WeaselBiscuit มัลแวร์ขโมยข้อมูล แพร่ผ่านแพ็กเกจ npm 13 ตัว ล้วงข้อมูล

นักวิจัยด้านความปลอดภัยทางไซเบอร์ค้นพบกลุ่มแพ็กเกจ npm จำนวน 13 ตัว ที่ถูกใช้เป็นช่องทางแพร่กระจายมัลแวร์ขโมยข้อมูลรุ่นใหม่ซึ่งยังไม่เคยถูกบันทึกมาก่อน ภายใต้ชื่อรหัส WeaselBiscuit มัลแวร์ตัวนี้เขียนด้วยภาษา JavaScript และถูกออกแบบมาเพื่อขโมยข้อมูลจากผู้ใช้งานโดยเฉพาะ

รายงานจาก OpenSourceMalware ระบุว่า WeaselBiscuit มีความสามารถในการทำงานที่คาบเกี่ยวกับมัลแวร์อีกสองสายพันธุ์ที่เคยถูกพบมาก่อน ได้แก่ BeaverTail และสายพันธุ์ที่เกี่ยวข้องกับแคมเปญ Contagious Interview ซึ่งมีความเชื่อมโยงกับกลุ่มผู้โจมตีจากสาธารณรัฐประชาธิปไตยประชาชนเกาหลี หรือ DPRK

กลไกการแพร่กระจายผ่านแพ็กเกจ npm

แพ็กเกจ npm ทั้ง 13 ตัวถูกเผยแพร่บนรีจิสทรีสาธารณะ โดยผู้ไม่หวังดีได้ฝังโค้ดอันตรายเอาไว้ภายใน เมื่อนักพัฒนาทำการติดตั้งแพ็กเกจเหล่านี้ผ่านเครื่องมือจัดการแพ็กเกจ โค้ดของ WeaselBiscuit จะถูกเรียกใช้งานโดยอัตโนมัติ การโจมตีในรูปแบบนี้อาศัยความน่าเชื่อถือของระบบนิเวศ npm ที่นักพัฒนามักคาดไม่ถึงว่าจะมีแพ็กเกจอันตรายปะปนอยู่

เมื่อถูกเปิดใช้งาน มัลแวร์จะทำการสแกนและรวบรวมข้อมูลที่สำคัญจากเครื่องของเหยื่อ โดยเฉพาะอย่างยิ่งข้อมูลที่จัดเก็บภายใน Chrome Extension Storage ซึ่งอาจรวมถึงรหัสผ่าน คุกกี้ โทเค็นการเข้าสู่ระบบ และข้อมูลส่วนบุคคลอื่น ๆ ที่ส่วนขยายเบราว์เซอร์เก็บไว้

ความเชื่อมโยงกับแคมเปญ Contagious Interview

แคมเปญ Contagious Interview เป็นปฏิบัติการที่กลุ่มผู้โจมตีจาก DPRK ใช้มาเป็นเวลานาน โดยมีเป้าหมายหลักคือการแทรกซึมเข้าไปในโครงการซอฟต์แวร์และขโมยทรัพย์สินทางปัญญา รวมถึงสกุลเงินดิจิทัล มัลแวร์ BeaverTail ซึ่งถูกพบในแคมเปญนี้มีพฤติกรรมคล้ายคลึงกับ WeaselBiscuit ทำให้นักวิจัยเชื่อว่าอาจมีกลุ่มผู้พัฒนาหรือผู้ดำเนินการชุดเดียวกันอยู่เบื้องหลัง

ความคล้ายคลึงในเชิงฟังก์ชันรวมถึงรูปแบบการเข้ารหัส เทคนิคการหลบเลี่ยงการตรวจจับ และเป้าหมายของข้อมูลที่ต้องการขโมย ล้วนชี้ให้เห็นถึงวิวัฒนาการของเครื่องมือโจมตีที่ถูกพัฒนาอย่างต่อเนื่อง

ผลกระทบต่อผู้ใช้งาน Chrome Extension

ข้อมูลที่จัดเก็บใน Chrome Extension Storage มักถูกใช้โดยส่วนขยายเบราว์เซอร์เพื่อเก็บข้อมูลการตั้งค่าและข้อมูลการเข้าสู่ระบบ เมื่อมัลแวร์สามารถเข้าถึงพื้นที่จัดเก็บนี้ได้ ผู้โจมตีจะสามารถนำข้อมูลที่ได้ไปใช้ในการเข้าถึงบัญชีต่าง ๆ ของเหยื่อได้โดยตรง ก่อให้เกิดความเสี่ยงต่อการถูกขโมยตัวตน การสูญเสียทรัพย์สินดิจิทัล และการรั่วไหลของข้อมูลส่วนบุคคล

แนวทางป้องกันสำหรับนักพัฒนา

นักพัฒนาควรตรวจสอบแพ็กเกจ npm ที่นำมาใช้ในโครงการอย่างละเอียดรอบคอบ ตรวจสอบประวัติผู้ดูแลแพ็กเกจ จำนวนผู้ดาวน์โหลด และบทวิจารณ์จากชุมชน การใช้เครื่องมือสแกนช่องโหว่อัตโนมัติและการตั้งค่า lockfile สามารถช่วยลดความเสี่ยงจากการติดตั้งแพ็กเกจที่ถูกแก้ไขหรือปลอมแปลงได้

นอกจากนี้ ควรหลีกเลี่ยงการจัดเก็บข้อมูลสำคัญใน Chrome Extension Storage โดยไม่จำเป็น และใช้การเข้ารหัสเพื่อปกป้องข้อมูลที่ละเอียดอ่อน การอัปเดตเบราว์เซอร์และส่วนขยายอย่างสม่ำเสมอยังเป็นอีกหนึ่งมาตรการสำคัญที่ช่วยลดพื้นที่การโจมตี

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th