กลไกทางเทคนิคของ JavaScript อันตราย

โค้ดที่ถูกแทรกเข้ามาทำหน้าที่เป็น staged loader ซึ่งไม่ได้ทำงานทันที แต่จะตรวจสอบสภาพแวดล้อมก่อนเพื่อหลบเลี่ยงการตรวจจับและเลือกเป้าหมายที่เหมาะสม :

• การติดตามด้วย localStorage — เมื่อผู้ใช้เข้าเว็บครั้งแรก สคริปต์จะบันทึกเวลาใน localStorage เพื่อป้องกันการทำงานซ้ำสำหรับผู้ใช้คนเดิม ช่วยลดปริมาณการแจ้งเตือนและลดโอกาสถูกตรวจพบ
• การกรอง User-Agent (ยกเว้นมือถือ) — สคริปต์จะตรวจสอบ User-Agent ของผู้ใช้เพื่อข้ามผู้ใช้มือถือและกำหนดเป้าหมายเฉพาะผู้ใช้ Desktop เพราะขั้นตอนถัดไปต้องอาศัยการโต้ตอบกับ Windows
• การบดบังด้วย XOR — Loader จะถอดรหัสส่วนย่อยของสตริงที่ถูกบดบังด้วย XOR แบบ Real-time เพื่อสร้าง URL เซิร์ฟเวอร์ควบคุมคำสั่ง (C2) ทำให้หลบเลี่ยงระบบตรวจจับแบบลายเซ็นพื้นฐาน
• การแทรกสคริปต์แบบไดนามิก — หลังจากสร้าง URL C2 ที่ซ่อนอยู่ได้ โค้ดจะแทรก element <script> ใหม่ลงในหน้าเพื่อดึงเพย์โหลดเพิ่มเติม
• การหลอกลวงด้วย CAPTCHA ปลอม / ClickFix — ผู้ใช้ที่ผ่านการตรวจสอบทั้งหมดจะพบหน้า "ยืนยันว่าคุณไม่ใช่บอท" ปลอมที่ออกแบบเหมือน ClickFix ซึ่งจะหลอกให้ผู้ใช้เปิดกล่องโต้ตอบ Run ของ Windows และวางคำสั่งที่ถูกคัดลอกไปยังคลิปบอร์ดโดยอัตโนมัติ

กลลวง ClickFix: จุดเปลี่ยนสำคัญ

ClickFix เป็นเทคนิคทางสังคมวิศวกรรมที่สคริปต์อันตรายจะคัดลอกคำสั่งไปยังคลิปบอร์ดของผู้ใช้ จากนั้นแสดงคำแนะนำให้ผู้ใช้กด Win + R เพื่อเปิดกล่อง Run วาง และกด Enter คำสั่งที่ถูกปลอมแปลงเป็นขั้นตอนยืนยันความปลอดภัย ในกรณีนี้ หากผู้ใช้ทำตาม คำสั่งที่วางจะรัน PowerShell script หรือ HTML Application (HTA) ซึ่งจะดาวน์โหลดและติดตั้งมัลแวร์ทันที

เพย์โหลดที่ถูกส่ง: RAT และ Info-Stealer

เมื่อเหยื่อตกเป็นเหยื่อกลลวง ClickFix แล้ว มัลแวร์ที่อาจถูกติดตั้งมีดังนี้ :

• NetSupport RAT — โทรจันควบคุมเครื่องระยะไกลที่ให้แฮกเกอร์ควบคุมเครื่องเหยื่ออย่างต่อเนื่อง
• Remcos RAT — โทรจันควบคุมเครื่องระยะไกลที่สามารถบันทึกการกดแป้นพิมพ์ สอดแนม และขโมยข้อมูลประจำตัว
• StealC — ซอฟต์แวร์ขโมยข้อมูลที่กำหนดเป้าหมายรหัสผ่านและข้อมูลทางการเงิน
• Sectop RAT — โทรจันควบคุมเครื่องระยะไกลที่ใช้ในการจารกรรม
• DeerStealer — ซอฟต์แวร์ขโมยข้อมูลที่พบในแคมเปญ ClickFix รุ่นก่อนหน้าของ SmartApeSG

