การโจมตีด้วย CAPTCHA ปลอม: มัลแวร์ ClickFix ใช้ประโยชน์จากความไว้วางใจของผู้ใช้อย่างไร และสิ่งที่ควรรู้เพื่อป้องกันตัว

ทำความเข้าใจการเพิ่มขึ้นของการโจมตีด้วยมัลแวร์ CAPTCHA ปลอม

ระบบ CAPTCHA ซึ่งเป็นปริศนาคุ้นตาที่ให้ระบุตัวอักษรบิดเบี้ยวหรือเลือกภาพ เป็นหัวใจสำคัญของความปลอดภัยออนไลน์ ระบบเหล่านี้ออกแบบมาเพื่อแยกมนุษย์ออกจากบอต และปกป้องเว็บไซต์จากสแปม การใช้งานระบบอัตโนมัติในทางที่ผิด และการสุ่มใช้ข้อมูลเข้าสู่ระบบที่ถูกขโมยมา อย่างไรก็ตาม เมื่อระบบเหล่านี้แพร่หลายไปทั่ว อาชญากรไซเบอร์ก็หาวิธีใช้ประโยชน์จากความไว้วางใจที่ผู้ใช้มีต่อ CAPTCHA จนนำไปสู่การโจมตีแบบวิศวกรรมสังคมรูปแบบใหม่ที่ได้ผลอย่างมาก นั่นคือแคมเปญมัลแวร์ CAPTCHA ปลอม โดยเฉพาะวิธีที่เรียกว่า ClickFix

บทความนี้จะสำรวจวิธีการทำงานของการโจมตีด้วย CAPTCHA ปลอม กลเม็ดทางเทคนิคและจิตวิทยาที่อยู่เบื้องหลัง มัลแวร์ที่ถูกส่งมาติดตั้ง เช่น Lumma Stealer และขั้นตอนที่บุคคลกับองค์กรสามารถนำไปใช้เพื่อป้องกันตนเองได้

การโจมตีด้วย CAPTCHA ปลอมคืออะไร

ในการโจมตีด้วย CAPTCHA ปลอม อาชญากรไซเบอร์จะสร้างหน้าเว็บหรือหน้าต่างป๊อปอัปที่เลียนแบบระบบ CAPTCHA ที่ถูกต้อง เช่น reCAPTCHA ของ Google หรือหน้าทดสอบของ Cloudflare ได้อย่างแนบเนียน ของปลอมเหล่านี้ดูน่าเชื่อถือจนแม้แต่ผู้ใช้ที่มีประสบการณ์ก็อาจไม่สังเกตเห็นความผิดปกติ โดยทั่วไปการโจมตีจะเกิดขึ้นดังนี้:

• ล่อลวงเหยื่อไปยังเว็บไซต์อันตราย โดยมักผ่านอีเมลฟิชชิง โฆษณาปลอม หรือเว็บไซต์ที่ถูกต้องซึ่งถูกเจาะระบบ
• เว็บไซต์แสดง CAPTCHA ปลอมและขอให้ผู้ใช้พิสูจน์ว่าไม่ใช่หุ่นยนต์
• หลังจากผู้ใช้โต้ตอบกับ CAPTCHA แล้ว จะมีคำแนะนำเพิ่มเติม เช่น ให้คัดลอกคำสั่งไปวางในหน้าต่าง Run หรือเทอร์มินัลของคอมพิวเตอร์
• การทำตามคำแนะนำเหล่านี้ทำให้มีการเรียกใช้โค้ดอันตราย ซึ่งทำให้อุปกรณ์ติดมัลแวร์

วิธีนี้แฝงอันตรายเป็นพิเศษ เพราะอาศัยการกระทำของผู้ใช้เองเพื่อหลบเลี่ยงมาตรการควบคุมความปลอดภัย ทำให้ตรวจจับและป้องกันได้ยากขึ้น

