🛑 “ติดตั้ง Microsoft Teams แล้วโดนแฮก? — มัลแวร์ Oyster แฝงมากับไฟล์ปลอมจากเว็บหลอกที่ขึ้นอันดับใน Google” ใครที่กำลังจะดาวน์โหลด Microsoft Teams ต้องระวังให้ดี เพราะตอนนี้มีแคมเปญมัลแวร์ใหม่ที่ใช้เทคนิค “SEO poisoning” และ “malvertising” เพื่อหลอกให้ผู้ใช้ดาวน์โหลดไฟล์ติดตั้งปลอมที่แฝงมัลแวร์ชื่อ Oyster ซึ่งเป็น backdoor ที่เปิดช่องให้แฮกเกอร์เข้าถึงเครื่องของเหยื่อได้เต็มรูปแบบ เว็บไซต์ปลอมที่ใช้ชื่อว่า teams-install[.]top ถูกออกแบบให้เหมือนกับเว็บจริงของ Microsoft ทั้งสี ฟอนต์ และโครงสร้าง โดยเมื่อผู้ใช้ค้นหาคำว่า “Teams download” ใน Google หรือ Bing เว็บไซต์ปลอมนี้จะขึ้นมาอยู่ด้านบนของผลการค้นหา หรือแม้แต่ในโฆษณา ทำให้หลายคนเข้าใจผิดและคลิกเข้าไปดาวน์โหลดไฟล์ชื่อ MSTeamsSetup.exe ซึ่งดูเหมือนของจริงทุกประการ เมื่อเปิดไฟล์ดังกล่าว มัลแวร์ Oyster จะถูกติดตั้งลงในเครื่องทันที โดยแฝงตัวใน DLL ชื่อ CaptureService.dll และสร้าง scheduled task ให้รันทุก 11 นาที เพื่อให้ backdoor ทำงานต่อเนื่องแม้จะรีสตาร์ทเครื่องก็ตาม ที่น่ากังวลคือไฟล์นี้ถูกเซ็นด้วยใบรับรองดิจิทัลจากบริษัทที่ดูเหมือนถูกต้อง เช่น “KUTTANADAN CREATIONS INC.” และ “NRM NETWORK RISK MANAGEMENT INC.” ซึ่งช่วยให้ระบบป้องกันไวรัสบางตัวไม่ตรวจพบ และทำให้ผู้ใช้เชื่อว่าไฟล์นั้นปลอดภัย มัลแวร์ Oyster เคยถูกใช้ในแคมเปญโจมตีองค์กรมาแล้วหลายครั้ง โดยเฉพาะในกลุ่ม ransomware เช่น Rhysida และยังสามารถใช้เพื่อขโมยข้อมูล, ติดตั้งมัลแวร์เพิ่มเติม, หรือเจาะระบบเครือข่ายองค์กรได้อีกด้วย ✅ ข้อมูลสำคัญจากข่าว ➡️ พบเว็บไซต์ปลอม teams-install[.]top ที่หลอกให้ผู้ใช้ดาวน์โหลด Microsoft Teams ปลอม ➡️ ไฟล์ปลอมชื่อ MSTeamsSetup.exe แฝงมัลแวร์ Oyster ซึ่งเป็น backdoor ➡️ มัลแวร์จะติดตั้ง DLL ชื่อ CaptureService.dll และสร้าง scheduled task ให้รันทุก 11 นาที ➡️ ใช้เทคนิค SEO poisoning และ malvertising เพื่อให้เว็บปลอมขึ้นอันดับในผลการค้นหา ➡️ ไฟล์ถูกเซ็นด้วยใบรับรองดิจิทัลจากบริษัทที่ดูเหมือนถูกต้อง เพื่อหลบการตรวจจับ ➡️ Oyster เคยถูกใช้ในแคมเปญ ransomware เช่น Rhysida และสามารถขโมยข้อมูลหรือเจาะระบบได้ ➡️ Microsoft Defender ตรวจพบและบล็อกการเชื่อมต่อไปยังเซิร์ฟเวอร์ควบคุม (C2) ของมัลแวร์ ➡️ ผู้เชี่ยวชาญแนะนำให้พิมพ์ URL โดยตรงหรือใช้ bookmark แทนการค้นหาผ่าน search engine ✅ ข้อมูลเสริมจากภายนอก ➡️ SEO poisoning คือการปรับแต่งเว็บหลอกให้ขึ้นอันดับในผลการค้นหาเพื่อหลอกผู้ใช้ ➡️ Malvertising คือการใช้โฆษณาหลอกลวงเพื่อกระจายมัลแวร์ ➡️ ใบรับรองดิจิทัลที่มีอายุสั้น (2 วัน) ช่วยให้แฮกเกอร์หลบการตรวจสอบและการยกเลิกใบรับรอง ➡️ Oyster มีชื่ออื่นว่า Broomstick หรือ CleanUpLoader และเป็นมัลแวร์แบบ modular ➡️ การโจมตีลักษณะนี้เคยเกิดกับโปรแกรมอื่น เช่น PuTTY และ WinSCP โดยใช้วิธีคล้ายกัน https://www.techradar.com/pro/security/look-out-these-fake-microsoft-teams-installers-are-just-spreading-dangerous-malware