- การโจมตี CPUID นั้นส่งผลกระทบต่อ API สำหรับการดาวน์โหลด ไม่ใช่ไฟล์ไบนารีที่ลงนามแล้ว ทำให้การดาวน์โหลดไฟล์ CPU-Z และ HWMonitor ที่ถูกต้องถูกเปลี่ยนเส้นทางไปยังโปรแกรมติดตั้งที่เป็นอันตราย
- ห่วงโซ่การติดเชื้อใช้การโจมตีแบบ DLL hijacking (CRYPTBASE.dll), การเรียกใช้งานในหน่วยความจำ และโครงสร้างพื้นฐาน C2 ขั้นสูง เพื่อติดตั้ง STX RATs พร้อมการขโมยข้อมูลประจำตัวและการเข้าถึงระยะไกล
- เหตุการณ์นี้เน้นให้เห็นถึงภัยคุกคามที่เพิ่มขึ้นของการโจมตีห่วงโซ่อุปทาน ซึ่งมุ่งเป้าไปที่โครงสร้างพื้นฐานการจัดจำหน่ายซอฟต์แวร์มากกว่าซอร์สโค้ด
- ผู้ใช้งานและองค์กรต้องเสริมสร้างการควบคุมให้เข้มงวดมากขึ้น เช่น ตรวจสอบการดาวน์โหลด ไม่เพิกเฉยต่อการแจ้งเตือนจากโปรแกรมป้องกันไวรัส และเพิ่มความปลอดภัยให้กับกระบวนการ CI/CD และ API และเซิร์ฟเวอร์
ในช่วงไม่กี่เดือนที่ผ่านมา CPUID บริษัทผู้พัฒนาเครื่องมือยอดนิยมอย่าง CPU-Z และ HWMonitor ตกเป็นข่าวพาดหัวด้านความปลอดภัยทางไซเบอร์เนื่องจากการโจมตีห่วงโซ่อุปทานที่ทำให้ผู้ใช้หลายพันคนผิดหวังอย่างมาก สิ่งที่น่ากังวลไม่ใช่แค่ตัวมัลแวร์เอง แต่เป็นข้อเท็จจริงที่ว่าการโจมตีทั้งหมดเกิดขึ้นผ่านการดาวน์โหลดจากเว็บไซต์อย่างเป็นทางการ ซึ่งเป็นการใช้ประโยชน์จากความไว้วางใจอย่างมากที่ชุมชนด้านเทคนิคมีต่อเครื่องมือเหล่านี้
เหตุการณ์นี้เป็นอีกหนึ่งกรณีที่เกิดขึ้นเมื่อไม่นานมานี้ เช่น การที่แอปพลิเคชัน macOS ของ OpenAI ถูกโจมตีผ่านการดัดแปลงไลบรารี Axiosและตอกย้ำความจริงที่น่ากังวลใจ นั่นคือ การตรวจสอบเพียงแค่ว่าเว็บไซต์นั้นเป็น "เว็บไซต์ทางการ" หรือไฟล์ปฏิบัติการได้รับการลงนามอย่างถูกต้องหรือไม่นั้น ไม่เพียงพอที่จะทำให้รู้สึกปลอดภัยอีกต่อไปแล้ว ผู้โจมตีได้พัฒนาเทคนิคการโจมตีในห่วงโซ่อุปทาน โดยมุ่งเป้าไปที่จุดอ่อนที่สุดของการแจกจ่ายซอฟต์แวร์
เกิดอะไรขึ้นกับ CPUID, CPU-Z และ HWMonitor กันแน่?