ClickFix: กลไกวิศวกรรมสังคมเบื้องหลังการโจมตี

คำว่า ClickFix หมายถึงเทคนิควิศวกรรมสังคมที่หลอกให้ผู้ใช้เรียกใช้คำสั่งอันตรายด้วยตนเอง ต่างจากมัลแวร์แบบดั้งเดิมที่อาศัยการโจมตีช่องโหว่ของซอฟต์แวร์หรือหลอกให้ผู้ใช้ดาวน์โหลดไฟล์ที่ติดมัลแวร์ ClickFix จะชักจูงให้ผู้ใช้เรียกใช้คำสั่งเพื่อติดตั้งมัลแวร์ โดยมักทำผ่านขั้นตอนที่ดูเหมือนไม่มีพิษภัย

ตัวอย่างเช่น CAPTCHA ปลอมอาจแนะนำให้ผู้ใช้:

• กด Windows Key + R เพื่อเปิดหน้าต่าง Run
• วางคำสั่งที่ให้มา ซึ่งมักเป็นสคริปต์ PowerShell หรือ mshta.exe
• กด Enter เพื่อเรียกใช้คำสั่ง

ขั้นตอนเหล่านี้ดูเหมือนเป็นส่วนหนึ่งของกระบวนการยืนยันตัวตนตามปกติ แต่แท้จริงแล้วทำให้มีการดาวน์โหลดและเรียกใช้มัลแวร์ เช่น Lumma Stealer, AsyncRAT หรือโทรจันขโมยข้อมูลชนิดอื่น

การแพร่กระจายของการโจมตีด้วย CAPTCHA ปลอม: ตัวอย่างที่เกิดขึ้นจริง

พบการโจมตีด้วย CAPTCHA ปลอมในบริบทหลากหลายรูปแบบ โดยมุ่งเป้าทั้งบุคคลและองค์กรทั่วโลก แคมเปญที่น่าสังเกต ได้แก่:

• ฟิชชิงโดยแอบอ้าง Booking.com: ผู้โจมตีแอบอ้างเป็นเว็บไซต์จองโรงแรมยอดนิยม ส่งอีเมลฟิชชิงที่นำผู้ใช้ไปยังหน้า Booking.com ปลอมซึ่งมี CAPTCHA ปลอม เหยื่อที่ทำตามคำแนะนำลงเอยด้วยการติดตั้งมัลแวร์ที่ขโมยข้อมูลเข้าสู่ระบบและข้อมูลส่วนบุคคล
• โฆษณาอันตรายและการวางยาผลการค้นหาด้วย SEO: อาชญากรไซเบอร์ใช้เทคนิคการปรับแต่งเว็บไซต์ให้ติดอันดับในเครื่องมือค้นหา (SEO) และโฆษณาอันตราย เพื่อดันเว็บไซต์ดาวน์โหลดซอฟต์แวร์ เพลง หรือภาพยนตร์ยอดนิยมปลอมให้ปรากฏในผลการค้นหา เว็บไซต์เหล่านี้แสดง CAPTCHA ปลอมก่อนทำให้อุปกรณ์ติดมัลแวร์
• เว็บไซต์ที่ถูกต้องซึ่งถูกเจาะระบบ: แม้แต่เว็บไซต์ที่เชื่อถือได้ก็อาจถูกเจาะระบบเพื่อนำเสนอป๊อปอัป CAPTCHA ปลอม ซึ่งยิ่งเพิ่มความน่าเชื่อถือให้การโจมตี

บริษัทด้านความปลอดภัย LAC ระบุว่า ตรวจพบเหตุการณ์ที่เกี่ยวข้องกับ ClickFix ในสภาพแวดล้อมของลูกค้าหลายแห่งตั้งแต่ช่วงปลายปี 2024 และพบจำนวนเพิ่มขึ้นอย่างชัดเจนในปี 2025 การโจมตีไม่ได้จำกัดอยู่แค่ในญี่ปุ่น แต่มีรายงานในสหรัฐฯ ยุโรป และเอเชีย โดยกระทบอุตสาหกรรมตั้งแต่โทรคมนาคมและสาธารณสุข ไปจนถึงการเงินและธุรกิจบริการที่พัก

