนิคซ่อนโค้ด (Steganography), การจัดการอุปกรณ์ปลายทางสำหรับเซสชัน และสัญญาณการสื่อสาร (Session and Signal Endpoints), การจัดการกุญแจเข้ารหัส (Encryption Key) และระบบการประกอบไฟล์มัลแวร์ (Payload) ขึ้นมาใหม่อย่างอัตโนมัติ ซึ่งหน้าที่ของผู้ใช้บริการเครื่องมือตัวนี้นั้นมีการ การสร้างเว็บไซต์, การหาโฮสต์สำหรับฝากเว็บไซต์เพื่อฝังโค้ดทำ ClickFix ที่ตัวเครื่องมือสร้างขึ้นมา, เพิ่มโค้ดที่ได้มาจากเครื่องมือลงไป, และเพิ่มโค้ดสำหรับสร้างความสับสน (Obfuscation) อื่น ๆ ได้ตามใจชอบ

สำหรับการใช้งานเครื่องมือนั้นก็เรียกได้ว่า ง่ายแสนง่าย เพียงแค่ใช้งานแอปพลิเคชันที่ได้รับมาหลังจากที่จ่ายเงิน แล้วทำการปรับแต่งค่าต่าง ๆ เช่น โดเมนของแคมเปญ, URL, รูปแบบการซ่อนโค้ด (Steganography), ประเภทการฝังโค้ด (Embed), การกระทำเพื่อรันโค้ด (Execution Action), และที่อยู่ของตัว Payload โดยกระบวนการนี้จะนำไปสู่การสร้างการตั้งค่าแบบ API Configuration Endpoint ซึ่งสิ่งที่ผู้ใช้งานจะได้รับกลับมาคือ URL ของรูปภาพที่มีการฝังโค้ดมัลแวร์ไว้ พร้อมขนาดไฟล์, เซสชันของ Endpoint, และชุดคำสั่งที่ถูกตั้งค่าให้เหมาะกับเว็บเบราว์เซอร์แบบต่าง ๆ มากมาย เช่น Chrome, Edge, Firefox, Brave, และ Opera หลังจากนั้นแฮกเกอร์ผู้ใช้งานก็จะทำการเพิ่มโค้ดที่ได้รับมาลงบนเว็บไซต์ (ปลอม) ที่ตัวเองสร้างขึ้นมา โดยโค้ดนี้จะทำหน้าที่ในการดึงการตั้งค่า (Configuration), โหลดไฟล์ที่มีการซ่อนโค้ดมัลแวร์ไว้ลงบนแคช (Cache) ในเว็บเบราว์เซอร์ของเหยื่อ, ลงทะเบียนเชสชันการเชื่อมต่อ, เลือกชุดคำสั่งที่ตรงกับเว็บเบราว์เซอร์ที่เหยื่อใช้งาน, และคัดลอกไปยังคลิปบอร์ด (Clipboard) ของเหยื่ออย่างอัตโนมัติ

