PyPI พบมัลแวร์ getpubip และ py-wormgpt หลอกด้วยชื่อล่อใจ

เมื่อวานนี้ 15 ตุลาคม 2026 PyPI มีแพ็กเกจมัลแวร์ใหม่ถูกเปิดเผยสองตัวหลักคือ getpubip เวอร์ชัน 0.1.0 0.1.1 และ 0.1.2 กับ py-wormgpt เวอร์ชัน 1.0.0 เมื่อนำเข้าไปใช้จะรันโค้ดที่ซ่อนเร้นเพื่อดาวน์โหลดและรัน infostealer ซึ่งเป็นโปรแกรมที่ขโมยข้อมูลสำคัญจากเครื่องผู้ใช้ (OSV MAL-2026-17884) (OSV MAL-2026-17886) (kam193 bad-packages) (Strobes Security) (imfht.com).

เรื่องนี้สำคัญสำหรับคนไทยที่ใช้ Python ในการทำงานออฟฟิศ เขียนสคริปต์ ทำเว็บไซต์ วิเคราะห์ข้อมูล หรือแม้แต่นักเรียนนักศึกษาที่กำลังเรียนเขียนโค้ด เพราะมัลแวร์พวกนี้แฝงตัวมาในชื่อที่ดูน่าเชื่อถือและน่าลองใช้มาก ๆ

สรุป 30 วินาที: เกิดอะไรขึ้น

นักวิจัยความปลอดภัยพบแพ็กเกจ Python มัลแวร์ใหม่บน PyPI เมื่อวันที่ 15 ตุลาคม 2026 โดยแพ็กเกจ getpubip (เวอร์ชัน 0.1.0, 0.1.1, 0.1.2) และ py-wormgpt (เวอร์ชัน 1.0.0) เป็นตัวหลัก (kam193 bad-packages) (OSV MAL-2026-17884).

เมื่อผู้ใช้ติดตั้งและ import แพ็กเกจ โค้ดที่ถูกเข้ารหัสลับจะทำงานทันที โดยดาวน์โหลดและรันโปรแกรม infostealer ที่สามารถขโมยข้อมูลเบราว์เซอร์ ไฟล์ต่าง ๆ และอาจติดตั้ง persistence เพื่อให้ผู้โจมตีสั่งคำสั่งจากระยะไกลได้ (OSV MAL-2026-17884) (OSV MAL-2026-17886) (imfht.com).

แคมเปญนี้อยู่ในกลุ่ม 2026-10-getpubip และ 2026-10-agentaix ซึ่งมีความคล้ายกับแคมเปญก่อนหน้าอย่าง 2026-10-fontcase (Strobes Security) (kam193 bad-packages).

ทำไมเรื่องนี้เกี่ยวกับคุณ

ลองคิดดูว่าถ้าคุณเป็นพนักงานออฟฟิศที่ใช้ Python เขียนสคริปต์อัตโนมัติรายงานยอดขาย หรือ freelancer ที่รับงานวิเคราะห์ข้อมูลให้ลูกค้า แพ็กเกจแปลก ๆ ที่แฝงมัลแวร์อาจเข้ามาใน environment ของคุณได้โดยไม่รู้ตัว

ข้อมูลที่ถูกขโมยอาจรวมถึงรหัสผ่านอีเมลธนาคาร บัญชี cloud ที่เก็บเอกสารงาน ลิงก์เข้าสู่ระบบบริษัท หรือแม้แต่กุญแจ SSH ที่ใช้เชื่อมต่อเซิร์ฟเวอร์ ถ้าเงินในบัญชีหาย หรือข้อมูลลูกค้าถูกนำไปใช้ในทางมิชอบ ชีวิตประจำวันและธุรกิจเล็ก ๆ ของเราจะเดือดร้อนทันที

สำหรับนักเรียนและนักศึกษาที่เรียนวิชาเขียนโปรแกรม การหลงติดตั้งแพ็กเกจที่ชื่อดูดีอาจทำให้เครื่องเรียนหรือเครื่องส่วนตัวติดมัลแวร์โดยไม่รู้ตัว ส่งผลต่อทั้งความปลอดภัยส่วนตัวและผลการเรียนด้วย

ทำงานยังไง

getpubip ถูกออกแบบมาให้ดูเหมือนเครื่องมือช่วยหา public IP address ที่นักพัฒนาหลายคนต้องการใช้จริง แต่เมื่อเรา import มันเข้าไปในโค้ด โค้ดที่ถูก obfuscate หรือเข้ารหัสลับจะรันขึ้นมาและดาวน์โหลดไฟล์ executable จากโดเมนภายนอกแล้วรันมันทันที (OSV MAL-2026-17884) (Strobes Security).

ส่วน py-wormgpt ใช้ชื่อที่เล่นกับความสนใจของคนที่อยากได้เครื่องมือ AI สำหรับงานแฮกกิ้ง มันจะติดตั้ง persistent job หรืองานที่รันอัตโนมัติทุกครั้งที่เปิดเครื่อง เพื่อให้สามารถขโมยไฟล์ (file exfiltration) รันคำสั่งจากระยะไกล และทำงานในลักษณะของ remote access tool (OSV MAL-2026-17886) (imfht.com) (kam193 bad-packages).

