ไทยเซิร์ตเตือน ตัวติดตั้ง ChatGPT-Claude ปลอมบน GitHub แอบฝังมัลแวร์ขุดคริปโตในคอม Windows
ThaiCERT เตือนคนใช้ Windows ที่ค้นหาโปรแกรม AI ใน Google อาจเจอเว็บปลอมชื่อ GPT-5.6 Sol, GPT-6 Astra หรือ Claude Opus ซึ่งแจกไฟล์ ZIP ฝังมัลแวร์ Yoba ให้ดาวน์โหลดเฉพาะจากเว็บทางการของผู้พัฒนา
กลุ่มที่เสี่ยงคือคนใช้คอมพิวเตอร์ Windows ที่อยากลองโปรแกรม AI รุ่นใหม่ แล้วพิมพ์ค้นหาใน Google ผู้ร้ายตั้งโครงการบน GitHub พร้อมหน้าเว็บ github.io โฆษณาว่าเป็น "แอปเดสก์ท็อป" ชื่อ GPT-5.6 Sol, GPT-6 Astra และ Claude Opus แล้วดันให้ขึ้นผลค้นหาอันดับต้นๆ จนดูเหมือนช่องทางดาวน์โหลดจริง ทั้งที่โปรแกรมชื่อเหล่านี้ไม่ได้มาจาก OpenAI หรือ Anthropic
จุดที่ทำให้คนตายใจคือ ในไฟล์ ZIP มีตัวติดตั้งของจริงที่มีลายเซ็นดิจิทัลถูกต้องจาก OpenAI หรือ Anthropic วางคู่กับไฟล์ winmm.dll ที่เป็นมัลแวร์ พอเปิด Setup.exe โปรแกรมจริงจะไปโหลดไฟล์อันตรายที่วางไว้ข้างกันขึ้นมาทำงานด้วย ถ้ายังไม่ได้เปิดแบบสิทธิ์ผู้ดูแลระบบ (Administrator) มัลแวร์จะขึ้นข้อความให้ปิดแล้วเปิดใหม่ด้วยสิทธิ์ที่สูงขึ้น ถ้าผู้ใช้ทำตาม มันจะฝังตัวให้กลับมาทำงานทุกครั้งที่เปิดเครื่อง
สิ่งที่นักวิจัย Check Point เจอคือโปรแกรมขุดคริปโต XMRig ที่แอบใช้แรงเครื่องของเรา และจะหยุดขุดชั่วคราวตอนที่เรากำลังใช้งานเพื่อไม่ให้รู้ตัว แต่ ThaiCERT และ Check Point ย้ำว่าตัวโหลดของมันสามารถดาวน์โหลดโปรแกรมอื่นมาติดตั้งเพิ่มได้ด้วย จึงไม่ควรมองว่าเป็นแค่เรื่องเครื่องช้า ส่วนระบบและช่องทางดาวน์โหลดทางการของ OpenAI และ Anthropic ไม่ได้ถูกเจาะ
รายงานระบุว่ามีการอัปโหลดไฟล์ ZIP ปลอมสามชุดช่วง 30 ส.ค.–4 ก.ย. และนับยอดดาวน์โหลดได้อย่างน้อย 703 ครั้ง แต่ยังไม่รู้ว่ามีเครื่องที่ติดจริงกี่เครื่อง ข้อสังเกตที่ใช้ได้กับทุกโปรแกรมคือ แอป AI ของจริงไม่แจกเป็นไฟล์ ZIP จากหน้า GitHub ของคนอื่น และลายเซ็นที่ถูกต้องของไฟล์หนึ่งไฟล์ ไม่ได้รับประกันว่าไฟล์อื่นในชุดเดียวกันปลอดภัย
ควรทำอะไร
- ดาวน์โหลด ChatGPT หรือ Claude จากเว็บทางการของผู้พัฒนาโดยตรงเท่านั้น อย่าเชื่อลิงก์ที่ขึ้นผลค้นหาเพียงเพราะอยู่อันดับต้นๆ
- ถ้าตัวติดตั้งขอให้ปิดแล้วเปิดใหม่แบบ Run as administrator ให้หยุดและเช็กแหล่งที่มาก่อน
- ลองค้นในโฟลเดอร์ Downloads หาไฟล์ชื่อ sol-setup.zip, GPT-6-Astra-Setup.zip หรือ Setup-Claude.zip ถ้าดาวน์โหลดแต่ยังไม่เปิด ให้ลบทิ้งแล้วสแกนเครื่องด้วยโปรแกรมป้องกันไวรัส
- ถ้าเปิดไปแล้ว โดยเฉพาะถ้ากดเปิดแบบผู้ดูแลระบบ ให้ตัดเครื่องออกจากอินเทอร์เน็ตก่อน แล้วสแกนเครื่องหรือให้ช่าง/ฝ่ายไอทีตรวจ ถ้าเป็นคอมที่ทำงานให้แจ้งไอทีทันทีก่อนลบไฟล์หรือรีสตาร์ต