จุดที่น่าสนใจที่สุดของเครื่องมือชิ้นนี้คือ การซ่อน Payload ไว้ในรูปภาพสกุล PNG ทื่ถูกโหลดไปไว้บนแคชของเว็บเบราว์เซอร์ ซึ่งขั้นตอนการทำงานนั้นจะเริ่มจากการที่เหยื่อเข้ามาสู่หน้าล็อกอิน (Login) ของซอฟต์แวร์ทางธุรกิจยอดนิยมเช่น NetSuite, Odoo, HubSpot, และ Salesforce ซึ่งหลังจากที่เหยื่อเข้าสู่เว็บไซต์ ตัวเครื่องมือ DOUBLECUP ก็จะทำการลงทะเบียนเซสชัน, ตรวจหาหมายเลขไอพีสาธารณะ (Public IP) ของเหยื่อ, แล้วบังคับให้เว็บเบราว์เซอร์ทำการโหลดรูปภาพแฝงโค้ด Payload ลงไปยังแคช หลังจากนั้นตัวเพจก็จะพาเหยื่อไปยังหน้า ClickFix ในรูปแบบ CaptCha (ปลอม) พร้อมข้อสั่งการ (Instruction) ที่สั่งให้เหยื่อทำการกดวางคำสั่งของมัลแวร์ลงไปยัง Run แล้วทำการกดรันเพื่อใช้งานคำสั่ง ซึ่งถ้าเหยื่อทำตาม ตัวคำสั่งก็จะทำการค้นหารูปภาพดังกล่าวที่อยู่ในแคชตามขนาดไฟล์ที่ถูกกำหนดไว้ แล้วใช้งานคำสั่ง findstr หรือ certutil เพื่อกู้ (Recover) และรันโค้ด Payload ที่แฝงอยู่ภายในรูปภาพนั้น โดยตัว Payload ตัวแรกนั้นจะนำไปสู่การรันตัว Payload ที่ 2 ในรูปแบบการทำงานแบบไร้ไฟล์ (Fileless) ที่ทำหน้าที่ในการดึงหมายเลขไอพีสาธารณะแบบ IPV4 ของเหยื่อลงมาเพื่อสร้างกุญแจถอดรหัส (Decryption Key) มาถอด Payload ตัวสุดท้าย ซึ่งหลังจากตัวมัลแวร์ตัวที่ 2 ได้ทำการยืนยัน Payload สุดท้ายกับค่า SHA-256 ที่ถูกฝังอยู่แบบค่าคงที่ (Hardcoded) เป็นที่เรียบร้อยแล้วก็จะทำการปล่อยมัลแวร์ที่เป็น Payload ตัวสุดท้ายลงมา

มัลแวร์ที่ถูกปล่อยจาก Payload ตัวสุดท้ายนั้น ไม่ได้มีแค่ตัวเดียว แต่มีถึง 2 ตัว นั่นคือ

CountLoader ที่ทำหน้าที่ในการเก็บข้อมูลเกี่ยวกับระบบเครื่องของเหยื่อ, ตรวจสอบหาแอปพลิเคชันและตัวส่วนเสริมของเว็บเบราว์เซอร์ (Extension) ที่ทำหน้าที่เป็นกระเป๋าเงินคริปโตเคอร์เรนซี (Cryptocurrency Wallet), ตรวจสอบว่าเครื่องมือการติดตั้ง Signalled Desktop อยู่หรือไม่, และทำการสร้างความคงทนบนระบบของเหยื่อ (Persistence) ด้วยการตั้งเวลาการทำงานให้ตัวเอง (Task Scheduling) นอกจากนั้นตัวมัลแวร์นี้ยังสามารถทำหน้าที่เป็นนกต่อในการติดตั้งมัลแวร์ตัวอื่น ๆ ลงเครื่องโดยรองรับทั้ง โมดูล (Module) แบบ PoweShell, ไฟล์ติดตั้งแบบ MSI, และไฟล์ DLL

DeviceManager RAT เป็นมัลแวร์ประเภทเข้าควบคุมเครื่องของเหยื่อ (RAT หรือ Remote Access Trojan) ซึ่งมัลแวร์ตัวนี้จะทำหน้าที่ในการเก็บข้อมูลต่าง ๆ เกี่ยวกับระบบของเครื่องโดยการใช้รูปแบบการเก็บข้อมูลอย่าง DNS แบบ A Record และ TXT Record มาขโมยข้อมูลของระบบ, รับคำสั่งจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) เพื่อนำเอามาใช้งาน, ดาวน์โหลดมัลแวร์ตัวใหม่ลงมาติดตั้งบนเครื่องของเหยื่อ, และ ส่งผลลัพธ์ของการใช้งานคำสั่งกลับไปยังแฮกเกอร์ โดยการติดต่อกับเซิร์ฟเวอร์ C2 นั้น ตัวมัลแวร์จะใช้เทคนิค EtherHiding ในการดึงที่อยู่ของเซิร์ฟเวอร์ C2 มาจากระบบสัญญาอัจฉริยะ (Smart Contact) บนเครือข่ายบล็อกเชน (Blockchain) ของ Ethereum หรือ Polygon ทำให้การเข้าขัดขวางการทำงาน หรือการปราบปรามทำได้ลำบาก