เรื่องเล่าจากโลกคริปโต: JSCEAL มัลแวร์ที่ซ่อนตัวในโฆษณาและ JavaScript
นักวิจัยจาก Check Point พบแคมเปญมัลแวร์ขนาดใหญ่ที่เริ่มต้นตั้งแต่มีนาคม 2024 โดยใช้ชื่อว่า “JSCEAL” ซึ่งมีเป้าหมายคือผู้ใช้แอปซื้อขายคริปโตและกระเป๋าเงินดิจิทัล โดยแฮกเกอร์สร้างแอปปลอมและเว็บไซต์หลอกลวงที่ดูเหมือนของจริง แล้วโปรโมตผ่านโฆษณาบน Facebook และแพลตฟอร์มอื่น ๆ
เมื่อเหยื่อคลิกโฆษณา จะถูกนำไปยังเว็บไซต์ปลอมที่ให้ดาวน์โหลดไฟล์ติดตั้ง MSI ซึ่งเมื่อเปิดใช้งาน จะเริ่มกระบวนการเก็บข้อมูลระบบผ่าน PowerShell และสคริปต์ JavaScript ที่ซ่อนอยู่ในเว็บไซต์ จากนั้นจะส่งข้อมูลไปยังเซิร์ฟเวอร์ของแฮกเกอร์ และหากพบว่าเครื่องมีข้อมูลสำคัญ ก็จะปล่อย payload สุดท้ายคือ JSCEAL ซึ่งทำงานผ่าน Node.js
JSCEAL ใช้ไฟล์ JavaScript ที่ถูกคอมไพล์ด้วย V8 engine ของ Google ซึ่งทำให้โค้ดถูกซ่อนไว้อย่างแนบเนียนและหลบเลี่ยงการตรวจจับจากแอนติไวรัสได้อย่างมีประสิทธิภาพ
JSCEAL เป็นมัลแวร์ที่ใช้ไฟล์ JavaScript แบบคอมไพล์เพื่อหลบเลี่ยงการตรวจจับ
ใช้ฟีเจอร์ V8 JSC ของ Google เพื่อซ่อนโค้ด
ทำให้แอนติไวรัสทั่วไปไม่สามารถวิเคราะห์ได้ก่อนการรันจริง
แคมเปญนี้เริ่มตั้งแต่มีนาคม 2024 และยังคงแพร่กระจายอย่างต่อเนื่อง
พบโฆษณาปลอมกว่า 35,000 รายการใน EU ภายในครึ่งแรกของปี 2025
คาดว่ามีผู้ตกเป็นเหยื่อมากกว่า 10 ล้านคนทั่วโลก
แฮกเกอร์ใช้โฆษณาบน Facebook เพื่อหลอกให้ติดตั้งแอปปลอม
โฆษณาถูกโพสต์ผ่านบัญชีที่ถูกขโมยหรือสร้างใหม่
เว็บไซต์ปลอมเลียนแบบบริการจริง เช่น TradingView
ไฟล์ MSI ที่ดาวน์โหลดจะเปิดเว็บวิวไปยังเว็บไซต์จริงเพื่อหลอกเหยื่อ
ใช้ msedge_proxy.exe เพื่อเปิดเว็บจริงควบคู่กับการติดตั้งมัลแวร์
ทำให้เหยื่อไม่สงสัยว่ามีสิ่งผิดปกติเกิดขึ้น
JSCEAL สามารถขโมยข้อมูลได้หลากหลายประเภท
รหัสผ่าน, คุกกี้, seed phrase, ข้อมูล Telegram, ภาพหน้าจอ, keystroke
สามารถดักจับเว็บทราฟฟิกและฝังสคริปต์ในเว็บไซต์ธนาคารหรือคริปโต
มัลแวร์มีโครงสร้างแบบหลายชั้นและปรับเปลี่ยน payload ได้ตามสถานการณ์
ใช้ fingerprinting scripts เพื่อประเมินความคุ้มค่าของเหยื่อก่อนปล่อย payload
มีการตั้ง proxy ภายในเครื่องเพื่อดักข้อมูลแบบ real-time
https://www.techradar.com/pro/security/major-new-malware-strain-targets-crypto-users-via-malicious-ads-heres-what-we-know-and-how-to-stay-safe
