ส่วนขยาย Chrome และ Edge ถูกฝังเฟรมเวิร์กมัลแวร์ ขโมยข้อมูลและคริปโต

Chrome Web Store และ Microsoft Edge Add‑ons เพิ่งถูกตรวจพบว่ามีส่วนขยายหลายรายการที่ฝัง เฟรมเวิร์กมัลแวร์ เพื่อดักจับข้อมูลสำคัญของผู้ใช้ รวมถึงการขโมย คริปโตเคอร์เรนซี, ข้อมูลส่วนบุคคลและประวัติการท่องเว็บ พร้อมฉีดโฆษณาแบบ ClickFix เข้าสู่หน้าเว็บ ทำให้ความปลอดภัยของเบราว์เซอร์ที่หลายล้านคนพึ่งพาถูกตั้งคำถามอย่างรุนแรง

Overview

รายงานจาก BleepingComputer ระบุว่ามีส่วนขยายบน Chrome Web Store และ Microsoft Edge Add‑ons จำนวนหนึ่งที่อัปเดตโค้ดเพื่อส่งมอบเฟรมเวิร์กมัลแวร์หลายโมดูล การกระทำนี้เกิดขึ้นโดยใช้กลไกการอัพเดตปกติของส่วนขยาย ทำให้ผู้ใช้งานหลายล้านคนที่ติดตั้งส่วนขยายนั้นไม่ทันสังเกตถึงความเสี่ยง

เฟรมเวิร์กเหล่านี้ถูกออกแบบให้เรียกใช้งานโมดูลย่อยตามเป้าหมาย ตัวอย่างเช่น โมดูลหนึ่งทำหน้าที่สแกน ประวัติการท่องเว็บ เพื่อรวบรวม URL ที่ผู้ใช้เคยเยี่ยมชม ส่วนโมดูลอีกอันจะคอยตรวจจับรูปแบบกระเป๋าเงินดิจิทัลที่อยู่ในหน้าเว็บและพยายามขโมยข้อมูลล็อกกี (private key) หรือรหัสผ่านของ คริปโตเคอร์เรนซี

การฉีดโฆษณาแบบ ClickFix นั้นเป็นเทคนิคฟิชชิงเพิ่มเติมที่ทำให้ผู้ใช้คลิกบนลิงก์ปลอมซึ่งมักนำไปสู่หน้าเว็บที่อัดแน่นด้วยมัลแวร์หรือการหลอกลวงทางการเงิน การผสมผสานระหว่างการขโมยข้อมูลและการจูงใจให้คลิกลิงก์ทำให้ความเสี่ยงต่อผู้ใช้เพิ่มขึ้นอย่างมาก

How It Works

เฟรมเวิร์กมัลแวร์ที่ฝังอยู่ในส่วนขยายทำงานเป็น โมดูลอิสระ ที่โหลดจากเซิร์ฟเวอร์ควบคุมเมื่อมีการเปิดเบราว์เซอร์หรือเข้าสู่เว็บไซต์เฉพาะ โมดูลเหล่านี้มักใช้เทคนิค obfuscation เพื่อหลีกเลี่ยงการตรวจจับของระบบป้องกันพื้นฐาน

หนึ่งในโมดูลจะทำหน้าที่ดึงข้อมูลจาก Web Storage, Cookies และ LocalStorage ของเบราว์เซอร์ ซึ่งอาจประกอบด้วยโทเค็นการยืนยันตัวตน หรือคีย์ API ที่ใช้เชื่อมต่อกับกระเป๋าเงินดิจิทัล อีกโมดูลหนึ่งจะสแกนหน้าเว็บเพื่อหา address ของคริปโต หรือฟิลด์กรอกข้อมูลที่เกี่ยวข้อง แล้วส่งออกไปยังเซิร์ฟเวอร์ของผู้โจมตีโดยตรง

ส่วนโมดูลสุดท้ายทำหน้าที่แทรกโค้ด HTML/JavaScript ที่สร้าง ป็อป‑อัพ ClickFix ไปยังหน้าเว็บเป้าหมาย โค้ดนี้จะทำให้ผู้ใช้เห็นข้อความเตือนหรือข้อเสนอพิเศษที่กระตุ้นให้คลิก ซึ่งเป็นจุดเริ่มต้นของการฟิชชิงต่อเนื่อง

Affected Extensions

แม้ว่ารายชื่อส่วนขยายทั้งหมดไม่ได้เปิดเผยโดยแหล่งข่าว แต่บันทึกจาก Google และ Microsoft ระบุว่ามีหลายส่วนขยายที่ได้รับผลกระทบ ทั้งในหมวด เครื่องมือเพิ่มประสิทธิภาพ, การจัดการรหัสผ่าน และ ปลั๊กอินสำหรับสกรีนช็อต

