ตรวจพบแคมเปญ Phishing ปล่อยมัลแวร์ OKBot ขโมย Seed กระเป๋า Trezor และ Ledger

สำหรับนักลงทุนในสินทรัพย์ดิจิทัลอย่างคริปโตเคอร์เรนซี (Cryptocurrency) คงจะทราบกันดีว่า กระเป๋าเงินคริปโตเคอร์เรนซีแบบฮาร์ดแวร์ (Hardware Wallet) นั้นปลอดภัยที่สุด เพราะเก็บแยกแบบออฟไลน์ (Offline) ได้ แต่ในตอนนี้ผู้ใช้งานอาจต้องระวังมากขึ้นเนื่องจากมีมัลแวร์ที่สามารถขโมยตัวกระเป๋าดังกล่าวได้แล้ว

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการตรวจพบแคมเปญหลอกลวงแบบ Phishing ในการหลอกปล่อยมัลแวร์ OKBot (ซึ่งไม่ถูกระบุประเภทไว้โดยแหล่งข่าว แต่คาดหมายจากชื่อว่าอาจเป็นมัลแวร์ประเภทเปลี่ยนเครื่องของเหยื่อเป็นเครือข่ายของแฮกเกอร์ หรือ Botnet) ซึ่งการตรวจพบดังกล่าวเป็นผลงานจากทีมวิจัย GReAT จาก Kaspersky บริษัทผู้พัฒนาซอฟต์แวร์แอนตี้ไวรัส (Anti-Virus) ยอดนิยม โดยทางทีมวิจัยพบว่ามีการใช้การหลอกลวงถึง 2 วิธีด้วยกัน นั่นคือ

• การหลอกลวงให้รันโค้ดบนเครื่องของตนเองโดยอ้างว่าเป็นการทำเพื่อการยืนยันตัวตน หรือ แก้ไขข้อผิดพลาด ซึ่งเป็นวิธีที่เรียกว่า ClickFix
• การใช้งานซอฟต์แวร์ฝังมัลแวร์ที่ฝากไว้บนคลังดิจิทัล (Repo หรือ Repository) ของทาง GitHub โดยกรณีที่ตรวจพบนั้นเป็นการใช้วิธีการโฆษณาว่าซอฟต์แวร์ที่ฝากไว้นั้นเป็นซอฟต์แวร์สำหรับการจัดการระบบเซิร์ฟเวอร์ SQL ที่มีชื่อว่า SQL Server Management Studio แต่พอดาวน์โหลดไป ภายในกลับเป็นซอฟต์แวร์สำหรับปรับแต่งเสียงที่มีชื่อว่า Audacity ที่มีการฝังมัลแวร์ไว้ โดยทางทีมวิจัยพบว่า Repo ดังกล่าวนั้นถูกสร้างขึ้นมาประมาณช่วงเดือนมีนาคม ค.ศ. 2025 (2568) และพึ่งถูกลบในช่วงเดือนมิถุนายนที่ผ่านมานี้เอง

ซึ่งทั้ง 2 ทางนั้นจะนำไปสู่การรันตัวดาวน์โหลดสคริปท์ PowerShell อย่าง TookPS ที่ตัวสคริปท์ที่ดาวน์โหลดลงมานั้นจะทำหน้าที่ในการติดตั้ง SSH, ติดต่อกับเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and
Control), ตั้งค่าพอร์ต (Forward Port) ไปยัง SSH Daemon Port เพื่อใช้รับคำสั่งจากเซิร์ฟเวอร์ C2 และรอคำสั่งที่จะส่งเข้ามายังตัวมัลแวร์ โดยในระหว่างนี้มัลแวร์จะทำการแอบขโมยไฟล์ต่าง ๆ ที่เกี่ยวข้องกับรหัสผ่าน (Credential), กระเป๋าเงินคริปโตเคอร์เรนซี (Crypto Wallet), ข้อมูลโปรไฟล์ของเว็บเบราว์เซอร์, และไฟล์ Cookes เพื่อส่งออกไปให้กับแฮกเกอร์ผ่านทางอุโมงค์ (Tunnel) สแกนหาซอฟต์แวร์แอนตี้ไวรัส (Anti-Virus) ที่อยู่บนเครื่อง จากนั้นจึงทำการแก้ไขรีจิสทรี (Registry) เพื่อปิดการแจ้งเตือนของ Microsoft Defender และเปิดทางเข้าสู่ระบบให้กับทางแฮกเกอร์สามารถเข้ามาจัดการระบบได้