CPUID เป็นบริษัทเก่าแก่ที่ก่อตั้งขึ้นในช่วงปลายทศวรรษ 90 เป็นที่รู้จักในด้านการให้บริการยูทิลิตี้วินิจฉัยและตรวจสอบฮาร์ดแวร์ฟรีสำหรับ Windows CPU-Z ให้ข้อมูลโดยละเอียดเกี่ยวกับโปรเซสเซอร์ หน่วยความจำ และเมนบอร์ด ในขณะที่ HWMonitor ใช้สำหรับตรวจสอบอุณหภูมิ แรงดันไฟฟ้า และพัดลม เครื่องมือเหล่านี้พบเห็นได้ทั่วไปในร้านซ่อม ศูนย์ข้อมูล คอมพิวเตอร์สำหรับเล่นเกม และสภาพแวดล้อมการทดสอบ
ในเดือนเมษายน 2026 เว็บไซต์อย่างเป็นทางการของบริษัทถูกโจมตีในรูปแบบการโจมตีห่วงโซ่อุปทานซึ่งส่งผลกระทบต่อการดาวน์โหลด CPU-Z และ HWMonitor ประเด็นสำคัญของกรณีนี้คือ ผู้โจมตีไม่ได้เข้าถึงซอร์สโค้ดหรือไฟล์ไบนารีที่ลงนามแล้วซึ่ง CPUID แจกจ่ายอย่างถูกต้อง แต่เข้าถึงส่วนประกอบที่ซับซ้อนกว่านั้นมาก นั่นคือ API รองที่รับผิดชอบในการจัดการลิงก์ดาวน์โหลดและเวิร์กโฟลว์ภายในบางอย่าง
ระหว่างวันที่ 9 ถึง 10 เมษายน 2026 ในช่วงเวลาประมาณหกชั่วโมงตามแหล่งข้อมูลบางแห่ง และนานถึง 19 ชั่วโมงตามการวิเคราะห์เชิงลึกอื่นๆ API ในแถบด้านข้างนี้เริ่มเปลี่ยนเส้นทางการร้องขอการดาวน์โหลดที่ถูกต้องไปยังโครงสร้างพื้นฐานที่ควบคุมโดยผู้โจมตี ผู้ใช้จะเข้าชม cpuid.com คลิกปุ่มดาวน์โหลดอย่างเป็นทางการ และในตอนแรกทุกอย่างดูเหมือนปกติ
ในช่วงเวลานั้น ผู้ใช้หลายคนสังเกตเห็นพฤติกรรมแปลกๆ คือ ไฟล์ติดตั้งที่มีชื่อผิดปกติ เช่น“HWiNFO_Monitor_Setup.exe”แทนที่จะเป็น hwmonitor_*.exe ตามปกติ และคำเตือนจากโปรแกรมป้องกันไวรัสที่หลายคนเพิกเฉย คิดว่าเป็นสัญญาณเตือนผิดพลาด นั่นคือจุดเริ่มต้นที่ความจริงเริ่มปรากฏออกมา
จากการประเมินพบว่าจำนวนผู้ใช้งานที่อาจได้รับผลกระทบอาจมีจำนวนมหาศาลเนื่องจาก CPU-Z และ HWMonitor ไม่ใช่โปรแกรมเฉพาะกลุ่ม: โปรแกรมเหล่านี้มียอดดาวน์โหลดสะสมหลายสิบล้านครั้ง และถูกใช้งานเป็นประจำทุกวันโดยช่างเทคนิค ผู้ดูแลระบบ นักโอเวอร์คล็อก และผู้เชี่ยวชาญด้านไอที ช่วงเวลาการโจมตีเพียงไม่กี่ชั่วโมงที่กระจายอยู่ทั่วเขตเวลาต่างๆ ทั่วโลกก็เพียงพอที่จะสร้างผลกระทบร้ายแรงได้
ห่วงโซ่อุปทาน: เหตุใดการโจมตีครั้งนี้จึงอันตรายมาก
สิ่งที่ทำให้กรณีของ CPUID น่ากังวลเป็นพิเศษก็คือ มันเป็นการโจมตีแบบเจาะจงเป้าหมายที่ห่วงโซ่การแจกจ่ายซอฟต์แวร์ไม่ใช่ไฟล์ไบนารีต้นฉบับ กล่าวอีกนัยหนึ่ง ปัญหาไม่ได้อยู่ที่คลังเก็บโค้ดหรือไฟล์ปฏิบัติการที่ลงนามแล้ว แต่ปัญหาอยู่ที่โครงสร้างพื้นฐานที่ตัดสินใจว่าไฟล์ใดจะถูกส่งไปยังผู้ใช้แต่ละคน