ลองเปรียบเหมือนการสั่งข้าวผัดจากร้านข้าวตามสั่งแถวบ้านที่เราคุ้นเคย แต่พออาหารมาถึงเรากลับเจอว่าพ่อค้าแอบใส่ยาพิษลงไปในจานโดยที่เราไม่รู้ตัว เพราะเมนูและราคาดูปกติเกินไปจนไม่คิดจะตรวจสอบ

จุดหักมุม: ชื่อล่อใจที่คนอยากได้ของฟรีหรือของแรง

จุดที่น่าสนใจที่สุดคือทั้งสองแพ็กเกจไม่ได้ใช้ชื่อที่ดูน่ากลัวเลย แต่กลับตั้งชื่อให้ดูมีประโยชน์และน่าลองใช้ getpubip ฟังดูเหมือน helper tool ธรรมดา ๆ ที่ช่วยหา IP สาธารณะ ส่วน py-wormgpt ใช้คำว่า WormGPT ซึ่งเป็นชื่อที่คนในวงการรู้จักในฐานะ AI ที่ “ไม่มีขีดจำกัด” และ “แรง” มาก

คนเรามักถูกดึงดูดด้วยของฟรี ของที่ดูทันสมัย หรือของที่ให้ความรู้สึกว่า “ได้เปรียบ” การใช้ชื่อแบบนี้จึงเป็นกลยุทธ์ที่ฉลาด เพราะมันไม่ใช่การโจมตีด้วยเทคนิคอย่างเดียว แต่เป็นการโจมตีจิตวิทยาและความอยากรู้อยากลองของมนุษย์เราโดยตรง

เรื่องเงิน / ผลกระทบ

ถ้าเครื่องติดมัลแวร์ infostealer ผลกระทบต่อเงินในกระเป๋าอาจเกิดขึ้นเร็วมาก รหัสผ่านธนาคารออนไลน์ที่ถูกขโมยอาจทำให้เงินหายไปภายในไม่กี่ชั่วโมง สำหรับเจ้าของธุรกิจเล็กที่ใช้ Python จัดการบัญชีหรือสต็อกสินค้า ข้อมูลอาจรั่วไหลและนำไปสู่การสูญเสียลูกค้า

สำหรับบริษัทหรือทีมพัฒนา ค่าใช้จ่ายในการกู้ระบบ การเปลี่ยนกุญแจความปลอดภัยทั้งหมด และการสร้างความเชื่อมั่นใหม่ให้กับลูกค้าอาจสูงถึงหลักแสนหรือมากกว่านั้น นอกจากนี้ยังมีผลต่อชื่อเสียงของธุรกิจด้วย

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

แหล่งข่าวส่วนใหญ่ระบุว่ามัลแวร์ถูกพบและรายงานเมื่อวันที่ 15 ตุลาคม 2026 แต่ในรายชื่อของ kam193 มีการอัปเดตแถว py-wormgpt เมื่อวันที่ 16 ตุลาคม 2026 เวลา 05:58 UTC ซึ่งเมื่อแปลงเป็นเวลาประเทศไทยคือเช้าวันนี้ (kam193 bad-packages) (OSV MAL-2026-17884).

ทั้ง OSV และ Strobes ระบุ SHA256 เดียวกันของแพ็กเกจ getpubip แต่รายละเอียดการโจมตียังไม่ครบถ้วน เช่น จำนวนคนที่ติดตั้งจริง ยังไม่มีตัวเลขชัดเจนจากทุกแหล่ง (Strobes Security).

สำหรับ py-wormgpt แหล่งข่าวบอกว่ามันสามารถ exfiltrate ไฟล์และรัน remote command แต่ยังไม่ระบุชัดว่าคำสั่งที่ทำได้มีขอบเขตแค่ไหน และยังไม่มีข้อมูลยืนยันว่ามันเชื่อมต่อกับโดเมนใดเป็นหลักนอกจากที่ระบุไว้ (OSV MAL-2026-17886) (imfht.com).

แล้วเราควรทำอะไร

สำหรับคนทั่วไป พนักงานออฟฟิศ และนักพัฒนา freelance ให้ทำตามขั้นตอนเหล่านี้

1. เปิดเทอร์มินัลแล้วพิมพ์คำสั่ง pip show getpubip และ pip show py-wormgpt ถ้ามีผลลัพธ์ให้ถอนการติดตั้งทันที
2. ตรวจสอบไฟล์ requirements.txt, Pipfile, poetry.lock หรือ uv.lock ในทุกโปรเจกต์ว่ามีชื่อ getpubip หรือ py-wormgpt ไหม
3. ถ้าพบ ให้ตัดการเชื่อมต่ออินเทอร์เน็ตของเครื่องนั้นก่อน หมุนรหัสผ่านทุกบัญชีที่เคยใช้ในเบราว์เซอร์ของเครื่องนั้น (โดยเฉพาะธนาคาร อีเมล และบริการออนไลน์) และเปลี่ยนกุญแจ SSH, API token, cloud credential ใหม่ทั้งหมด
4. ลบ virtual environment ที่ติดมัลแวร์ทิ้งแล้วสร้างใหม่จาก scratch