• เปิดไฟร์วอลล์ (Firewall) สำหรับการติดต่อแบบ RDP (Remote Desktop Protocol) ขาเข้า
• เพิ่มบัญชีของแฮกเกอร์ลงไปยังกลุ่ม Remote Desktop Users Group
• ทับไฟล์ termsrv.dll ด้วยเวอร์ชันที่ถูกดัดแปลงมา เพื่อช่วยให้แฮกเกอร์สามารถใช้งาน RDP บน Sessions ปัจจุบันได้ตลอดไป
• ทำการสร้างตารางเวลาการทำงาน (Task Scheduling) ภายใต้ชื่อ Apple Sync ซึ่งจะทำหน้าที่ในการสร้าง Reverse SSH Tunnel สำหรับ Local RDP Port ทุกชั่วโมง

ภาพจาก : https://thehackernews.com/2026/07/okobot-malware-framework-injects-seed.html

หลังจากนั้นมัลแวร์ก็จะทำการดาวน์โหลดโมดูล (Modules) ต่าง ๆ มาจากเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ซึ่งในขั้นแรกนั้นจะประกอบด้วยเครื่องมือสำคัญ 2 ตัว นั่นคือ

• HDUtil เป็น Launcher ที่ถูกป้องกันไม่ให้สามารถทำงานในสภาวะจำลอง (VM หรือ Virtual Machine) ใช้ในการรันโมดูลและเครื่องมือต่าง ๆ รวมทั้งมีความสามารถในการอัปเกรดสิทธิ์ในการใช้งานระบบผ่านทาง Windows RPC (Remote Procedure Call) ซึ่งเป็นเครื่องมือบน Windows ที่มีความสามารถในการยกสิทธิ์ผู้ใช้งานทั่วไปขึ้นไปเป็นระดับผู้ดูแลสูงสุด (System) ในเดียวกันก็ข้ามระบบป้องกันของ UAC (User Account Control) ซึ่งเป็นเครื่องมือรักษาความปลอดภัยของบัญชีบน Windows ไปได้
• Volume2 เป็นเครื่องมือ (Utility) ที่มาพร้อมกับไฟล์ protobuf.dll ที่ใช้ในการถอดรหัส (Decryption) และรันไฟล์มัลแวร์ (Payload) ตัวจริงซึ่งเป็นตัวจัดการปลั๊กอิน (Plugin Dispatcher) ที่จะทำการตรวจสอบ (Polling) กับเซิร์ฟเวอร์ C2 ทุก ๆ 20 วินาที