รูปแบบนี้สอดคล้องกับแนวโน้มที่ชัดเจนในช่วงไม่กี่ปีที่ผ่านมา นั่นคือการโจมตีห่วงโซ่อุปทานซอฟต์แวร์โดยที่ผู้โจมตีไม่ได้พยายามเจาะระบบอุปกรณ์ของผู้ใช้ปลายทางแต่ละรายโดยตรง แต่จะโจมตีจุดเชื่อมโยงทั่วไปที่ส่งมอบซอฟต์แวร์ไปยังเครื่องคอมพิวเตอร์หลายพันหรือหลายล้านเครื่อง กรณีอย่าง SolarWinds และ Codecov ได้แสดงให้เห็นแล้วว่า การเปลี่ยนแปลงส่วนประกอบเพียงชิ้นเดียวในเส้นทางการจัดจำหน่ายนั้นสามารถสร้างความเสียหายร้ายแรงได้เพียงใด
โดยทั่วไป ผู้โจมตีมักใช้ช่องโหว่ด้านความปลอดภัยใน API เว็บเซิร์ฟเวอร์ หรือกระบวนการ CI/CDเพื่อแทรกลิงก์ที่เป็นอันตราย ไลบรารีที่ถูกดัดแปลง หรือมัลแวร์ประเภทโทรจัน CPUID ระบุว่า "ฟีเจอร์เสริม" หรือ "API เสริม" เป็นจุดเริ่มต้น ไม่ใช่ที่เก็บข้อมูลส่วนกลางหรือระบบลงนาม API นี้จะช่วยให้ผู้โจมตีสามารถเปลี่ยนปลายทางของลิงก์ดาวน์โหลดได้โดยที่ผู้ใช้ไม่สังเกตเห็นสิ่งผิดปกติใดๆ ในเบราว์เซอร์ของตน
เหตุการณ์คล้ายกันนี้เพิ่งเกิดขึ้นกับ OpenAI เมื่อวันที่ 31 มีนาคม โดยเวิร์กโฟลว์ GitHub Actions ที่ใช้ลงนามแอป macOSได้ดาวน์โหลดไลบรารี Axios เวอร์ชันที่เป็นอันตราย ในกรณีนั้น OpenAI ต้องเพิกถอนใบรับรองของแอป macOS เพื่อเป็นการป้องกัน แม้ว่าจะรับรองกับผู้ใช้แล้วว่าไม่มีข้อมูลผู้ใช้หรือระบบภายในใด ๆ ถูกบุกรุก นี่เป็นอีกตัวอย่างหนึ่งที่แสดงให้เห็นว่าจุดอ่อนเพียงจุดเดียวในกระบวนการอัตโนมัติสามารถทำให้ทั้งห่วงโซ่ปนเปื้อนได้
จากมุมมองทางเทคนิค การโจมตีเหล่านี้มักใช้ประโยชน์จากช่องโหว่ต่างๆ เช่น ข้อมูลประจำตัวที่ไม่ปลอดภัยAPI ที่ไม่มีระบบตรวจสอบสิทธิ์ที่รัดกุม เซิร์ฟเวอร์ที่ล้าสมัยหรือการขาดการตรวจสอบระบบที่สำคัญ ที่น่ากังวลยิ่งกว่านั้นคือ การโจมตีเหล่านี้มักไม่ถูกตรวจพบเป็นเวลาหลายชั่วโมงหรือหลายวัน จนกว่าชุมชนหรือเครื่องมือรักษาความปลอดภัยจะเริ่มระบุพฤติกรรมที่ผิดปกติจำนวนมากได้
วิธีการแพร่กระจายของมัลแวร์ในกรณีของ CPUID
จากการวิเคราะห์ข้อมูลสาธารณะต่างๆ พบว่า ในเหตุการณ์ CPUID มีรูปแบบการโจมตีสองแบบที่เกี่ยวข้องกันอย่างใกล้ชิด ในกรณีที่มีการบันทึกไว้มากที่สุด ผู้โจมตีได้วางไฟล์ไบนารี CPU-Z ที่ถูกต้องตามกฎหมายไว้พร้อมกับไฟล์ DLL ที่เป็นอันตรายในไดเร็กทอรีการติดตั้งเดียวกัน
ไฟล์ DLL ดังกล่าว ซึ่งระบุว่าเป็นCRYPTBASE.dll (ชื่อเดียวกับไลบรารีของ Windows ที่ถูกต้องตามกฎหมาย) ถูกคอมไพล์ด้วยโปรแกรม Zig และใช้ประโยชน์จากลำดับการค้นหาไฟล์ DLL ของ Windows: เนื่องจากอยู่ในไดเร็กทอรีเดียวกันกับไฟล์ปฏิบัติการ CPU-Z ที่ถูกต้องตามกฎหมาย ระบบจึงโหลดเวอร์ชันที่เป็นอันตรายก่อน แทนที่จะเป็นเวอร์ชันดั้งเดิมจาก C:\Windows\System32 นี่เป็นกรณีคลาสสิกของการโจรกรรมไฟล์ DLL