นักวิจัยจาก Check Point พบแคมเปญมัลแวร์ขนาดใหญ่ที่เริ่มต้นตั้งแต่มีนาคม 2024 โดยใช้ชื่อว่า “JSCEAL” ซึ่งมีเป้าหมายคือผู้ใช้แอปซื้อขายคริปโตและกระเป๋าเงินดิจิทัล โดยแฮกเกอร์สร้างแอปปลอมและเว็บไซต์หลอกลวงที่ดูเหมือนของจริง แล้วโปรโมตผ่านโฆษณาบน Facebook และแพลตฟอร์มอื่น ๆ
เมื่อเหยื่อคลิกโฆษณา จะถูกนำไปยังเว็บไซต์ปลอมที่ให้ดาวน์โหลดไฟล์ติดตั้ง MSI ซึ่งเมื่อเปิดใช้งาน จะเริ่มกระบวนการเก็บข้อมูลระบบผ่าน PowerShell และสคริปต์ JavaScript ที่ซ่อนอยู่ในเว็บไซต์ จากนั้นจะส่งข้อมูลไปยังเซิร์ฟเวอร์ของแฮกเกอร์ และหากพบว่าเครื่องมีข้อมูลสำคัญ ก็จะปล่อย payload สุดท้ายคือ JSCEAL ซึ่งทำงานผ่าน Node.js
JSCEAL ใช้ไฟล์ JavaScript ที่ถูกคอมไพล์ด้วย V8 engine ของ Google ซึ่งทำให้โค้ดถูกซ่อนไว้อย่างแนบเนียนและหลบเลี่ยงการตรวจจับจากแอนติไวรัสได้อย่างมีประสิทธิภาพ
JSCEAL เป็นมัลแวร์ที่ใช้ไฟล์ JavaScript แบบคอมไพล์เพื่อหลบเลี่ยงการตรวจจับ
ใช้ฟีเจอร์ V8 JSC ของ Google เพื่อซ่อนโค้ด
ทำให้แอนติไวรัสทั่วไปไม่สามารถวิเคราะห์ได้ก่อนการรันจริง
แคมเปญนี้เริ่มตั้งแต่มีนาคม 2024 และยังคงแพร่กระจายอย่างต่อเนื่อง
พบโฆษณาปลอมกว่า 35,000 รายการใน EU ภายในครึ่งแรกของปี 2025
คาดว่ามีผู้ตกเป็นเหยื่อมากกว่า 10 ล้านคนทั่วโลก
แฮกเกอร์ใช้โฆษณาบน Facebook เพื่อหลอกให้ติดตั้งแอปปลอม
โฆษณาถูกโพสต์ผ่านบัญชีที่ถูกขโมยหรือสร้างใหม่
เว็บไซต์ปลอมเลียนแบบบริการจริง เช่น TradingView
ไฟล์ MSI ที่ดาวน์โหลดจะเปิดเว็บวิวไปยังเว็บไซต์จริงเพื่อหลอกเหยื่อ
ใช้ msedge_proxy.exe เพื่อเปิดเว็บจริงควบคู่กับการติดตั้งมัลแวร์
ทำให้เหยื่อไม่สงสัยว่ามีสิ่งผิดปกติเกิดขึ้น
JSCEAL สามารถขโมยข้อมูลได้หลากหลายประเภท
รหัสผ่าน, คุกกี้, seed phrase, ข้อมูล Telegram, ภาพหน้าจอ, keystroke
สามารถดักจับเว็บทราฟฟิกและฝังสคริปต์ในเว็บไซต์ธนาคารหรือคริปโต
มัลแวร์มีโครงสร้างแบบหลายชั้นและปรับเปลี่ยน payload ได้ตามสถานการณ์
ใช้ fingerprinting scripts เพื่อประเมินความคุ้มค่าของเหยื่อก่อนปล่อย payload
มีการตั้ง proxy ภายในเครื่องเพื่อดักข้อมูลแบบ real-time
https://www.techradar.com/pro/security/major-new-malware-strain-targets-crypto-users-via-malicious-ads-heres-what-we-know-and-how-to-stay-safe
🧠 เรื่องเล่าจากโลกคริปโต: JSCEAL มัลแวร์ที่ซ่อนตัวในโฆษณาและ JavaScript
