🎙️ เมื่อคำสั่งเดียวใน Terminal เปลี่ยน Mac ให้กลายเป็นเครื่องมือของแฮกเกอร์ ระหว่างเดือนมิถุนายนถึงสิงหาคม 2025 ผู้ใช้ macOS ทั่วโลกที่กำลังค้นหาวิธีแก้ปัญหาเล็ก ๆ เช่น “flush DNS cache” กลับถูกนำไปยังเว็บไซต์ช่วยเหลือปลอมที่ดูน่าเชื่อถืออย่าง mac-safer.com และ rescue-mac.com ซึ่งปรากฏในผลการค้นหาผ่านโฆษณา Google เว็บไซต์เหล่านี้แนะนำให้ผู้ใช้คัดลอกคำสั่งเพียงบรรทัดเดียวไปวางใน Terminal เพื่อ “แก้ปัญหา” แต่แท้จริงแล้ว คำสั่งนั้นคือกับดักที่ดาวน์โหลดมัลแวร์ SHAMOS ซึ่งเป็นสายพันธุ์ใหม่ของ AMOS infostealer ที่พัฒนาโดยกลุ่ม COOKIE SPIDER SHAMOS ไม่เพียงแค่ขโมยรหัสผ่านจาก Keychain หรือข้อมูลจาก Apple Notes และเบราว์เซอร์เท่านั้น แต่มันยังสามารถดึงข้อมูลจากกระเป๋าเงินคริปโต สร้างไฟล์ ZIP เพื่อส่งกลับไปยังเซิร์ฟเวอร์ของแฮกเกอร์ และติดตั้งโมดูลเพิ่มเติม เช่น แอป Ledger Live ปลอม และบอตเน็ต แคมเปญนี้ยังใช้ GitHub ปลอม เช่น repo ของ iTerm2 เพื่อหลอกให้ผู้ใช้รันคำสั่งที่ดูเหมือนเป็นการติดตั้งซอฟต์แวร์จริง แต่กลับเป็นการติดตั้งมัลแวร์โดยตรง สิ่งที่ทำให้การโจมตีนี้ได้ผลคือความเรียบง่ายและการใช้เทคนิค “ClickFix” ที่หลอกให้ผู้ใช้คิดว่ากำลังแก้ปัญหา แต่จริง ๆ แล้วกำลังเปิดประตูให้แฮกเกอร์เข้ามาในระบบ 📌 สรุปเนื้อหาเป็นหัวข้อ ➡️ กลุ่ม COOKIE SPIDER ใช้มัลแวร์ SHAMOS ซึ่งเป็นสายพันธุ์ใหม่ของ AMOS infostealer ➡️ แคมเปญใช้ malvertising ผ่าน Google Ads เพื่อหลอกผู้ใช้ macOS ➡️ เว็บไซต์ปลอม เช่น mac-safer.com และ rescue-mac.com ถูกใช้เป็นกับดัก ➡️ คำสั่ง Terminal เพียงบรรทัดเดียวสามารถติดตั้งมัลแวร์โดยข้าม Gatekeeper ➡️ SHAMOS ขโมยข้อมูลจาก Keychain, Apple Notes, เบราว์เซอร์ และกระเป๋าเงินคริปโต ➡️ มัลแวร์บันทึกข้อมูลในไฟล์ ZIP และส่งออกผ่าน curl ➡️ มีการติดตั้ง LaunchDaemons เพื่อให้มัลแวร์ทำงานทุกครั้งที่เปิดเครื่อง ➡️ SHAMOS สามารถดาวน์โหลด payload เพิ่มเติม เช่น แอปปลอมและบอตเน็ต ➡️ GitHub ปลอมถูกใช้เป็นช่องทางเสริมในการหลอกให้ติดตั้งมัลแวร์ ➡️ แคมเปญนี้โจมตีผู้ใช้ในกว่า 9 ประเทศ รวมถึงสหรัฐฯ ญี่ปุ่น และอังกฤษ ✅ ข้อมูลเสริมจากภายนอก ➡️ เทคนิค “ClickFix” ถูกใช้ในหลายแคมเปญมัลแวร์ รวมถึงใน TikTok และ Google Meet ปลอม ➡️ คำสั่งแบบ one-liner เช่น curl | bash เป็นช่องโหว่ที่นิยมในมัลแวร์ยุคใหม่ ➡️ Gatekeeper ของ macOS สามารถถูกข้ามได้ด้วยการลบ quarantine flag ผ่าน xattr ➡️ การใช้ Base64 encoding ช่วยซ่อน URL ของมัลแวร์จากสายตาผู้ใช้ ➡️ การปลอมตัวเป็นร้านค้าอิเล็กทรอนิกส์ในโปรไฟล์โฆษณา Google เพิ่มความน่าเชื่อถือ https://hackread.com/cookie-spider-malvertising-new-shamos-macos-malware/