เหตุใดการโจมตีเหล่านี้จึงได้ผล

การโจมตีด้วย CAPTCHA ปลอมอาศัยปัจจัยทางจิตวิทยาและเทคนิคหลายประการ:

• ความคุ้นเคยและความไว้วางใจ: ผู้ใช้คุ้นเคยกับการเห็น CAPTCHA และแทบไม่ตั้งข้อสงสัยว่าเป็นของจริงหรือไม่
• ความล้าจากการทำตามขั้นตอนซ้ำ ๆ: การพบ CAPTCHA บ่อยครั้งอาจทำให้เกิด “ความล้าจากการยืนยันตัวตน” และลดความระแวดระวังของผู้ใช้
• วิศวกรรมสังคม: มีการนำเสนอคำแนะนำทีละขั้นตอนว่าเป็นสิ่งจำเป็นสำหรับการยืนยันตัวตน จึงทำให้ผู้ใช้สงสัยน้อยลง
• การหลบเลี่ยงมาตรการควบคุมความปลอดภัย: เนื่องจากผู้ใช้เป็นผู้เริ่มเรียกใช้คำสั่ง ระบบรักษาความปลอดภัยปลายทางอาจมองว่าการกระทำนั้นถูกต้องตามปกติ ทำให้ตรวจจับได้ยากขึ้น

มัลแวร์ที่ซ่อนอยู่เบื้องหลัง: Lumma Stealer และมัลแวร์ชนิดอื่น

มัลแวร์ที่มักถูกส่งมาติดตั้งผ่านการโจมตีด้วย CAPTCHA ปลอมชนิดหนึ่งคือ Lumma Stealer ซึ่งเป็นมัลแวร์ขโมยข้อมูล (infostealer) ที่ได้รับความนิยมอย่างรวดเร็วในหมู่อาชญากรไซเบอร์นับตั้งแต่เริ่มปรากฏในปี 2022 Lumma Stealer วางขายในฟอรัมบนดาร์กเว็บและช่อง Telegram โดยมักเสนอในรูปแบบมัลแวร์ในฐานะบริการ (MaaS) ทำให้ผู้โจมตีได้หลากหลายกลุ่มเข้าถึงได้

Lumma Stealer ทำอะไรได้บ้าง

เมื่อติดตั้งแล้ว Lumma Stealer สามารถ:

• เก็บรหัสผ่านและคุกกี้ที่บันทึกไว้ในเบราว์เซอร์
• ขโมยข้อมูลเข้าสู่ระบบกระเป๋าเงินคริปโทเคอร์เรนซี เช่น MetaMask และ Binance
• ดึงข้อมูลการยืนยันตัวตนแบบสองปัจจัย (2FA) และส่วนขยายของเบราว์เซอร์
• รวบรวมข้อมูลระบบและแอปพลิเคชัน รวมถึงข้อมูลเข้าสู่ระบบเดสก์ท็อประยะไกล
• ส่งไฟล์และข้อมูลสำคัญออกไปยังเซิร์ฟเวอร์ระยะไกลที่ผู้โจมตีควบคุม

มัลแวร์ตระกูลอื่นที่พบในแคมเปญเหล่านี้ ได้แก่ AsyncRAT, Vidar Stealer, XWorm และโทรจันควบคุมระยะไกล (RAT) อีกหลายชนิด กระบวนการทำให้อุปกรณ์ติดมัลแวร์อาจเกี่ยวข้องกับสคริปต์ที่ถูกทำให้อ่านยาก ไฟล์ภาพ (.png, .gif) ที่ซ่อนโค้ดไว้ และเพย์โหลดหลายระยะเพื่อหลบเลี่ยงการตรวจจับ

รายละเอียดทางเทคนิค: การโจมตีทำงานอย่างไร

นักวิจัยด้านความปลอดภัยได้บันทึกลำดับการโจมตีทางเทคนิคไว้ดังนี้:

• หน้า CAPTCHA ปลอมถูกโหลดขึ้นมา โดยมักผ่านลิงก์ฟิชชิงหรือโฆษณาอันตราย
• หลังจากผู้ใช้ทำ CAPTCHA เสร็จ ระบบจะแจ้งให้เรียกใช้คำสั่ง เช่น ผ่านหน้าต่าง Run ของ Windows หรือเทอร์มินัลของ macOS
• คำสั่งมักเรียกใช้ PowerShell หรือ mshta.exe เพื่อดาวน์โหลดและเรียกใช้สคริปต์จากเซิร์ฟเวอร์ระยะไกล
• สคริปต์ดาวน์โหลดเพย์โหลดมัลแวร์ เช่น ไฟล์ ZIP ที่มี Lumma Stealer อยู่ภายใน จากนั้นมัลแวร์จะถูกรันบนเครื่องของเหยื่อ
• มัลแวร์เริ่มส่งข้อมูลออกไป โดยมักใช้การเชื่อมต่อ HTTPS ที่เข้ารหัสเพื่อหลบเลี่ยงการตรวจสอบเครือข่าย

บางแคมเปญใช้ JavaScript ที่ถูกทำให้อ่านยากและฝังอยู่ในไฟล์ที่ดูเหมือนไม่เป็นอันตราย เช่น ไฟล์ MP3 หรือ PDF เพื่ออำพรางการโจมตีให้แนบเนียนยิ่งขึ้น

ผลกระทบทั่วโลกและเหตุการณ์สำคัญ

การโจมตีด้วย CAPTCHA ปลอมสร้างความเสียหายทางการเงินและข้อมูลอย่างมากทั่วโลก ตามข้อมูลของ Gen Digital ซึ่งเป็นบริษัทแม่ของ Norton และ Avast การโจมตีแบบฟิชชิงและมัลแวร์ที่ใช้ CAPTCHA ปลอมเพิ่มขึ้นกว่า 600% ในญี่ปุ่นเมื่อปี 2024 และพบแนวโน้มคล้ายกันทั่วโลก ความเสียหายรวมที่มีการรายงานจากการโจมตีลักษณะนี้สูงถึงหลายร้อยล้านดอลลาร์

อุตสาหกรรมที่ได้รับผลกระทบมากที่สุด ได้แก่:

• โทรคมนาคม – มุ่งขโมยข้อมูลลูกค้าและข้อมูลโครงสร้างพื้นฐาน
• สาธารณสุข – โจมตีพอร์ทัลทางการแพทย์และข้อมูลผู้ป่วย
• การเงินและธนาคาร – ขโมยข้อมูลเข้าสู่ระบบเพื่อนำไปทำธุรกรรมโดยไม่ได้รับอนุญาต
• ธุรกิจบริการที่พัก – ใช้ Booking.com และแพลตฟอร์มลักษณะเดียวกันเป็นเหยื่อล่อ

กลุ่มภัยคุกคามขั้นสูงแบบต่อเนื่อง (APT) ซึ่งรวมถึงผู้โจมตีที่ได้รับการสนับสนุนจากรัฐในเกาหลีเหนือ อิหร่าน และรัสเซีย ต่างนำการโจมตีแบบ ClickFix มาใช้ด้วย โดยใช้เพื่อจารกรรมและรักษาการเข้าถึงเครือข่ายองค์กรอย่างต่อเนื่อง

วิธีสังเกตและป้องกันการโจมตีด้วย CAPTCHA ปลอม

เมื่อพิจารณาถึงความซับซ้อนของการโจมตีเหล่านี้ การป้องกันทั้งด้านเทคนิคและพฤติกรรมจึงเป็นสิ่งจำเป็น สิ่งที่ควรรู้มีดังนี้:

สัญญาณเตือน: วิธีสังเกต CAPTCHA ปลอม

• คำแนะนำผิดปกติ: CAPTCHA ที่ถูกต้องจะไม่ขอให้คุณเรียกใช้คำสั่งระบบ เปิดหน้าต่าง Run หรือวางโค้ดลงในเทอร์มินัล
• ขอให้ดาวน์โหลดหรือติดตั้งซอฟต์แวร์: ระวัง CAPTCHA ที่แจ้งให้ดาวน์โหลดไฟล์หรือส่วนขยายของเบราว์เซอร์
• ป๊อปอัปที่ไม่คาดคิด: CAPTCHA ที่ปรากฏบนเว็บไซต์ที่ไม่คุ้นเคยหรือน่าสงสัย โดยเฉพาะหลังคลิกโฆษณาหรือลิงก์ในอีเมลที่ไม่ได้ร้องขอ
• URL แปลก ๆ: ตรวจสอบที่อยู่เว็บไซต์ให้ละเอียด CAPTCHA ปลอมมักปรากฏบนโดเมนที่สะกดผิดหรือไม่เกี่ยวข้องกับบริการที่คุณต้องการเข้าใช้