เมื่อโหลดไฟล์ DLL ปลอมแล้ว กระบวนการโจมตีที่ค่อนข้างซับซ้อนก็เริ่มต้นขึ้น โค้ดที่เป็นอันตรายจะเรียกใช้ไฟล์ DLL ที่เข้ารหัสตัวที่สองโดยตรงในหน่วยความจำโดยใช้เทคนิคการฉีดแบบสะท้อนกลับ ซึ่งหลีกเลี่ยงการเขียนลงดิสก์และทิ้งร่องรอยไว้น้อยมากสำหรับการวิเคราะห์ในภายหลัง พฤติกรรมนี้ทำให้โปรแกรมรักษาความปลอดภัยขั้นสูงบางตัวตรวจจับและแจ้งเตือนกิจกรรมดังกล่าวทันทีว่าเป็น "ตรวจพบเฟรมเวิร์กการเจาะระบบหรือเชลล์โค้ด"
จากนั้น การสื่อสารกับเซิร์ฟเวอร์ควบคุมและสั่งการ (C2) จะถูกสร้างขึ้นผ่านทางDNS-over-HTTPS ไปยัง 1.1.1.1ซึ่งเป็นกลอุบายที่ออกแบบมาเพื่อหลีกเลี่ยงระบบตรวจสอบ DNS แบบดั้งเดิมหลายระบบ ยิ่งไปกว่านั้น ห่วงโซ่ดังกล่าวยังรวมถึงการสร้างกระบวนการต่างๆ เช่น PowerShell ที่เรียกใช้ csc.exe และ cvtres.exe ซึ่งเป็นสิ่งที่ผิดปกติอย่างสิ้นเชิงสำหรับเครื่องมืออย่าง CPU-Z
เพื่อให้แน่ใจว่าการติดเชื้อจะคงอยู่ได้แม้จะมีการรีบูตเครื่องหรือพยายามล้างข้อมูลบางส่วน มัลแวร์ได้ใช้กลไกการคงอยู่ซ้ำซ้อนถึงสามอย่างได้แก่ คีย์ Run ในรีจิสทรีของ Windows, งานที่กำหนดเวลาไว้ให้ทำงานทุก 68 นาทีและคงอยู่ได้นานถึง 20 ปี และไฟล์โปรเจ็กต์ MSBuild ที่ซ่อนอยู่ใน AppData\Local วิธีนี้ทำให้การกำจัดทำได้ยากมากหากคุณไม่รู้ว่าต้องมองหาอะไร
มัลแวร์ตัวสุดท้ายที่ถูกตรวจพบคือSTX RATซึ่งเป็นโทรจันสำหรับเข้าถึงระยะไกลที่มีความสามารถ VNC ซ่อนอยู่ สามารถแทรกแซงการทำงานของแป้นพิมพ์และเมาส์ ขโมยข้อมูลประจำตัวจากหลายเบราว์เซอร์ (Chrome, Firefox, Edge, Brave) ดึงข้อมูลจาก Windows Vault และเข้าถึงกระเป๋าเงินดิจิทัลได้ มันไม่ใช่แค่แอดแวร์ธรรมดา แต่เป็นแบ็กดอร์ที่มีศักยภาพในการสอดแนมและควบคุมได้หลากหลาย
สิ่งที่มัลแวร์ต้องการ: ข้อมูลประจำตัว การควบคุมระยะไกล และอื่นๆ
การออกแบบการโจมตีโดยรวมทำให้เห็นได้อย่างชัดเจนว่าเป้าหมายหลักคือการขโมยข้อมูลสำคัญอย่างเงียบๆ และการเข้าถึงระยะไกลอย่างต่อเนื่องไม่ใช่การสร้างความเสียหายแก่ผู้ใช้ในทันที (เช่นเดียวกับมัลแวร์เรียกค่าไถ่) ความแตกต่างนี้มีความสำคัญ เพราะทำให้การโจมตีตรวจจับได้ยากขึ้นและอาจสร้างผลกำไรให้แก่ผู้โจมตีได้มากขึ้น