ขนาดของผลกระทบ

• แบรนด์อีคอมเมิร์ซมากกว่า 18,000 แห่ง ใช้วิดเจ็ต Okendo ที่ถูกบุกรุก ทำให้เกิดช่องโจมตีขนาดใหญ่
• เว็บไซต์ที่ได้รับผลกระทบมีตั้งแต่ร้านค้าออนไลน์ขนาดกลางไปจนถึงแบรนด์ค้าปลีกขนาดใหญ่ของสหรัฐฯ โดยมีผู้เข้าชมตั้งแต่ 150,000 ถึงหลายล้านคน ต่อเดือน หนึ่งในแบรนด์ค้าปลีกสหรัฐฯ ที่ได้รับผลกระทบมีผู้เข้าชมประมาณ 7 ล้านคนต่อเดือน
• เฉพาะในวันที่ 14 พฤษภาคม 2026 แพลตฟอร์มคลาวด์ของ Zscaler บันทึกการบล็อกที่เกี่ยวข้องกับ SmartApeSG เกือบ 15,000 ครั้ง ซึ่งเป็นปริมาณสูงสุดในหนึ่งวันที่เคยพบสำหรับผู้คุกคามรายนี้

ประวัติการโจมตีก่อนหน้าของ SmartApeSG

SmartApeSG ไม่ใช่กลุ่มผู้โจมตีหน้าใหม่ กลุ่มนี้มีประวัติการทำแคมเปญแบบ ClickFix ตั้งแต่กลางปี 2024 โดยส่งมัลแวร์ NetSupport RAT, Remcos RAT, StealC และ Sectop RAT ในการปฏิบัติการก่อนหน้านี้หลายครั้ง แคมเปญก่อนหน้านี้ใช้เว็บไซต์ที่ถูกบุกรุกพร้อมหน้า CAPTCHA ปลอมเพื่อหลอกให้ผู้ใช้วางและรันคำสั่งที่เป็นอันตรายผ่านกล่อง Run ของ Windows กลุ่มนี้ยังเคยใช้ DeerStealer ในแคมเปญ ClickFix รุ่นก่อนหน้าอีกด้วย การโจมตีที่ Okendo ถือเป็นการยกระดับครั้งสำคัญ: แทนที่จะเจาะเว็บไซต์ทีละแห่ง SmartApeSG เลือกเจาะวิดเจ็ตของบริษัทบุคคลที่สามที่ใช้กันอย่างแพร่หลายเพื่อเข้าถึงเว็บไซต์หลายพันแห่งในคราวเดียว ซึ่งเป็นกลยุทธ์คลาสสิกของแฮกเกอร์ในการขยายผลผ่านซัพพลายเชน

ขั้นตอนการแก้ไข

• Zscaler ThreatLabz รายงานเหตุการณ์ไปยัง Okendo โดยตรงเมื่อวันที่ 14 พฤษภาคม 2026
• Okendo ยืนยันว่ารับทราบ เหตุการณ์และ กู้คืนสคริปต์วิดเจ็ตที่ได้รับผลกระทบกลับสู่สถานะที่สะอาด ซึ่งเป็นการลบโค้ดที่เป็นอันตรายออกจากการเผยแพร่
• Zscaler ปล่อยลายเซ็นตรวจจับภายใต้ชื่อ JS.Injection.SmartApeSG เพื่อติดตามและสกัดกั้นกิจกรรมการแทรกโค้ด
• ตัวบ่งชี้การถูกบุกรุก (IoCs) ที่ถูกเผยแพร่โดยนักวิจัย ได้แก่ URL วิดเจ็ตที่ถูกบุกรุก (hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]js) และโดเมนโครงสร้างพื้นฐาน C2 ของ SmartApeSG เช่น api[.]wigetticks[.]com และ api[.]wizzleticks[.]com

