🕷️ “แฮ็กเกอร์ใช้เว็บ WordPress กว่า 14,000 แห่งแพร่มัลแวร์ผ่านบล็อกเชน” — เมื่อ ClickFix และ CLEARSHOT กลายเป็นอาวุธใหม่ในสงครามไซเบอร์ Google Threat Intelligence Group (GTIG) เปิดเผยว่า กลุ่มแฮ็กเกอร์ UNC5142 ได้เจาะระบบเว็บไซต์ WordPress กว่า 14,000 แห่งทั่วโลก เพื่อใช้เป็นฐานปล่อยมัลแวร์ โดยอาศัยเทคนิคใหม่ที่ผสาน JavaScript downloader กับบล็อกเชนสาธารณะเพื่อหลบเลี่ยงการตรวจจับและการปิดระบบ มัลแวร์ถูกส่งผ่านตัวดาวน์โหลดชื่อ “CLEARSHOT” ซึ่งฝังอยู่ในเว็บไซต์ที่ถูกแฮ็ก และจะดึง payload ระยะที่สองจากบล็อกเชน BNB chain โดยตรง จากนั้นจะโหลดหน้า landing page ที่เรียกว่า “CLEARSHORT” ซึ่งใช้กลยุทธ์ ClickFix หลอกให้เหยื่อคัดลอกคำสั่งไปวางใน Run (Windows) หรือ Terminal (Mac) เพื่อรันมัลแวร์ด้วยตัวเอง การใช้บล็อกเชนทำให้โครงสร้างพื้นฐานของแฮ็กเกอร์มีความทนทานต่อการตรวจจับและการปิดระบบ เพราะข้อมูลไม่สามารถลบหรือเปลี่ยนแปลงได้ง่ายเหมือนเว็บทั่วไป แม้กลุ่ม UNC5142 จะหยุดปฏิบัติการในเดือนกรกฎาคม 2025 แต่ GTIG เชื่อว่าพวกเขาอาจยังคงเคลื่อนไหวอยู่ โดยเปลี่ยนเทคนิคให้ซับซ้อนและตรวจจับยากขึ้น ✅ กลุ่ม UNC5142 เจาะระบบเว็บไซต์ WordPress กว่า 14,000 แห่ง ➡️ ใช้ช่องโหว่ในปลั๊กอิน, ธีม และฐานข้อมูล ✅ ใช้ JavaScript downloader ชื่อ “CLEARSHOT” เพื่อกระจายมัลแวร์ ➡️ ดึง payload ระยะที่สองจากบล็อกเชน BNB chain ✅ หน้า landing page “CLEARSHORT” ใช้กลยุทธ์ ClickFix ➡️ หลอกให้เหยื่อคัดลอกคำสั่งไปวางใน Run หรือ Terminal ✅ มัลแวร์ถูกโหลดจากเซิร์ฟเวอร์ภายนอกผ่าน Cloudflare .dev ➡️ ข้อมูลถูกเข้ารหัสเพื่อหลบเลี่ยงการตรวจจับ ✅ การใช้บล็อกเชนเพิ่มความทนทานต่อการปิดระบบ ➡️ เพราะข้อมูลไม่สามารถลบหรือเปลี่ยนแปลงได้ง่าย ✅ GTIG เชื่อว่า UNC5142 ยังไม่เลิกปฏิบัติการจริง ➡️ อาจเปลี่ยนเทคนิคเพื่อหลบเลี่ยงการตรวจจับ https://www.techradar.com/pro/security/thousands-of-web-pages-abused-by-hackers-to-spread-malware