นักวิจัยจาก Check Point พบแคมเปญมัลแวร์ขนาดใหญ่ที่เริ่มต้นตั้งแต่มีนาคม 2024 โดยใช้ชื่อว่า “JSCEAL” ซึ่งมีเป้าหมายคือผู้ใช้แอปซื้อขายคริปโตและกระเป๋าเงินดิจิทัล โดยแฮกเกอร์สร้างแอปปลอมและเว็บไซต์หลอกลวงที่ดูเหมือนของจริง แล้วโปรโมตผ่านโฆษณาบน Facebook และแพลตฟอร์มอื่น ๆ
เมื่อเหยื่อคลิกโฆษณา จะถูกนำไปยังเว็บไซต์ปลอมที่ให้ดาวน์โหลดไฟล์ติดตั้ง MSI ซึ่งเมื่อเปิดใช้งาน จะเริ่มกระบวนการเก็บข้อมูลระบบผ่าน PowerShell และสคริปต์ JavaScript ที่ซ่อนอยู่ในเว็บไซต์ จากนั้นจะส่งข้อมูลไปยังเซิร์ฟเวอร์ของแฮกเกอร์ และหากพบว่าเครื่องมีข้อมูลสำคัญ ก็จะปล่อย payload สุดท้ายคือ JSCEAL ซึ่งทำงานผ่าน Node.js
JSCEAL ใช้ไฟล์ JavaScript ที่ถูกคอมไพล์ด้วย V8 engine ของ Google ซึ่งทำให้โค้ดถูกซ่อนไว้อย่างแนบเนียนและหลบเลี่ยงการตรวจจับจากแอนติไวรัสได้อย่างมีประสิทธิภาพ
✅ JSCEAL เป็นมัลแวร์ที่ใช้ไฟล์ JavaScript แบบคอมไพล์เพื่อหลบเลี่ยงการตรวจจับ
➡️ ใช้ฟีเจอร์ V8 JSC ของ Google เพื่อซ่อนโค้ด
➡️ ทำให้แอนติไวรัสทั่วไปไม่สามารถวิเคราะห์ได้ก่อนการรันจริง
✅ แคมเปญนี้เริ่มตั้งแต่มีนาคม 2024 และยังคงแพร่กระจายอย่างต่อเนื่อง
➡️ พบโฆษณาปลอมกว่า 35,000 รายการใน EU ภายในครึ่งแรกของปี 2025
➡️ คาดว่ามีผู้ตกเป็นเหยื่อมากกว่า 10 ล้านคนทั่วโลก
✅ แฮกเกอร์ใช้โฆษณาบน Facebook เพื่อหลอกให้ติดตั้งแอปปลอม
➡️ โฆษณาถูกโพสต์ผ่านบัญชีที่ถูกขโมยหรือสร้างใหม่
➡️ เว็บไซต์ปลอมเลียนแบบบริการจริง เช่น TradingView
✅ ไฟล์ MSI ที่ดาวน์โหลดจะเปิดเว็บวิวไปยังเว็บไซต์จริงเพื่อหลอกเหยื่อ
➡️ ใช้ msedge_proxy.exe เพื่อเปิดเว็บจริงควบคู่กับการติดตั้งมัลแวร์
➡️ ทำให้เหยื่อไม่สงสัยว่ามีสิ่งผิดปกติเกิดขึ้น
✅ JSCEAL สามารถขโมยข้อมูลได้หลากหลายประเภท
➡️ รหัสผ่าน, คุกกี้, seed phrase, ข้อมูล Telegram, ภาพหน้าจอ, keystroke
➡️ สามารถดักจับเว็บทราฟฟิกและฝังสคริปต์ในเว็บไซต์ธนาคารหรือคริปโต
✅ มัลแวร์มีโครงสร้างแบบหลายชั้นและปรับเปลี่ยน payload ได้ตามสถานการณ์
➡️ ใช้ fingerprinting scripts เพื่อประเมินความคุ้มค่าของเหยื่อก่อนปล่อย payload
➡️ มีการตั้ง proxy ภายในเครื่องเพื่อดักข้อมูลแบบ real-time
https://www.techradar.com/pro/security/major-new-malware-strain-targets-crypto-users-via-malicious-ads-heres-what-we-know-and-how-to-stay-safe
0 Comments
0 Shares
111 Views
0 Reviews