กลไกทางเทคนิคของ JavaScript อันตราย

โค้ดที่ถูกแทรกเข้ามาทำหน้าที่เป็น staged loader ซึ่งไม่ได้ทำงานทันที แต่จะตรวจสอบสภาพแวดล้อมก่อนเพื่อหลบเลี่ยงการตรวจจับและเลือกเป้าหมายที่เหมาะสม :

• การติดตามด้วย localStorage — เมื่อผู้ใช้เข้าเว็บครั้งแรก สคริปต์จะบันทึกเวลาใน localStorage เพื่อป้องกันการทำงานซ้ำสำหรับผู้ใช้คนเดิม ช่วยลดปริมาณการแจ้งเตือนและลดโอกาสถูกตรวจพบ
• การกรอง User-Agent (ยกเว้นมือถือ) — สคริปต์จะตรวจสอบ User-Agent ของผู้ใช้เพื่อข้ามผู้ใช้มือถือและกำหนดเป้าหมายเฉพาะผู้ใช้ Desktop เพราะขั้นตอนถัดไปต้องอาศัยการโต้ตอบกับ Windows
• การบดบังด้วย XOR — Loader จะถอดรหัสส่วนย่อยของสตริงที่ถูกบดบังด้วย XOR แบบ Real-time เพื่อสร้าง URL เซิร์ฟเวอร์ควบคุมคำสั่ง (C2) ทำให้หลบเลี่ยงระบบตรวจจับแบบลายเซ็นพื้นฐาน
• การแทรกสคริปต์แบบไดนามิก — หลังจากสร้าง URL C2 ที่ซ่อนอยู่ได้ โค้ดจะแทรก element <script> ใหม่ลงในหน้าเพื่อดึงเพย์โหลดเพิ่มเติม
• การหลอกลวงด้วย CAPTCHA ปลอม / ClickFix — ผู้ใช้ที่ผ่านการตรวจสอบทั้งหมดจะพบหน้า "ยืนยันว่าคุณไม่ใช่บอท" ปลอมที่ออกแบบเหมือน ClickFix ซึ่งจะหลอกให้ผู้ใช้เปิดกล่องโต้ตอบ Run ของ Windows และวางคำสั่งที่ถูกคัดลอกไปยังคลิปบอร์ดโดยอัตโนมัติ

กลลวง ClickFix: จุดเปลี่ยนสำคัญ

ClickFix เป็นเทคนิคทางสังคมวิศวกรรมที่สคริปต์อันตรายจะคัดลอกคำสั่งไปยังคลิปบอร์ดของผู้ใช้ จากนั้นแสดงคำแนะนำให้ผู้ใช้กด Win + R เพื่อเปิดกล่อง Run วาง และกด Enter คำสั่งที่ถูกปลอมแปลงเป็นขั้นตอนยืนยันความปลอดภัย ในกรณีนี้ หากผู้ใช้ทำตาม คำสั่งที่วางจะรัน PowerShell script หรือ HTML Application (HTA) ซึ่งจะดาวน์โหลดและติดตั้งมัลแวร์ทันที

เพย์โหลดที่ถูกส่ง: RAT และ Info-Stealer

เมื่อเหยื่อตกเป็นเหยื่อกลลวง ClickFix แล้ว มัลแวร์ที่อาจถูกติดตั้งมีดังนี้ :

• NetSupport RAT — โทรจันควบคุมเครื่องระยะไกลที่ให้แฮกเกอร์ควบคุมเครื่องเหยื่ออย่างต่อเนื่อง
• Remcos RAT — โทรจันควบคุมเครื่องระยะไกลที่สามารถบันทึกการกดแป้นพิมพ์ สอดแนม และขโมยข้อมูลประจำตัว
• StealC — ซอฟต์แวร์ขโมยข้อมูลที่กำหนดเป้าหมายรหัสผ่านและข้อมูลทางการเงิน
• Sectop RAT — โทรจันควบคุมเครื่องระยะไกลที่ใช้ในการจารกรรม
• DeerStealer — ซอฟต์แวร์ขโมยข้อมูลที่พบในแคมเปญ ClickFix รุ่นก่อนหน้าของ SmartApeSG

