ThaiCERT ออกคำเตือนวันที่ 8 พฤศจิกายน 2569 ให้ระวัง Yoba ชุดติดตั้ง AI ปลอม ที่แอบอ้าง ChatGPT และ Claude บน GitHub พร้อมแนวทางตรวจสอบสำหรับผู้ใช้ Windows และทีมรักษาความปลอดภัย นี่เป็นคำเตือนจากหน่วยงานไทย ไม่ใช่การยืนยันว่ามีองค์กรหรือผู้ใช้ไทยติดมัลแวร์แล้ว
สิ่งที่รายงานต้นทางยืนยัน
งานวิจัย Check Point Research เผยแพร่ตั้งแต่ 27 ตุลาคม 2569 พบผู้โจมตีนำโปรแกรมที่มีลายมือชื่อดิจิทัลถูกต้องมารวมกับ DLL อันตรายในไฟล์ ZIP เมื่อเปิดโปรแกรม ไฟล์ข้างเคียงอาจถูกโหลดด้วยเทคนิค DLL sideloading รายงานพบโปรแกรมขุดเงินดิจิทัล XMRig และระบุว่า loader สามารถรับ payload อื่นได้ด้วย
ลายมือชื่อของโปรแกรมหนึ่งไฟล์จึงไม่ได้รับรองความปลอดภัยของทั้งแพ็กเกจ ข้อมูลนี้ไม่ได้ยืนยันว่าระบบหรือช่องทางดาวน์โหลดทางการของ OpenAI หรือ Anthropic ถูกเจาะ
ใครควรตรวจสอบ และอะไรยังสรุปไม่ได้
ผู้ใช้ Windows ที่ดาวน์โหลดชุดติดตั้ง AI จากแหล่งไม่ยืนยัน โดยเฉพาะผู้ที่เปิดโปรแกรมด้วยสิทธิ์ Administrator ควรตรวจสอบย้อนหลัง การพบ ZIP เพียงอย่างเดียวไม่เท่ากับติดมัลแวร์ และชื่อ DLL ที่ตรงกันเพียงชื่อเดียวก็ยังไม่ยืนยันเหตุบุกรุก ต้องเทียบตำแหน่งไฟล์ ค่าแฮช และลำดับการทำงาน ไม่อนุมานจำนวนผู้เสียหายจากผู้ใช้ AI ทั้งหมด
ข้อแนะนำ ALPHASEC: แยกสถานะก่อนตอบสนอง
- ยังไม่ได้เปิดไฟล์: หยุดติดตั้ง อย่าเปิดเพื่อทดลอง ส่งแหล่งดาวน์โหลดและตำแหน่งไฟล์ให้ผู้ดูแลระบบกักกันและตรวจสอบ
- เปิดโปรแกรมแล้ว: แจ้งทีม IT/SOC และแยกเครื่องตามขั้นตอนตอบสนองเหตุขององค์กร เก็บประวัติดาวน์โหลด ไฟล์ต้นฉบับ และบันทึกที่เกี่ยวข้องก่อนทำความสะอาดเครื่อง
- สำหรับทีม SOC: ตรวจ telemetry ของโปรแกรมติดตั้งที่โหลด DLL จากโฟลเดอร์ดาวน์โหลด เทียบ IoC และกฎ YARA จากรายงานนักวิจัย พร้อมตรวจงานที่เริ่มหลังเปิดเครื่อง อย่าตัดสินจากชื่อไฟล์อย่างเดียว
- ลดโอกาสเกิดซ้ำ: จัดรายการเครื่องมือ AI และช่องทางติดตั้งที่อนุมัติ จำกัดสิทธิ์ผู้ดูแลตามความจำเป็น และให้พนักงานตรวจลิงก์จากเว็บไซต์ผู้พัฒนาแทนการเชื่อผลค้นหาหรือเครื่องหมายตรวจสอบอย่างเดียว
คำแนะนำส่วนนี้เป็นแนวทางของ ALPHASEC สำหรับนำไปปรับใช้กับกระบวนการขององค์กร ไม่ใช่ข้อบังคับใหม่ และไม่ใช่หลักฐานว่าเครื่องที่ยังไม่ตรวจสอบปลอดภัยแล้ว
แหล่งข้อมูล
- ThaiCERT: คำเตือน Yoba วันที่ 8 พฤศจิกายน 2569
- Check Point Research: รายงานต้นทาง 27 ตุลาคม 2569 และ IoC/YARA
ตรวจต้นทาง 8 พฤศจิกายน 2569 · แยกวันเผยแพร่งานวิจัยเดิมจากคำเตือนใหม่ในไทย และไม่ระบุผู้เสียหายไทยโดยไม่มีหลักฐาน