ในบรรดาความสามารถที่เกี่ยวข้องกับ STX RAT และเพย์โหลดที่พบระหว่างเหตุการณ์นั้น มีฟังก์ชันหลายอย่างที่พบได้ทั่วไปในโปรแกรมขโมยข้อมูลและ RAT ขั้นสูงได้แก่ การดึงรหัสผ่านและคุกกี้ที่จัดเก็บไว้ในเบราว์เซอร์ การเข้าถึงเซสชันที่ใช้งานอยู่ (อีเมล ธนาคารออนไลน์ ร้านค้าดิจิทัล) การรวบรวมข้อมูลระบบ และความเป็นไปได้ในการยกระดับสิทธิ์ในสภาพแวดล้อมที่ผู้ใช้มีสิทธิ์สูง
รายงานบางฉบับยังกล่าวถึงการติดตั้งเพย์โหลดเพิ่มเติมใน .NET และการใช้ PowerShell ในหน่วยความจำเพื่อดาวน์โหลดโมดูลเพิ่มเติมจากเซิร์ฟเวอร์ระยะไกล ซึ่งเป็นวิธีปฏิบัติทั่วไปในแคมเปญที่มุ่งเน้นความยืดหยุ่น : จะมีการติดตั้งโปรแกรมฝังตัวขนาดเล็กตัวแรกก่อน และเมื่อผู้โจมตีตรวจสอบแล้วว่าเครื่องนั้นเป็นเป้าหมาย ก็จะดาวน์โหลดส่วนประกอบเพิ่มเติมเพื่อดึงข้อมูลเฉพาะออกมา หรือเคลื่อนที่ไปยังส่วนอื่น ๆ ของเครือข่าย
การเลือกใช้ CPU-Z และ HWMonitor เป็นพาหะในการแพร่เชื้อนั้นไม่ใช่เรื่องบังเอิญ โดยทั่วไปแล้ว ผู้ที่ติดตั้งเครื่องมือเหล่านี้มักจะเป็นผู้เชี่ยวชาญด้านไอที ผู้ดูแลระบบ และผู้ที่มีสิทธิ์เข้าถึง ระดับสูง ในเครือข่ายขององค์กร การโจมตีผู้ดูแลระบบเพียงคนเดียวที่มีสิทธิ์ในโดเมนอาจส่งผลกระทบมากกว่าการโจมตีผู้ใช้ทั่วไปที่ไม่มีสิทธิ์เข้าถึงระดับสูงอย่างมาก
ดังนั้น แม้ว่าจำนวนผู้เสียหายโดยตรงที่ได้รับการยืนยันอาจดูค่อนข้างน้อย (ประมาณหนึ่งร้อยกรณีที่มีการบันทึกไว้อย่างดี ตามข้อมูลจากผู้ให้บริการ EDR บางราย) แต่ศักยภาพในการสร้างความเสียหายในสภาพแวดล้อมขององค์กรและโครงสร้างพื้นฐานที่สำคัญนั้นสูงมาก เพียงแค่ช่างเทคนิคคนใดคนหนึ่งมีสิทธิ์เข้าถึงเซิร์ฟเวอร์ แผงควบคุมคลาวด์ หรืออุปกรณ์เครือข่าย ก็สามารถเปิดประตูสู่ช่องโหว่ที่อันตรายอย่างยิ่งได้แล้ว
วิธีตรวจสอบว่าคุณอาจได้รับผลกระทบหรือไม่
หากคุณดาวน์โหลด CPU-Z หรือ HWMonitor จากเว็บไซต์ทางการของ CPUID ในช่วงประมาณวันที่ 9-10 เมษายน 2026 คุณควรตรวจสอบการดาวน์โหลดและระบบของคุณอย่างรวดเร็วเพื่อตัดความเป็นไปได้นี้ออกไป ไม่ต้องตกใจ แต่การตรวจสอบประเด็นสำคัญบางอย่างก็คุ้มค่า
สิ่งแรกที่ต้องตรวจสอบคือชื่อไฟล์ที่คุณดาวน์โหลดหากไฟล์ติดตั้ง HWMonitor ของคุณมีชื่อแปลก ๆ เช่น “HWiNFO_Monitor_Setup.exe” หรือรูปแบบอื่น ๆ ที่ไม่ตรงกับรูปแบบ hwmonitor_*.exe ทั่วไป นั่นเป็นสัญญาณอันตรายอย่างยิ่ง ผู้ใช้หลายคนได้แสดงความคิดเห็นเกี่ยวกับความไม่สอดคล้องกันของชื่อไฟล์เหล่านี้ในฟอรัมและโซเชียลมีเดียแล้ว