สำหรับทีมไอทีและบริษัทขนาดเล็กถึงขนาดกลาง

1. สแกนทุก environment ด้วยเครื่องมือ pip-audit หรือตรวจสอบผ่านฐานข้อมูล OSV
2. เพิ่มขั้นตอน dependency review ในกระบวนการ CI/CD ของทีม
3. นำหลักการ cooldown มาใช้ โดยหยุดนำแพ็กเกจใหม่มาใช้ทันทีเป็นเวลา 3 วันตามที่เคยแนะนำไว้ในบทความเรื่อง Python Dependency Cooldown
4. จัดอบรมทีมพัฒนาให้ตรวจสอบแพ็กเกจก่อนติดตั้งและใช้ lock file ที่ pin เวอร์ชันชัดเจนเสมอ

สำหรับนักเรียน นักศึกษา และผู้ที่เพิ่งหัดเขียนโค้ด

1. อย่า pip install แพ็กเกจที่ไม่เคยรู้จักโดยไม่ค้นหาข้อมูลก่อน
2. ใช้ virtual environment แยกแต่ละโปรเจกต์เสมอเพื่อลดความเสี่ยง
3. ถามคุณครู พี่รหัส หรือผู้ที่มีประสบการณ์ก่อนจะติดตั้งอะไรที่ดูแปลก ๆ

ผมมองว่า…

ผมมองว่าเรื่องนี้ไม่ใช่แค่ปัญหาเล็ก ๆ ของ PyPI หรือของนักพัฒนา Python โดยเฉพาะ แต่คือปัญหาของทุกคนที่ใช้คอมพิวเตอร์และอินเทอร์เน็ตในชีวิตประจำวัน เพราะซัพพลายเชนของซอฟต์แวร์ในปัจจุบันมันเชื่อมโยงกันแน่นแฟ้นมากแล้ว การที่มัลแวร์ใช้ชื่อล่อใจแบบ getpubip และ py-wormgpt แสดงให้เห็นว่าผู้โจมตีไม่ได้โจมตีแค่โค้ด แต่โจมตีความอยากรู้อยากลองและความสะดวกสบายของเราโดยตรง ไม่ใช่แค่ภัยจากเทคโนโลยี แต่คือภัยจากพฤติกรรมมนุษย์ที่ถูกใช้ประโยชน์

ปิดท้าย: สิ่งที่ต้องจับตา

ในช่วงนี้เราต้องจับตาดูว่าแคมเปญ 2026-10-getpubip และ 2026-10-agentaix จะมีแพ็กเกจใหม่ ๆ เพิ่มเข้ามาอีกหรือไม่ เพราะจากรายชื่อในเว็บ kam193 ยังมีแพ็กเกจอื่นที่ถูกเพิ่มในวันเดียวกัน เช่น proxyrubika และ fromthehotel-poems (kam193 bad-packages) นอกจากนี้ยังควรติดตามว่าเครื่องมือตรวจสอบมาตรฐานของชุมชน Python อย่าง pip-audit และฐานข้อมูล OSV จะตอบสนองและอัปเดตข้อมูลเร็วแค่ไหน รวมถึงทาง PyPI เองจะมีมาตรการใหม่ในการป้องกันมัลแวร์ที่ใช้ชื่อล่อใจแบบนี้เพิ่มเติมหรือไม่

• ตรวจสอบ dependencies ในเครื่องและทุกโปรเจกต์ที่ใช้ Python ภายในวันนี้
• หมุนรหัสผ่านและกุญแจความปลอดภัยทั้งหมดหากเคยติดตั้งแพ็กเกจต้องสงสัย
• เปิดใช้งาน lock file และ dependency review ในทุกโปรเจกต์ที่ทำอยู่
• ติดตามข่าวจาก OSV, kam193 และ Strobes Security เป็นประจำทุกสัปดาห์
• แนะนำเพื่อนร่วมงาน ลูกหลาน หรือเพื่อนที่ใช้ Python ให้ระวังแพ็กเกจที่มีชื่อแปลกหรือน่าลองใช้เกินไป

Recap

• ตรวจ dependencies ด้วย pip show และ lock files ทันที
• ถ้าพบมัลแวร์ ให้ตัดเน็ต หมุน credentials และ rebuild environment
• ใช้ virtual environment แยก + pin เวอร์ชันด้วย lock file
• นำ cooldown 3 วันมาใช้ก่อนติดตั้งแพ็กเกจใหม่
• ตรวจสอบผ่าน OSV และ pip-audit เป็นนิสัย
• ระวังแพ็กเกจที่มีชื่อล่อใจอย่าง getpubip หรือ py-wormgpt
• ติดตามข่าวมัลแวร์ PyPI เป็นประจำจากหลายแหล่ง