แฮกเกอร์กำลังปลอมแปลงมัลแวร์เป็นรหัสโคล้ด และมันง่ายที่จะตกหลุมพรางการหลอกลวงนี้

สรุป

• นักวิจัยได้ค้นพบแคมเปญมัลแวร์ใหม่ที่มุ่งเป้าไปที่เครื่องมือพัฒนา AI
• การโจมตีใช้ลิงก์ที่ได้รับการสนับสนุนบน Google เพื่อแอบอ้างเป็นคำแนะนำการติดตั้งอย่างเป็นทางการ
• เป้าหมายรวมถึงเครื่องมือปัญญาประดิษฐ์ที่เป็นที่นิยมเช่น Claude Code และ OpenClaw

ด้วยความนิยมที่เพิ่มขึ้นอย่างรวดเร็วของเครื่องมือ AI จึงเป็นเพียงเรื่องของเวลาที่แฮกเกอร์จะเข้ามาโจมตี ไวรัสคอมพิวเตอร์ที่เกี่ยวข้องกับ AI ชุดล่าสุดมุ่งเป้าไปที่เครื่องมือสำหรับนักพัฒนา เช่น Claude Code และ OpenClaw และมันแฝงตัวได้อย่างแนบเนียน นักวิจัยที่ Kaspersky ค้นพบแคมเปญที่มุ่งเป้าไปที่นักพัฒนา "ที่กำลังมองหาคำแนะนำการติดตั้งสำหรับ Claude Code" ตามโพสต์ที่เผยแพร่เมื่อวันที่ 16 มีนาคม

การโจมตีทำงานอย่างไร

คำสั่งที่เป็นอันตรายซ่อนตัวอยู่ในที่เห็นได้ชัด

Kaspersky พบว่าเมื่อค้นหาคำว่า "ดาวน์โหลด Claude Code" โฆษณาที่ได้รับการสนับสนุนจะปรากฏอยู่ที่ด้านบนของหน้า (ไม่น่าแปลกใจนัก) อย่างไรก็ตาม นักวิจัยพบว่า โฆษณาเหล่านี้หนึ่งในนั้นเปลี่ยนเส้นทางไปยังหน้าเว็บที่เป็นอันตรายซึ่งดูเหมือนกับคำแนะนำการติดตั้งอย่างเป็นทางการของ Claude Code จังหวะเวลาดูไม่เข้าท่า เนื่องจาก Claude ได้รับความนิยมอย่างมากในช่วงหลายสัปดาห์ที่ผ่านมา

หน้าที่เป็นอันตรายนี้มีลักษณะภายนอกเหมือนกับคำสั่ง Claude Code ของจริงทุกประการ รวมถึงคำสั่งเองด้วย ความแตกต่างอยู่ที่คำสั่งการติดตั้ง — เมื่อคุณรันคำสั่งจากหน้าหน้านี้ แทนที่จะติดตั้ง Claude คุณจะติดตั้งมัลแวร์ ดูเหมือนว่าผู้ที่อยู่เบื้องหลังการโจมตีเหล่านี้หวังว่าผู้ใช้จะคัดลอกและวางโค้ดโดยไม่ตรวจสอบซ้ำ (ซึ่งน่าเสียดายที่ค่อนข้างพบบ่อย)

การโจมตีไม่ได้มุ่งเป้าไปที่ Claude Code เพียงอย่างเดียว — Kaspersky ยังพบแคมเปญที่คล้ายกันที่มุ่งเป้าไปที่ "เครื่องมือ AI ยอดนิยมอื่นๆ" โดยเฉพาะอย่างยิ่งได้ระบุชื่อ OpenClaw และ Doubao (เครื่องมือ AI จาก ByteDance) ที่เป็นที่นิยมและมีประโยชน์อย่างมาก พวกเขายังไม่ใช่การโจมตีประเภทนี้ครั้งแรกที่มุ่งเป้าไปที่เครื่องมือ AI Kaspersky อ้างว่าพบการโจมตีที่คล้ายกันโดยใช้ Google Ads ในเดือนธันวาคม 2025

จะเกิดอะไรขึ้นถ้าคุณรันคำสั่งที่เป็นอันตราย?