ทางทีมวิจัยยังได้ตรวจพบปลั๊กอิน 5 ตัวที่เกี่ยวข้องกับเครื่องมือข้างต้นได้ดังนี้

• OkoSpyware เป็นมัลแวร์ประเภทสอดแนม หรือ Spyware ที่ใช้ในการสอดส่องการทำงานของซอฟต์แวร์มากกว่า 100 ตัว โดยซอฟต์แวร์สำคัญอย่างเครื่องมือจัดการรหัสผ่าน (Password Manager) 1Password และ กระเป๋าเงินคริปโตอย่าง Exodus, MetaMask, และ Tonkeeper ก็อยู่ในบัญชีรายชื่อจับตามองของสปายแวร์ตัวนี้ด้วย ซึ่งตัวมัลแวร์จะทำงานร่วมกับปลั๊กอินสำหรับบันทึกวิดีโอและดักจับการพิมพ์ในการขโมยข้อมูลจากซอฟต์แวร์ดังกล่าว
• FFmpeg เป็นปลั๊กอินที่ช่วยเหลือมัลแวร์ OkoSpyware ในการบันทึกหน้าจอออกมาเป็นคลิปแบบ MP4
• MC Keylogger เป็นปลั๊กอินที่ช่วยเหลือมัลแวร์ OkoSpyware ในการบันทึกการพิมพ์ (Keystroke) โดยจะครอบคลุมตั้งแต่การป้อนข้อมูล (Input), Clipboard, อุปกรณ์ USB ต่าง ๆ, ทั้งยังมีความสามารถในการบันทึกภาพหน้าจอ (Screenshot) ทุก ๆ 5 นาที
• Rilide มัลแวร์ประเภทขโมยข้อมูลจากเครื่องของเหยื่อ (Infostealer) ในรูปแบบส่วนเสริมของเว็บเบราว์เซอร์ (Extension) ของเว็บเบราว์เซอร์ตระกูล Chromium
• SeedHunter เครื่องมือสำหรับขโมยรหัสกู้กระเป๋าเงินคริปโต หรือ Seed Phrase จากกระเป๋าเงินแบบฮาร์ดแวร์อย่าง Trezor และ Ledger

สำหรับปลั๊กอินตัวท้ายสุดที่เรียกว่าร้ายแรงมากที่สุดเนื่องจากสามารถขโมยกระเป๋าเงินประเภทที่หลายคนคิดว่าปลอดภัยได้นั้น จะมีการทำการตรวจสอบแอปพลิเคชันของกระเป๋าเงินอย่าง Trezor Suite, Ledger Wallet, และ Ledger Live ซึ่งถ้าพบตัวใดตัวหนึ่งอยู่บนเครื่อง ก็จะทำการยิงโค้ด (Injection) ของตัวเองลงไปในแอปพลิเคชันเหล่านั้นเพื่อดักจับข้อมูลจาก Electron ภายในกระเป๋าเหล่านี้ จากนั้นจึงจัดการถามไปยังเซิร์ฟเวอร์ C2 ที่ตั้งอยู่ที่ moonsand[.]store โดยถ้าเซิร์ฟเวอร์ตั้งธง (Flag) เป็น Wait ตัวปลั๊กอินก็จะสแกนไดร์ฟ USB ตามหมายเลข ID ของผู้พัฒนา (Vendor) และ ตัวผลิตภัณฑ์ แล้วรอจนกว่าจะมีการเสียบกระเป๋าดังกล่าวเข้าสู่ไดร์ฟ USB

หลังจากที่ตรวจพบกระเป๋าถูกเสียบเข้ามาเรียบร้อยแล้ว มัลแวร์ก็จะแสดงหน้าจอสำหรับการกู้กระเป๋า (Recovery Page) ที่ถูกตั้งค่าไว้ล่วงหน้า (Hardcoded) เพื่อล่อให้เหยื่อทำการกรอก Seed Phrase เข้ามา ซึ่งรหัสที่กรอกเข้ามาทั้งหมดจะถูกส่งไปยังคอนโซลของหน้ากู้คืนกระเป๋าโดยมีเครื่องหมาย @:app:print กำกับอยู่ แล้วส่งต่อไปยังฟังก์ชัน mal_LogConsoleMessage ที่ถูกเชื่อมต่อ (Hooked) อยู่เพื่อดักจับรหัสดังกล่าว โดยรหัสทั้งหมดนั้นจะถูกส่งออกมาเป็นไฟล์ในรูปแบบ JSON พร้อมสำเนาแบบ RC4 ที่จะถูกบันทึกแบบไฟล์ชั่วคราวไว้ แล้วจึงลักลอบส่งออก (Exfiltration) ไปยังเซิร์ฟเวอร์ C2 ทำให้แฮกเกอร์สามารถเข้าถึงเงินทั้งหมดที่อยู่ภายในกระเป๋าฮาร์ดแวร์ของเหยื่อได้อย่างง่ายดาย

➤ Website : https://www.thaiware.com
➤ Facebook : https://www.facebook.com/thaiware
➤ Twitter : https://www.twitter.com/thaiware
➤ YouTube : https://www.youtube.com/thaiwaretv