เตือนภัย! แอป Claude ปลอมแพร่มัลแวร์ RevStealer ขโมยคริปโตกว่า 50 กระเป๋าเงิน

บริษัทความปลอดภัยไซเบอร์ Morphisec เผยแพร่รายงานเมื่อวันที่ 31 สิงหาคมที่ผ่านมา เตือนภัยแอปพลิเคชัน Claude ปลอมที่แอบอ้างแบรนด์ Anthropic บริษัทผู้พัฒนา AI ถูกใช้เป็นช่องทางแพร่มัลแวร์ชื่อ RevStealer มัลแวร์บน Windows ที่ออกแบบมาเพื่อขโมยข้อมูลคริปโต รหัสผ่าน และข้อมูลเบราว์เซอร์ของเหยื่อโดยเฉพาะ

แอบอ้างชื่อ "Claude Opus 5 Free Desktop" หลอกให้ดาวน์โหลด

ตามรายงานของ Morphisec มัลแวร์ RevStealer ถูกซ่อนอยู่ในแอปพลิเคชัน Electron ปลอมที่ใช้ชื่อ "Claude Opus 5 Free Desktop" อ้างว่าให้เข้าถึงโมเดล AI แบบเสียเงินของ Anthropic ได้ฟรี ก่อนหน้านี้มัลแวร์ตัวเดียวกันเคยถูกแพร่กระจายผ่านที่เก็บโค้ดบน GitHub และเว็บไซต์ที่โฆษณาโปรแกรมโกงเกม แต่ทีมวิจัย Morphisec Threat Labs ระบุว่าโปรเจกต์ที่แอบอ้างชื่อ Claude ถือเป็นตัวอย่างที่น่าจับตามากที่สุด เพราะอาศัยความสนใจใน AI แบบเสียเงินมาล่อให้คนติดตั้งซอฟต์แวร์ที่ไม่ผ่านการตรวจสอบ

เหยื่อที่ดาวน์โหลดไฟล์จะได้ไฟล์บีบอัดขนาดประมาณ 101 เมกะไบต์ ซึ่งภายในมีโปรแกรม Electron แบบ 64 บิต แต่เมื่อเปิดใช้งานกลับไม่แสดงหน้าต่างการใช้งานใดๆ ตามที่ผู้ใช้คาดหวัง โดย Morphisec พบว่าโปรแกรมจะเตรียมข้อมูลที่เข้ารหัสไว้เบื้องหลังแทน ก่อนดำเนินการตรวจสอบสภาพแวดล้อมของเครื่องคอมพิวเตอร์อย่างละเอียด เพื่อหลีกเลี่ยงการถูกตรวจจับจากนักวิจัยความปลอดภัยหรือระบบวิเคราะห์อัตโนมัติ ก่อนจะปลดล็อกการทำงานที่เป็นอันตรายจริงในกรณีที่ตรวจไม่พบสิ่งผิดปกติเท่านั้น

เป้าหมาย: กระเป๋าคริปโตกว่า 50 รายการ และ Password Manager 12 ตัว

Morphisec ยืนยันว่ารายการข้อมูลที่ RevStealer ค้นหาและขโมยครอบคลุม Windows Credential Manager, Password Manager 12 ตัว, กระเป๋าคริปโตกว่า 50 รายการ รวมถึงคุกกี้เซสชันของเบราว์เซอร์ นอกจากนี้ยังค้นหาการตั้งค่า VPN ข้อมูลการเข้าถึงระยะไกล เนื้อหาคลิปบอร์ด ข้อมูลแอปพลิเคชันแชท เอกสารบางประเภท ภาพหน้าจอ และโปรไฟล์การสตรีม โดยข้อมูลที่รวบรวมได้จากแต่ละแหล่งจะถูกเข้ารหัสก่อนส่งกลับไปยังเซิร์ฟเวอร์ควบคุมของผู้โจมตี

ที่น่ากังวลคือคุกกี้เซสชันของเบราว์เซอร์ที่ถูกขโมยไป อาจทำให้ผู้โจมตีเข้าถึงบัญชีของเหยื่อได้แม้จะเปิดใช้งานการยืนยันตัวตนสองชั้น (2FA) อยู่ก็ตาม เนื่องจากหากเซสชันนั้นผ่านการล็อกอินไปแล้ว ผู้โจมตีอาจนำคุกกี้ไปใช้สวมรอยแทนการกรอกรหัสผ่านและรหัสยืนยันซ้ำได้ ทั้งนี้ Morphisec ระบุว่า RevStealer ไม่ได้ฝังตัวอยู่ในเครื่องถาวรแบบมัลแวร์ทั่วไป แต่จะรวบรวมข้อมูล ส่งกลับไปยังผู้ควบคุม แล้วลบตัวเองออกจากเครื่องทันที ทำให้ระบบตรวจจับอาจแจ้งเตือนช้าเกินกว่าจะทันเหตุการณ์

Shmuel Uzan นักวิจัยของ Morphisec อธิบายลักษณะการออกแบบของมัลแวร์นี้ว่า "ทุกขั้นตอนของมันถูกออกแบบมาโดยตั้งสมมติฐานว่ามีคนกำลังจับตาดูอยู่"

