แฮกเกอร์รัสเซียฝังโค้ดในเว็บดังเจาะ iPhone และ Android ที่ไม่อัปเดต แค่เปิดเว็บก็โดน

บริษัทความปลอดภัยสัญชาติฝรั่งเศส Sekoia ตรวจพบแคมเปญนี้ช่วงกลางเดือนตุลาคม และประเมินด้วยความมั่นใจระดับกลางถึงสูงว่าเป็นฝีมือกลุ่ม APT29 หรือ Midnight Blizzard ที่เชื่อมโยงกับรัฐบาลรัสเซีย คนร้ายใช้สามช่องทาง ได้แก่ เจาะเว็บไซต์จริง (เช่น เว็บผู้ผลิตก๊าซในยูเครน สมาคมอุตสาหกรรมเคมีในสหรัฐฯ และเว็บด้านการทหารในบัลแกเรีย) สร้างเว็บปลอมเลียนแบบเว็บ America250 และโรงแรม Raffles London และเจาะบริการวิเคราะห์เว็บ Plerdy ของยูเครน ซึ่งมีเว็บไซต์หลายพันแห่งเรียกใช้สคริปต์อยู่ ระหว่าง 27 ส.ค.–3 ก.ย.

สคริปต์ที่ฝังไว้จะตรวจว่าผู้เข้าชมใช้อุปกรณ์และเบราว์เซอร์รุ่นไหน แล้วส่งชุดโค้ดเจาะที่ตรงกับเครื่องนั้นมาให้โดยผู้ใช้ไม่ต้องกดอะไรเลย เป้าหมายคือ iPhone ที่ใช้ iOS 16.7 และ iOS 18.5 กับ Chrome บน Android รุ่น 139 ถึง 145 ทุกช่องโหว่ที่ใช้เป็นช่องโหว่ที่รู้จักแล้ว (n-day) และ Apple กับ Google ออกแพตช์ไปหมดแล้ว รวมถึงแพตช์สำหรับ iOS รุ่นเก่าด้วย

ข้อมูลที่ถูกขโมยมีตั้งแต่คุกกี้ของ Safari ไปจนถึงฐานข้อมูล WhatsApp และ Telegram รหัสผ่านใน Keychain ตำแหน่ง และรูปภาพ ส่วนบน Android มัลแวร์ชื่อ AndroSnitch ดึงคุกกี้ ข้อมูลล็อกอินและประวัติของ Chrome รวมถึงรหัสไวไฟที่บันทึกไว้ มัลแวร์ไม่ฝังตัวถาวร การรีสตาร์ตเครื่องจึงหยุดมันได้ จนกว่าจะเข้าเว็บที่ติดเชื้ออีกครั้ง

แม้เป้าหมายหลักน่าจะเป็นยูเครนและชาติตะวันตก แต่เทคนิคฝังโค้ดผ่านสคริปต์ที่เว็บจำนวนมากใช้ร่วมกันแบบนี้ ทำให้ใครก็ตามที่เปิดเว็บเหล่านั้นด้วยมือถือรุ่นเก่ามีโอกาสโดนไปด้วย บทเรียนสำหรับคนไทยคือ มือถือที่ไม่อัปเดตระบบมีความเสี่ยงจริง แม้ไม่ได้กดลิงก์แปลกๆ

ควรทำอะไร

• อัปเดต iPhone เป็น iOS รุ่นล่าสุดที่เครื่องรองรับ (ตั้งค่า > ทั่วไป > รายการอัปเดตซอฟต์แวร์)
• อัปเดต Chrome บน Android ผ่าน Play Store และติดตั้งแพตช์ความปลอดภัยล่าสุดของเครื่อง
• ถ้ามีมือถือเก่าที่อัปเดตไม่ได้แล้ว อย่าใช้ล็อกอินบัญชีสำคัญหรือแอปธนาคาร
• รีสตาร์ตมือถือเป็นระยะ ช่วยล้างมัลแวร์ที่ไม่ฝังตัวถาวรแบบนี้ได้