ขนาดของผลกระทบ

• แบรนด์อีคอมเมิร์ซมากกว่า 18,000 แห่ง ใช้วิดเจ็ต Okendo ที่ถูกบุกรุก ทำให้เกิดช่องโจมตีขนาดใหญ่
• เว็บไซต์ที่ได้รับผลกระทบมีตั้งแต่ร้านค้าออนไลน์ขนาดกลางไปจนถึงแบรนด์ค้าปลีกขนาดใหญ่ของสหรัฐฯ โดยมีผู้เข้าชมตั้งแต่ 150,000 ถึงหลายล้านคน ต่อเดือน หนึ่งในแบรนด์ค้าปลีกสหรัฐฯ ที่ได้รับผลกระทบมีผู้เข้าชมประมาณ 7 ล้านคนต่อเดือน
• เฉพาะในวันที่ 14 พฤษภาคม 2026 แพลตฟอร์มคลาวด์ของ Zscaler บันทึกการบล็อกที่เกี่ยวข้องกับ SmartApeSG เกือบ 15,000 ครั้ง ซึ่งเป็นปริมาณสูงสุดในหนึ่งวันที่เคยพบสำหรับผู้คุกคามรายนี้

ประวัติการโจมตีก่อนหน้าของ SmartApeSG

SmartApeSG ไม่ใช่กลุ่มผู้โจมตีหน้าใหม่ กลุ่มนี้มีประวัติการทำแคมเปญแบบ ClickFix ตั้งแต่กลางปี 2024 โดยส่งมัลแวร์ NetSupport RAT, Remcos RAT, StealC และ Sectop RAT ในการปฏิบัติการก่อนหน้านี้หลายครั้ง แคมเปญก่อนหน้านี้ใช้เว็บไซต์ที่ถูกบุกรุกพร้อมหน้า CAPTCHA ปลอมเพื่อหลอกให้ผู้ใช้วางและรันคำสั่งที่เป็นอันตรายผ่านกล่อง Run ของ Windows กลุ่มนี้ยังเคยใช้ DeerStealer ในแคมเปญ ClickFix รุ่นก่อนหน้าอีกด้วย การโจมตีที่ Okendo ถือเป็นการยกระดับครั้งสำคัญ: แทนที่จะเจาะเว็บไซต์ทีละแห่ง SmartApeSG เลือกเจาะวิดเจ็ตของบริษัทบุคคลที่สามที่ใช้กันอย่างแพร่หลายเพื่อเข้าถึงเว็บไซต์หลายพันแห่งในคราวเดียว ซึ่งเป็นกลยุทธ์คลาสสิกของแฮกเกอร์ในการขยายผลผ่านซัพพลายเชน

ขั้นตอนการแก้ไข

• Zscaler ThreatLabz รายงานเหตุการณ์ไปยัง Okendo โดยตรงเมื่อวันที่ 14 พฤษภาคม 2026
• Okendo ยืนยันว่ารับทราบ เหตุการณ์และ กู้คืนสคริปต์วิดเจ็ตที่ได้รับผลกระทบกลับสู่สถานะที่สะอาด ซึ่งเป็นการลบโค้ดที่เป็นอันตรายออกจากการเผยแพร่
• Zscaler ปล่อยลายเซ็นตรวจจับภายใต้ชื่อ JS.Injection.SmartApeSG เพื่อติดตามและสกัดกั้นกิจกรรมการแทรกโค้ด
• ตัวบ่งชี้การถูกบุกรุก (IoCs) ที่ถูกเผยแพร่โดยนักวิจัย ได้แก่ URL วิดเจ็ตที่ถูกบุกรุก (hxxp://cdn-static[.]okendo[.]io/reviews-widget-plus/js/okendo-reviews[.]js) และโดเมนโครงสร้างพื้นฐาน C2 ของ SmartApeSG เช่น api[.]wigetticks[.]com และ api[.]wizzleticks[.]com