แคมเปญมัลแวร์ WeedHack
นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ค้นพบแคมเปญมัลแวร์ที่ซับซ้อนซึ่งมุ่งเป้าไปที่ผู้เล่น Minecraft โดยใช้การดัดแปลง YouTube และเครื่องมือค้นหาเพื่อแพร่เชื้อมัลแวร์ที่สามารถควบคุมระบบของผู้ใช้ได้
ปฏิบัติการนี้ซึ่งถูกติดตามภายใต้ชื่อ Weedhack เริ่มดำเนินการมาตั้งแต่เดือนมกราคม 2026 ผู้โจมตีปลอมแปลงซอฟต์แวร์ที่เป็นอันตรายให้เป็นโปรแกรมไคลเอนต์และม็อดของเกม Minecraft ล่อลวงผู้ใช้ให้ดาวน์โหลดไฟล์ที่ติดไวรัส นักวิจัยได้ระบุไฟล์ JAR ที่เป็นอันตรายที่ไม่ซ้ำกัน 3,820 ไฟล์ และ URL มากกว่า 240 รายการที่เกี่ยวข้องกับการเผยแพร่ซอฟต์แวร์ที่เป็นอันตรายนี้
เพื่อเพิ่มการเข้าถึงให้มากที่สุด แคมเปญนี้อาศัยเทคนิคการโจมตี SEO และเนื้อหาบน YouTube ที่โปรโมตการดัดแปลง Minecraft ที่ดูเหมือนถูกต้องตามกฎหมาย นักสืบได้ระบุวิดีโอหลายรายการและช่อง YouTube อย่างน้อยสองช่องที่นำผู้ชมไปยังเว็บไซต์ดาวน์โหลดที่เป็นอันตรายแล้ว
สารบัญ
แพลตฟอร์มอาชญากรมืออาชีพอยู่เบื้องหลังแคมเปญนี้
หัวใจสำคัญของการปฏิบัติการนี้คือแดชบอร์ดขั้นสูงที่โฮสต์อยู่บนเว็บไซต์ weedhack.to ซึ่งช่วยให้ผู้ร้ายทางไซเบอร์เข้าถึงข้อมูลประจำตัวที่ถูกขโมย ข้อมูลระบบ และความสามารถในการตรวจสอบอุปกรณ์ที่ถูกบุกรุกได้ แพลตฟอร์มนี้ยังช่วยให้ลูกค้าสามารถสร้างมัลแวร์แบบกำหนดเองเพื่อโจมตี Minecraft เวอร์ชัน 1.21.0 ถึง 1.21.11 และยังสามารถแทรกโค้ดที่เป็นอันตรายลงในส่วนเสริม Minecraft ที่ถูกต้องตามกฎหมายได้อีกด้วย
ระบบนิเวศของมัลแวร์นี้ได้รับการทำการตลาดผ่านช่องทาง Telegram ที่มีสมาชิกมากกว่า 850 คน ช่องทางนี้ทำหน้าที่เป็นศูนย์กลางในการโฆษณาบริการ เผยแพร่ข้อมูลอัปเดต และให้การสนับสนุนลูกค้าแก่ผู้ใช้แพลตฟอร์ม
ห่วงโซ่การติดเชื้อทำงานอย่างไร
การโจมตีเริ่มต้นเมื่อเหยื่อดาวน์โหลดไฟล์ JAR ที่เป็นอันตรายชื่อ DonutDupe.jar จากเว็บไซต์หลอกลวงแห่งใดแห่งหนึ่ง เมื่อไฟล์ถูกเรียกใช้งาน มันจะดึงข้อมูลเซิร์ฟเวอร์ควบคุมและสั่งการ (C2) ผ่าน EtherHiding ซึ่งเป็นเทคนิคที่ใช้บล็อกเชน Ethereum เป็นตัวแก้ไขจุดรั่วไหล (dead-drop resolver)
จากนั้นมัลแวร์จะติดต่อโครงสร้างพื้นฐาน C2 และดาวน์โหลดเพย์โหลดตัวที่สองที่ใช้ภาษา Java ซึ่งรู้จักกันในชื่อ Elevator.jar ส่วนประกอบนี้จะรวบรวมข้อมูลระบบ สร้างการยกเว้นใน Microsoft Defender และเตรียมระบบสำหรับการติดตั้งมัลแวร์เพิ่มเติม