ประการที่สอง คุณควรตรวจสอบบันทึกการทำงานของโปรแกรมป้องกันไวรัสในช่วงวันที่ดังกล่าว หาก Windows Defender, Malwarebytes, Kaspersky หรือโปรแกรมรักษาความปลอดภัยอื่นๆ แจ้งเตือนระหว่างการดาวน์โหลดหรือการติดตั้ง และคุณเพิกเฉย ตอนนี้เป็นเวลาที่เหมาะสมที่จะเรียกดูประวัติเหล่านั้นและดูว่ามันตรวจพบอะไรบ้าง คำเตือนที่มีคำว่า "น่าสงสัย" "มัลแวร์" หรือ "PUA" ควรได้รับการตรวจสอบอย่างละเอียด
นอกจากนี้ ควรตรวจสอบประวัติการดาวน์โหลดของเบราว์เซอร์ของคุณเพื่อค้นหาไฟล์ปฏิบัติการใดๆ จาก cpuid.com ในช่วงเวลานั้น หากคุณพบสิ่งใดที่น่าสงสัย ให้บันทึกสำเนาของไฟล์นั้นไว้เพื่อตรวจสอบ (เช่น โดยการอัปโหลดไปยัง VirusTotal ในภายหลัง) และหลีกเลี่ยงการเรียกใช้ไฟล์นั้นอีกไม่ว่าในกรณีใดๆ
หากคุณมีความรู้ด้านเทคนิคมากกว่าและมีข้อสงสัยที่สมเหตุสมผลว่าระบบของคุณอาจถูกบุกรุก วิธีหนึ่งคือการบูตจากอิมเมจ Linux ที่สะอาดบนไดรฟ์ USB และสแกนดิสก์ Windows จากภายนอกวิธีนี้ไม่จำเป็นสำหรับผู้ใช้ส่วนใหญ่ แต่ในสภาพแวดล้อมที่สำคัญ มันสามารถช่วยค้นหาไฟล์เช่น CRYPTBASE.dll ที่อยู่นอกโฟลเดอร์ System32 งานที่กำหนดไว้ผิดปกติ หรือสิ่งผิดปกติในโฟลเดอร์ AppData ได้
ขั้นตอนที่แนะนำหากคุณดาวน์โหลดไปยังหน้าต่างที่ได้รับผลกระทบ
หากตรวจสอบวันที่และชื่อไฟล์แล้วพบว่าคุณดาวน์โหลด CPU-Z หรือ HWMonitor ระหว่างวันที่ 9 ถึง 10 เมษายน 2026 ควรสันนิษฐานไว้ก่อนว่ามีความเป็นไปได้สูงที่จะสัมผัสกับไวรัสและควรดำเนินการตามนั้น แม้ว่าการวิเคราะห์ในภายหลังจะแสดงให้เห็นว่าไม่มีการติดเชื้อจริงก็ตาม
ขั้นตอนแรกคือการถอนการติดตั้งโปรแกรมเวอร์ชันที่มีปัญหาจากแผงควบคุมหรือการตั้งค่าของ Windows ไม่มีประโยชน์ที่จะเก็บโปรแกรมที่คุณไม่ไว้ใจไว้ในระหว่างการตรวจสอบ หลังจากถอนการติดตั้งแล้ว ควรล้างโฟลเดอร์ที่เหลืออยู่ใน Program Files และ AppData ด้วยความระมัดระวังอย่าลบสิ่งที่คุณไม่แน่ใจ
ถัดไป ให้ทำการสแกนไวรัสแบบเต็มรูปแบบ (ไม่ใช่แบบเร็ว)บนระบบของคุณ โปรแกรมรักษาความปลอดภัยสมัยใหม่ โดยเฉพาะอย่างยิ่งโปรแกรมที่มีการตรวจจับพฤติกรรม สามารถค้นหาร่องรอยของมัลแวร์ประเภทนี้ได้ แม้ว่าส่วนหนึ่งของเพย์โหลดจะอยู่ในหน่วยความจำเท่านั้น หากเป็นไปได้ ให้ใช้ Windows Defender เวอร์ชันล่าสุดร่วมกับเครื่องมือเพิ่มเติม เช่น Malwarebytes เพื่อตรวจสอบความถูกต้องอีกครั้ง
ในขณะเดียวกัน คุณควรคิดไว้เสมอว่าข้อมูลประจำตัวใดๆ ที่เก็บไว้ในเบราว์เซอร์ในช่วงเวลานั้นอาจถูกโจมตีได้ ดังนั้นจึงควรเปลี่ยนรหัสผ่านสำหรับอีเมล บัญชีธนาคารออนไลน์ บริการคลาวด์และแพลตฟอร์มสำคัญๆ ที่เข้าถึงผ่าน Chrome, Firefox, Edge หรือ Brave ควรทำหลังจากสแกนและทำความสะอาดระบบเสร็จแล้ว ไม่ใช่ก่อนหน้านั้น