• ส่วนขยายบางตัวถูกลบออกจาก Chrome Web Store ภายในไม่กี่วันหลังจากพบพฤติกรรมที่เป็นอันตราย
• ส่วนขยายอื่น ๆ ถูกระงับการอัปเดตและกำหนดให้ผู้ใช้ต้องถอนการติดตั้งโดยทันที

Google ยืนยันว่ากระบวนการตรวจสอบของระบบ Play Protect จะทำงานต่อเนื่องเพื่อป้องกันส่วนขยายที่มีพฤติกรรมคล้ายคลึงในอนาคต ส่วน Microsoft ก็ได้เปิดเผยว่าจะเพิ่มมาตรการสแกนโค้ดเพิ่มเติมก่อนรับเข้า Microsoft Edge Add‑ons Store

Response from Platforms

หลังจากได้รับรายงานจากนักวิจัยด้านความปลอดภัย Google ได้ออกแถลงการณ์ว่า จะทำการ ลบส่วนขยายที่เป็นอันตรายทั้งหมด พร้อมแจ้งเตือนผู้ใช้ที่อาจติดตั้งไว้แล้วให้ดำเนินการถอนการติดตั้งทันที นอกจากนี้ยังมีการปรับปรุงระบบตรวจสอบอัตโนมัติของ Chrome Web Store เพื่อเพิ่มความเข้มงวดในการตรวจจับโค้ดที่มีลักษณะสอดแทรก

Microsoft ยืนยันว่าได้ทำการ ระงับส่วนขยายทั้งหมด ที่เกี่ยวข้องใน Edge Add‑ons Store และกำลังดำเนินการสแกนเพิ่มเติมเพื่อหาส่วนขยายที่อาจถูกมองข้าม ระบบยังเปิดช่องทางให้ผู้ใช้รายงานพฤติกรรมที่สงสัยผ่านหน้า Microsoft Security Center

โดยรวมแล้ว ทั้งสองบริษัทได้แสดงความตั้งใจที่จะเสริมสร้างกระบวนการตรวจสอบก่อนเผยแพร่ส่วนขยาย และเพิ่มการสื่อสารกับชุมชนผู้พัฒนาเพื่อป้องกันเหตุการณ์คล้ายคลึงในอนาคต

Impact & Recommendations

เหตุการณ์นี้ทำให้ผู้ใช้ Chrome และ Edge ที่ติดตั้งส่วนขยายจากร้านค้าออนไลน์ต้องเผชิญความเสี่ยงต่อการสูญเสียคริปโตเคอร์เรนซีและข้อมูลส่วนบุคคล การโจมตีเช่นนี้ยังสามารถกระจายผลได้อย่างรวดเร็ว เนื่องจากหลายคนอาจใช้ส่วนขยายเดียวกันในหลายเครื่อง

เพื่อป้องกันตนเอง ผู้ใช้ควรตรวจสอบรายการ ส่วนขยายที่ติดตั้ง อย่างสม่ำเสมอ และลบส่วนขยายที่ไม่จำเป็นหรือไม่มีการอัปเดตเป็นเวลานาน นอกจากนี้ ควรเปิดใช้งานฟีเจอร์ **Two‑Factor Authentication (2FA) สำหรับบัญชีกระเป๋าเงินดิจิทัลและบริการออนไลน์สำคัญ เพื่อลดผลเสียหายกรณีข้อมูลถูกขโมย

องค์กรที่พัฒนาส่วนขยายควรปฏิบัติตามแนวทาง **Secure Development Lifecycle (SDL) รวมถึงการตรวจสอบโค้ดจากบุคคลภายนอกก่อนเผยแพร่ และควรมีระบบแจ้งเตือนเมื่อพบพฤติกรรมที่ผิดปกติเกี่ยวกับการเข้าถึงข้อมูลผู้ใช้

Summary

หลายส่วนขยายบน Chrome Web Store และ Microsoft Edge Add‑ons ถูกตรวจพบว่าฝังเฟรมเวิร์กมัลแวร์เพื่อขโมยคริปโตเคอร์เรนซีและข้อมูลส่วนบุคคล รวมถึงการฉีดโฆษณา ClickFix การตอบสนองของ Google และ Microsoft คือการลบและระงับส่วนขยายที่เป็นอันตราย พร้อมปรับมาตรการตรวจสอบเพิ่มขึ้น ผู้ใช้ควรตรวจทานส่วนขยายอย่างสม่ำเสมอและเปิดใช้งานการป้องกันหลายชั้นเพื่อรักษาความปลอดภัยของข้อมูล.