ไฟล์มัลแวร์ตัวที่สาม SecurityManager.jar จะทำให้มัลแวร์สามารถคงอยู่บนอุปกรณ์ที่ติดไวรัสและทำหน้าที่เป็นส่วนประกอบในการเตรียมการโจมตี สุดท้าย ไฟล์ Component.jar จะถูกส่งมาเพื่อเปิดใช้งานฟังก์ชันการเข้าถึงระยะไกล ซึ่งทำให้ผู้โจมตีสามารถควบคุมระบบที่ถูกบุกรุกได้อย่างกว้างขวาง
บริการกำจัดมัลแวร์ทั้งแบบฟรีและแบบพรีเมียม
แพลตฟอร์ม Weedhack ให้บริการในรูปแบบการสมัครสมาชิกสองระดับ:
แพ็กเกจฟรี : ประกอบด้วยโปรแกรมขโมยข้อมูลอันทรงพลังที่สามารถเก็บรวบรวมรหัสเซสชัน Minecraft ข้อมูลจากโปรแกรมเปิดเกม Minecraft สี่ตัว ภาพหน้าจอ ไฟล์ ข้อมูลระบบ คุกกี้ของเบราว์เซอร์ รหัสผ่านจากเว็บเบราว์เซอร์ 36 ตัว ข้อมูลจากกระเป๋าเงินดิจิทัลบนเบราว์เซอร์ 56 ตัว และแอปพลิเคชันกระเป๋าเงินบนเดสก์ท็อป 12 ตัว รวมถึงข้อมูลประจำตัวที่เกี่ยวข้องกับ Discord, Steam และ Telegram
ระดับพรีเมียม : มีให้เลือกในราคาเริ่มต้นที่ 4.99 ดอลลาร์ต่อเดือน หรือ 24.99 ดอลลาร์สำหรับใบอนุญาตตลอดชีพ เวอร์ชันนี้เพิ่มคุณสมบัติการเข้าถึงระยะไกลขั้นสูง เช่น การเฝ้าระวังผ่านเว็บแคม การบันทึกการกดแป้นพิมพ์ การเรียกใช้คำสั่งเชลล์ย้อนกลับ การแชร์หน้าจอพร้อมการควบคุมแป้นพิมพ์และเมาส์ และความสามารถในการถ่ายโอนไฟล์
การเข้าถึงทั่วโลกและอุปสรรคที่ลดลงต่ออาชญากรรมไซเบอร์
พบผู้ติดเชื้อมากที่สุดในสหรัฐอเมริกา รองลงมาคือเยอรมนี อินเดีย สหราชอาณาจักร อิตาลี เวียดนาม แคนาดา นอร์เวย์ สวีเดน ฟินแลนด์ และสเปน
ลักษณะเด่นของ Weedhack คือการที่มันสามารถเข้าถึงได้บนเว็บสาธารณะ ไม่ใช่ในตลาดมืดที่ซ่อนเร้น ด้วยการให้เข้าถึงมัลแวร์ที่ซับซ้อนได้ฟรี พร้อมกับบทแนะนำอย่างละเอียด แพลตฟอร์มนี้จึงลดอุปสรรคในการเข้าถึงสำหรับอาชญากรไซเบอร์มือใหม่ได้อย่างมาก ความสามารถเพิ่มเติมในการขโมยบัญชี Minecraft ยิ่งเพิ่มความน่าสนใจในกลุ่มผู้ใช้ที่อายุน้อย ทำให้แคมเปญนี้อันตรายและมีประสิทธิภาพเป็นพิเศษ
จากอาชญากรรมไซเบอร์ สู่การกลั่นแกล้งทางไซเบอร์
นักวิจัยยังสังเกตเห็นมิติทางสังคมที่น่าตกใจของแคมเปญนี้ด้วย ลูกค้าจำนวนมากดูเหมือนจะเป็นวัยรุ่นและคนหนุ่มสาวที่ใช้คุณสมบัติการเข้าถึงระยะไกลของมัลแวร์เพื่อข่มขู่ คุกคาม และติดตามเหยื่อ
ผู้สืบสวนได้บันทึกกรณีที่ผู้โจมตีแอบบันทึกภาพเหยื่อผ่านเว็บแคมที่ถูกเจาะระบบ และต่อมาได้แชร์ภาพเหล่านั้นในช่อง Telegram ในรูปแบบที่เรียกว่า 'ของที่ระลึก' พฤติกรรมนี้แสดงให้เห็นว่าแพลตฟอร์มมัลแวร์อย่าง Weedhack ไม่เพียงแต่เอื้ออำนวยต่ออาชญากรรมไซเบอร์แบบดั้งเดิมเท่านั้น แต่ยังทำให้เกิดการกลั่นแกล้งทางไซเบอร์และการคุกคามทางดิจิทัลแบบเจาะจงเป้าหมายอีกด้วย