นอกจากนี้ ควรตรวจสอบประวัติการใช้งานที่น่าสงสัยในบัญชีหลักของคุณ (เช่น Gmail, Amazon, Dropbox หรือแดชบอร์ดของธนาคาร) เพื่อดูว่ามีการเข้าสู่ระบบจากสถานที่หรืออุปกรณ์ที่ผิดปกติหรือไม่ และหากคุณบันทึกรายละเอียดบัตรไว้ในเบราว์เซอร์ ควรแจ้งให้ธนาคารทราบเพื่อให้พวกเขาสามารถตรวจสอบกิจกรรมที่ผิดปกติ หรือในกรณีร้ายแรง อาจขอเปลี่ยนบัตรใหม่ได้
การตอบสนองของ CPUID และสถานะปัจจุบันของการดาวน์โหลดของคุณ
หลังจากเหตุการณ์ดังกล่าวถูกเปิดเผย CPUID ได้ออกแถลงการณ์ชี้แจงว่า การโจมตีนั้นส่งผลกระทบต่อฟังก์ชันรองของโครงสร้างพื้นฐานของตนซึ่งก็คือ API ฝั่งผู้ใช้งานทั่วไป และไบนารีที่ลงนามแล้วและที่เก็บโค้ดไม่ได้ถูกบุกรุก พวกเขาระบุว่าได้ระบุและแก้ไขช่องโหว่ใน API ที่ถูกบุกรุกแล้ว และได้คืนการทำงานตามปกติให้กับแพลตฟอร์มการดาวน์โหลดแล้ว
จากข้อมูลที่มีอยู่ โปรแกรม CPU-Z และ HWMonitor เวอร์ชันปัจจุบันได้รับการลงนามอย่างถูกต้องและให้บริการจากโครงสร้างพื้นฐานที่ปลอดภัยแล้ว ณ วันนี้ การดาวน์โหลดเครื่องมือเหล่านี้จากเว็บไซต์อย่างเป็นทางการถือว่าปลอดภัย เนื่องจากปัญหาได้รับการแก้ไขแล้ว โดยมีเงื่อนไขว่าคุณต้องปฏิบัติตามข้อควรระวังทั่วไปสำหรับซอฟต์แวร์ใด ๆ ที่ได้รับจากอินเทอร์เน็ต
ถึงกระนั้น เหตุการณ์นี้ก็ทำให้เกิดความไม่ไว้วางใจในระดับหนึ่ง หลายองค์กรกำลังตั้งคำถามว่า การใช้งานยูทิลิตี้จากภายนอกอย่าง CPUID บนเซิร์ฟเวอร์ที่ใช้งานจริงหรือในสภาพแวดล้อมที่มีความละเอียดอ่อนสูงนั้น ยังสมเหตุสมผลอยู่ หรือไม่ ในบางกรณี พวกเขาเลือกใช้ทางเลือกโอเพนซอร์สที่มีการตรวจสอบอย่างดี (เช่น lm-sensors บน Linux หรือ OpenHardwareMonitor) หรือเครื่องมือพื้นฐานจากผู้ให้บริการคลาวด์และฮาร์ดแวร์แทน
ในส่วนของ CPUID นั้น จะต้องทำงานเพื่อสร้างความไว้วางใจจากชุมชนขึ้นมาใหม่ไม่เพียงแต่ด้วยการแก้ไขปัญหาเฉพาะหน้าเท่านั้น แต่ยังต้องแสดงให้เห็นว่าพวกเขาได้เสริมสร้างความปลอดภัยภายในองค์กรให้แข็งแกร่งขึ้นด้วย เช่น การตรวจสอบเป็นประจำ การควบคุมการเข้าถึงที่เข้มงวดขึ้น การตรวจสอบความผิดปกติในการดาวน์โหลด และการเผยแพร่ค่าแฮชที่ตรวจสอบได้สำหรับแต่ละเวอร์ชัน รวมถึงมาตรการอื่นๆ อีกมากมาย
โดยทั่วไปแล้ว การโจมตีประเภทนี้กำลังผลักดันให้อุตสาหกรรมนำแนวปฏิบัติต่างๆ มาใช้ เช่นSBOMs (Software Bill of Materials)ซึ่งกำหนดให้ต้องมีเอกสารประกอบสำหรับส่วนประกอบทั้งหมดในซอฟต์แวร์ และโมเดลสถาปัตยกรรมแบบ Zero Trust ซึ่งหากไม่ผ่านการตรวจสอบอย่างต่อเนื่อง ก็จะไม่ถือว่าโค้ดภายในมีความน่าเชื่อถือเลย