ไม่ใช่เคสแรก: รูปแบบการหลอกลวงที่เกิดขึ้นซ้ำ

รายงานของ Morphisec เผยแพร่ตามหลังการค้นพบของ Kaspersky บริษัทความปลอดภัยไซเบอร์สัญชาติรัสเซีย ที่ระบุถึงมัลแวร์กรอบใหม่ชื่อ OkoBot ซึ่งพุ่งเป้าไปที่นักลงทุนคริปโตโดยเฉพาะ สามารถดูดไฟล์กระเป๋าเงิน ข้อมูลเบราว์เซอร์ และข้อมูลรับรองตัวตนของผู้ใช้ พบเหยื่อในบราซิล เวียดนาม แคนาดา เม็กซิโก และตุรกี

ก่อนหน้านี้ในเดือนพฤษภาคม 2568 กระทรวงยุติธรรมสหรัฐฯ ยังเคยดำเนินการปราบปรามมัลแวร์ชื่อ LummaC2 ซึ่งถูกใช้ในเหตุการณ์ขโมยข้อมูลกว่า 1.7 ล้านครั้ง โดยหน่วยงานรัฐบาลสหรัฐฯ ยึดโดเมนหลัก 5 โดเมนที่สนับสนุนการทำงานของมัลแวร์ ขณะที่ Microsoft ระบุว่าได้ช่วยขัดขวางโดเมนที่เกี่ยวข้องกว่า 2,300 โดเมน สะท้อนว่าการปลอมแปลงซอฟต์แวร์ยอดนิยมเพื่อแพร่มัลแวร์ขโมยคริปโตยังคงเป็นรูปแบบการหลอกลวงที่เกิดขึ้นต่อเนื่อง

วิธีป้องกันตัวเองจากมัลแวร์ลักษณะนี้

ผู้ใช้งานควรดาวน์โหลดแอปพลิเคชัน AI หรือซอฟต์แวร์ใดๆ จากเว็บไซต์ทางการของผู้พัฒนาเท่านั้น เช่น claude.ai หรือ anthropic.com สำหรับ Claude โดยเฉพาะ และควรตั้งข้อสงสัยไว้ก่อนเสมอหากพบข้อเสนอ "ใช้ AI แบบเสียเงินได้ฟรี" ผ่านช่องทางที่ไม่เป็นทางการอย่าง GitHub ที่ไม่มีการยืนยันตัวตนผู้พัฒนา หรือเว็บไซต์โฆษณาโปรแกรมโกงเกม นอกจากนี้ผู้ที่ถือครองคริปโตควรเก็บ Seed Phrase ไว้แบบออฟไลน์เสมอ ไม่พิมพ์หรือบันทึกไว้ในเครื่องคอมพิวเตอร์ที่เชื่อมต่ออินเทอร์เน็ต และควรพิจารณาใช้กระเป๋าฮาร์ดแวร์สำหรับเก็บสินทรัพย์มูลค่าสูง หากสงสัยว่าเครื่องอาจติดมัลแวร์ ควรออกจากระบบทุกบัญชีและเปลี่ยนรหัสผ่านทันที เพราะการเพียงลบมัลแวร์ทิ้งไม่ได้ทำให้ข้อมูลที่ถูกขโมยไปแล้วปลอดภัยกลับคืนมา

📎 อ่านเพิ่มเติม: 👉 บทความต้นฉบับจาก Cointelegraph

🔗 อ้างอิงต้นฉบับ: Cointelegraph, Morphisec, crypto.news

💬 ความเห็นบรรณาธิการ Bitcoinaddict: เคสนี้สะท้อนแนวโน้มที่แฮกเกอร์เริ่มใช้กระแสความนิยมของเครื่องมือ AI มาเป็นเหยื่อล่อแทนซอฟต์แวร์ทั่วไป เพราะผู้ใช้จำนวนมากอยากได้สิทธิ์เข้าถึงโมเดล AI ระดับสูงแบบฟรีๆ โดยไม่ทันระวังตัว ทีมงาน Bitcoinaddict ขอย้ำว่า Anthropic ไม่มีนโยบายแจกสิทธิ์การใช้งานโมเดลแบบเสียเงินฟรีผ่านไฟล์ติดตั้งนอกช่องทางทางการแต่อย่างใด

สำหรับนักลงทุนไทยที่ใช้เครื่องมือ AI ควบคู่กับการดูแลพอร์ตคริปโต ควรระมัดระวังเป็นพิเศษ เพราะเครื่องที่ใช้ทำงานร่วมกับกระเป๋าเงินดิจิทัลมักมีความเสี่ยงสูงกว่าเครื่องทั่วไป การแยกอุปกรณ์ที่ใช้เก็บสินทรัพย์คริปโตออกจากเครื่องที่ใช้ดาวน์โหลดซอฟต์แวร์ทดลองใหม่ๆ ก็เป็นอีกแนวทางที่ช่วยลดความเสี่ยงได้มาก

— รายงานโดยทีมข่าว Bitcoinaddict.com