แนวปฏิบัติที่ดีที่สุดสำหรับบุคคลทั่วไป

• อย่าทำตามคำแนะนำให้เรียกใช้คำสั่งจากแหล่งที่ไม่น่าเชื่อถือ หาก CAPTCHA ขอให้เปิดหน้าต่าง Run หรือเทอร์มินัล ให้ปิดหน้าเว็บทันที
• ตรวจสอบว่าเว็บไซต์เป็นของจริง เข้าเว็บไซต์โดยพิมพ์ URL โดยตรง แทนการคลิกลิงก์ในอีเมลหรือโฆษณา
• อัปเดตซอฟต์แวร์และระบบปฏิบัติการอยู่เสมอ แพตช์ความปลอดภัยช่วยป้องกันการใช้ประโยชน์จากช่องโหว่ได้
• ใช้ซอฟต์แวร์รักษาความปลอดภัยที่เชื่อถือได้ เปิดใช้การป้องกันแบบเรียลไทม์และอัปเดตฐานข้อมูลให้เป็นปัจจุบัน
• ให้ความรู้แก่ตนเองและผู้อื่น ความตระหนักรู้เป็นวิธีป้องกันวิศวกรรมสังคมที่ดีที่สุด

แนวปฏิบัติที่ดีที่สุดสำหรับองค์กร

• ใช้มาตรการควบคุมทางเทคนิค: จำกัดสิทธิ์ผู้ใช้ที่ไม่ใช่ผู้ดูแลระบบในการเรียกใช้คำสั่ง PowerShell หรือ mshta.exe ผ่าน Group Policy หรือเครื่องมือจัดการอุปกรณ์ปลายทาง
• เฝ้าระวังกิจกรรมที่น่าสงสัย: ใช้โซลูชันการตรวจจับและตอบสนองที่อุปกรณ์ปลายทาง (EDR) เพื่อตรวจจับการเรียกใช้คำสั่งและการรับส่งข้อมูลเครือข่ายที่ผิดปกติ
• บล็อกโดเมนและ URL ที่ทราบว่าเป็นอันตราย: ปรับปรุงรายการบล็อกให้เป็นปัจจุบันและใช้โซลูชันกรองเว็บ
• บังคับใช้การยืนยันตัวตนหลายปัจจัย (MFA): ลดผลกระทบจากการขโมยข้อมูลเข้าสู่ระบบ
• จัดอบรมสร้างความตระหนักด้านความปลอดภัยเป็นประจำ: สอนพนักงานให้รู้จักฟิชชิงและกลวิธีวิศวกรรมสังคม
• เตรียมแผนรับมือเหตุการณ์: ให้มั่นใจว่าสามารถแยกอุปกรณ์ปลายทางที่ติดมัลแวร์และตรวจสอบเหตุการณ์ได้อย่างรวดเร็ว

ควรทำอย่างไรหากสงสัยว่าติดมัลแวร์

หากคุณเชื่อว่าตกเป็นเหยื่อของการโจมตีด้วย CAPTCHA ปลอม:

• ตัดการเชื่อมต่อจากเครือข่ายทันที เพื่อป้องกันไม่ให้มีการส่งข้อมูลออกไปเพิ่มเติม
• ติดต่อทีมไอทีหรือทีมรักษาความปลอดภัย หากคุณอยู่ในสภาพแวดล้อมขององค์กร
• สแกนหามัลแวร์ทั้งระบบ โดยใช้ซอฟต์แวร์รักษาความปลอดภัยที่เชื่อถือได้
• เปลี่ยนรหัสผ่านทั้งหมด สำหรับบัญชีที่เข้าใช้จากอุปกรณ์ที่ติดมัลแวร์ โดยเฉพาะบริการสำคัญ เช่น ธนาคาร อีเมล และพื้นที่จัดเก็บข้อมูลบนคลาวด์
• เฝ้าระวังความเคลื่อนไหวที่น่าสงสัยในบัญชี และพิจารณาเปิดใช้มาตรการรักษาความปลอดภัยเพิ่มเติม เช่น MFA

เหตุใดการโจมตีด้วย CAPTCHA ปลอมจึงเป็นสัญญาณของยุคใหม่ในอาชญากรรมไซเบอร์

การโจมตีด้วย CAPTCHA ปลอม โดยเฉพาะรูปแบบที่ใช้ ClickFix ถือเป็นพัฒนาการสำคัญของอาชญากรรมไซเบอร์ ผู้โจมตีอาศัยความไว้วางใจที่ผู้ใช้มีต่อกลไกความปลอดภัยที่คุ้นเคย และใช้วิศวกรรมสังคมเพื่อหลบเลี่ยงการป้องกันแบบดั้งเดิมได้หลายรูปแบบ การโจมตีเหล่านี้ตรวจจับได้ยาก เพราะอาศัยการกระทำที่ผู้ใช้เป็นผู้เริ่มต้น ขณะที่มัลแวร์ที่นำมาติดตั้งก็มีความซับซ้อนและแยกส่วนได้มากขึ้นเรื่อย ๆ

เมื่ออาชญากรไซเบอร์พัฒนาเทคนิคของตนต่อไป เส้นแบ่งระหว่างประสบการณ์ออนไลน์ที่ถูกต้องกับที่เป็นอันตรายก็ยิ่งพร่าเลือน แนวโน้มนี้ย้ำให้เห็นถึงความสำคัญของการใช้มาตรการควบคุมทางเทคนิคควบคู่กับการให้ความรู้แก่ผู้ใช้และความระมัดระวัง

สรุป

• การโจมตีด้วย CAPTCHA ปลอมใช้ปริศนาความปลอดภัยที่ทำเลียนแบบได้แนบเนียน หลอกให้ผู้ใช้เรียกใช้มัลแวร์บนอุปกรณ์ของตนเอง
• วิธี ClickFix ชักจูงให้ผู้ใช้เรียกใช้คำสั่งอันตราย ซึ่งช่วยหลบเลี่ยงมาตรการควบคุมความปลอดภัยได้หลายรูปแบบ
• Lumma Stealer และมัลแวร์ลักษณะเดียวกันสามารถขโมยรหัสผ่าน ข้อมูลทางการเงิน และข้อมูลอื่น ๆ จนนำไปสู่ความเสียหายอย่างมากทั้งต่อบุคคลและองค์กร
• การโจมตีกำลังแพร่กระจายไปทั่วโลก โดยมุ่งเป้าหมายหลากหลายทั้งอุตสาหกรรมและบุคคลทั่วไป
• สัญญาณเตือน ได้แก่ CAPTCHA ที่ขอให้เรียกใช้คำสั่งระบบหรือดาวน์โหลดไฟล์ เพราะ CAPTCHA ที่ถูกต้องจะไม่ทำเช่นนั้น
• การป้องกันต้องอาศัยทั้งมาตรการควบคุมทางเทคนิค ซอฟต์แวร์รักษาความปลอดภัยที่อัปเดตเป็นปัจจุบัน และการให้ความรู้แก่ผู้ใช้
• หากติดมัลแวร์ ให้ตัดการเชื่อมต่อจากเครือข่าย สแกนหามัลแวร์ เปลี่ยนรหัสผ่าน และขอความช่วยเหลือจากผู้เชี่ยวชาญ
• การระแวดระวังและตั้งข้อสงสัยต่อคำแนะนำที่ไม่คาดคิดบนโลกออนไลน์เป็นวิธีป้องกันภัยไซเบอร์ระลอกใหม่นี้ที่ดีที่สุด