บทเรียนสำคัญสำหรับผู้ใช้งานและอุตสาหกรรม
เหตุการณ์ CPUID เป็นเครื่องเตือนใจที่น่าอึดอัดใจว่าการเชื่อถือเว็บไซต์อย่างเป็นทางการโดยไม่ตรวจสอบให้ดีนั้นไม่เพียงพออีกต่อไปแล้วผู้โจมตีเข้าใจแล้วว่า จุดอ่อนมักไม่ใช่ผู้ใช้ที่คลิกลิงก์ แต่เป็นโครงสร้างพื้นฐานการเผยแพร่ที่เราทุกคนคิดว่าปลอดภัยต่างหาก
สำหรับผู้ใช้งานทั่วไป มีประเด็นสำคัญหลายประการที่ควรทราบ ประการแรก: อย่าเพิกเฉยต่อคำเตือนของโปรแกรมป้องกันไวรัสเพียงเพราะไฟล์นั้นมาจากเว็บไซต์ที่มีชื่อเสียง การตรวจจับในปัจจุบันอาศัยพฤติกรรมและชื่อเสียงระดับโลก หากมีข้อความแจ้งเตือนปรากฏขึ้นเมื่อคุณดาวน์โหลดบางสิ่งจาก cpuid.com ในวันที่กำหนด อาจเป็นสัญญาณบ่งบอกว่ามีสิ่งผิดปกติเกิดขึ้นในระบบเบื้องหลังของผู้ให้บริการ
ประการที่สอง: ให้ความสนใจกับรายละเอียดที่เห็นได้ชัด เช่น ชื่อไฟล์ปฏิบัติการหากไฟล์ติดตั้งมีชื่อว่า HWiNFO_Monitor_Setup.exe ในขณะที่คุณคาดหวังว่าจะเป็น HWMonitor นั่นควรทำให้คุณสงสัยทันที การใส่ใจเพียงสองวินาทีก็สามารถป้องกันการติดไวรัสร้ายแรงได้
สำหรับบริษัทซอฟต์แวร์ เหตุการณ์ประเภทนี้ตอกย้ำความจำเป็นในการเสริมสร้างกระบวนการ CI/CD การเข้าถึงเซิร์ฟเวอร์ดาวน์โหลด และ API เสริมต่างๆ เครื่องมือสแกนการพึ่งพา เช่นSemgrep หรือระบบ SCA อื่นๆกฎ Sigma ที่ใช้กับบันทึก CI/CD และการวิเคราะห์แบบคงที่/แบบไดนามิกก่อนลงนามไบนารี ไม่ใช่สิ่งที่ "ควรมี" อีกต่อไป แต่เป็นสิ่งจำเป็น
สุดท้ายนี้ ชุมชนด้านความปลอดภัยทางไซเบอร์กำลังผลักดันไปสู่โซลูชันที่ซับซ้อนยิ่งขึ้น ได้แก่ การใช้ไลบรารีการเข้ารหัสที่แข็งแกร่งเพื่อรับรองความสมบูรณ์และความถูกต้องในกระบวนการลงนาม EDR ในหน่วยความจำที่สามารถทำลายห่วงโซ่การโจมตีเช่นที่เห็นใน CPU-Z และวัฒนธรรมที่ตรวจสอบความผิดปกติใด ๆ ในการดาวน์โหลดขนาดใหญ่ทันทีแทนที่จะมองข้ามว่าเป็นเพียงข้อผิดพลาดเล็กน้อย
เหตุการณ์โจมตีห่วงโซ่อุปทานของ CPUIDที่เกิดขึ้นทั้งหมดแสดงให้เห็นอย่างชัดเจนว่ากลยุทธ์การโจมตีที่ส่วนการแจกจ่ายซอฟต์แวร์ แทนที่จะโจมตีที่ซอร์สโค้ดโดยตรงนั้น จะยังคงอยู่ต่อไป ผู้ใช้และองค์กรจำเป็นต้องยกระดับมาตรฐานด้านสุขอนามัยดิจิทัลของตนให้สูงขึ้น: ตรวจสอบแฮชทุกครั้งที่เป็นไปได้ ใส่ใจกับชื่อไฟล์และใบรับรอง ระมัดระวังเมื่อเห็นโลโก้ที่ดูคุ้นเคย และเหนือสิ่งอื่นใด ต้องตอบสนองอย่างรวดเร็วต่อข้อสงสัยใดๆ เพื่อป้องกันไม่ให้เหตุการณ์ครั้งเดียวกลายเป็นปัญหาระยะยาว