ClickFix + EtherHiding บน BNB: รู้ทันเว็บปลอมที่ดึงเพย์โหลดจากเชน
ถ้าคุณเจอหน้าเว็บที่ขึ้น “ยืนยันว่าไม่ใช่บอท” แล้วสั่งให้กด Win+R แล้ววางคำสั่ง หยุดทันทีครับ นั่นอาจไม่ใช่แคปต์ชาจริง
Netskope อธิบายแคมเปญที่เว็บธุรกิจขนาดเล็กถูกแทรกสคริปต์ แล้วดึงขั้นถัดไปจากสมาร์ทคอนแทรกต์บน BNB Smart Chain Testnet เทคนิคเก็บโค้ดหรือคอนฟิกบนเชนแบบนี้สื่อเรียกแนว EtherHiding เพราะข้อมูลอยู่บนบล็อกเชนสาธารณะ ถอดยากกว่าเซิร์ฟเวอร์โจมตีธรรมดา
ทาง ClickFix คือลวงให้ผู้ใช้วางคำสั่งเอง (มักเป็น PowerShell) หลังเห็นแคปต์ชาปลอม BleepingComputer อธิบายรูปแบบโซเชียลนี้ไว้ชัด และมีรายงานก่อนหน้าเรื่องการใช้สัญญาบน Binance Smart Chain เก็บสคริปต์มุ่งร้าย
ในรายงาน Netskope ยังพบสายที่เปลี่ยนจาก ClickFix ไปใช้ช่องทาง WebRTC แบบปิดบังเพื่อดึงโค้ดต่อ แต่สำหรับคนทั่วไปกฎเดิมยังใช้ได้: อย่าวางคำสั่งจากหน้าเว็บ
สิ่งที่ผู้ใช้ทั่วไปควรจำ
- แคปต์ชาจริงไม่สั่งให้เปิด Run แล้ววางสคริปต์
- อย่าวางคำสั่งจากหน้าเว็บลง PowerShell / Terminal
- ถ้าเว็บร้านค้าเล็ก ๆ พฤติกรรมแปลก ให้ปิดแท็บแล้วแจ้งเจ้าของเว็บ
สิ่งที่ทีมเว็บ/SecOps ทำได้ (เชิงป้องกัน)
- ตรวจความสมบูรณ์ของไฟล์ JS ใน CMS
- สังเกตทราฟฟิกออกไปยัง RPC ของสาย testnet ที่เครื่องออฟฟิศไม่ควรเรียก
- อบรมพนักงานเรื่องลวง “วางคำสั่งเพื่อปลดล็อก”
ผมไม่ใส่ IOC ละเอียด ไม่ใส่ขั้นตอน compose payload และไม่อธิบายวิธีโจมตี
Recap
- ClickFix หลอกให้ผู้ใช้วางคำสั่งเอง EtherHiding ช่วยเก็บขั้นถัดไปบนเชน
- แหล่งหลักที่อ้างคือ Netskope และ BleepingComputer
- กฎง่าย ๆ: ไม่เคยวางคำสั่งจากแคปต์ชาบนเว็บ
- โฟกัสป้องกันและ awareness เท่านั้นครับ