ถ้าคุณรันคำสั่งปลอมเหล่านี้ แทนที่จะติดตั้ง Claude Code คุณจะได้ติดตั้งซอฟต์แวร์ขโมยข้อมูลแบบหนึ่งในสองแบบ ขึ้นอยู่กับระบบปฏิบัติการของคุณ:

• Windows: ถ้าคุณใช้ Windows คำสั่งเหล่านี้จะติดตั้ง Amatera มัลแวร์นี้ "เก็บข้อมูลจากไดเรกทอรีของผู้ใช้ เว็บเบราว์เซอร์ และกระเป๋าเงินคริปโตเคอเรนซี" แล้วส่งข้อมูลนั้นไปยังเซิร์ฟเวอร์ระยะไกล Kaspersky ระบุว่า Amatera เคยถูกใช้ในแคมเปญก่อนหน้านี้
• macOS: ผู้ใช้ macOS จะได้รับ AMOS ซึ่งเป็นมัลแวร์ขโมยข้อมูลที่มักใช้โจมตีอุปกรณ์ของ Apple

โพสต์ของ Kaspersky เน้นย้ำข้อเท็จจริงที่ว่า การโจมตีเหล่านี้กำลังมุ่งเป้าไปที่นักพัฒนาโดยเฉพาะ ซึ่งในหลายกรณีหมายความว่า ไม่ใช่เพียงข้อมูลส่วนบุคคลเท่านั้น แต่ยังอาจเป็นข้อมูลธุรกิจที่ถูกขโมยด้วย

วิธีการอยู่ปลอดภัย

ตรวจสอบทุกอย่างอีกครั้ง!

การโจมตีเหล่านี้น่ากังวล แต่สามารถหลีกเลี่ยงได้ตราบใดที่คุณปฏิบัติตามแนวทางปฏิบัติด้านความปลอดภัยพื้นฐาน นักวิจัยที่ Kaspersky มีข้อเสนอแนะดังต่อไปนี้ (ถอดความ):

• ตรวจสอบลิงก์: ตรวจสอบลิงก์เสมอ ไม่ว่าจะเป็นการดาวน์โหลดโดยตรงหรือเป็นลิงก์ไปยังหน้าดาวน์โหลด เว็บไซต์ที่เป็นอันตรายในกรณีโจมตีเหล่านี้ถูกโฮสต์บน Squarespace และสามารถเห็นได้ใน URL
• ตรวจสอบคำสั่ง: อย่าคัดลอกและวางคำสั่งเทอร์มินัลโดยไม่คิด ตรวจสอบคำสั่งเหล่านั้นก่อนรันเสมอ — แม้ว่าที่มาจะดูเป็นทางการก็ตาม
• ตรวจสอบให้แน่ใจว่าคุณเข้าใจสิ่งที่คุณกำลังทำ: อย่ารันคำสั่งหากคุณไม่รู้ว่ามันทำอะไร
• ใช้โซลูชันความปลอดภัยที่เชื่อถือได้: มีระบบในการตรวจจับมัลแวร์

อีกประเด็นสำคัญที่ไม่ได้กล่าวถึงที่นี่คือการติดตามลิงก์ทางการในผลการค้นหาของ Google แทนที่จะเป็นลิงก์ที่เป็นสปอนเซอร์ แม้ว่าผลลัพธ์การค้นหาแบบธรรมชาติอาจเป็นอันตราย แต่โดยทั่วไปคุณมีแนวโน้มที่จะเจอการโจมตีประเภทนี้จากลิงก์ที่เป็นสปอนเซอร์มากกว่า — โดยเฉพาะเมื่อเว็บไซต์ที่เป็นอันตรายพยายามแอบอ้างเป็นเว็บไซต์ที่ถูกกฎหมาย

ระวังตัวไว้ — ฉันคาดว่าการโจมตีที่เกี่ยวข้องกับ AI แบบนี้จะยังคงมีแนวโน้มเพิ่มมากขึ้น