การแอบอ้างแบรนด์ดังโดยเฉพาะซอฟต์แวร์และแอปพลิเคชันดัง ๆ นั้น มักจะเป็นกลเม็ดที่แฮกเกอร์ทำอยู่เป็นประจำเพื่อใช้ปล่อยมัลแวร์ใส่เหยื่อผ่านทางแอปปลอมสมอ้าง และครั้งนี้กลเม็ดนี้ก็ได้กลับมาเป็นข่าวอีกครั้ง

จากรายงานโดยเว็บไซต์ Help Net Security ได้กล่าวถึงการที่ทางทีมวิจัยจาก Arctic Wolf บริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ ได้ตรวจพบแคมเปญในการแพร่กระจายมัลแวร์ประเภทขโมยข้อมูลจากเหยื่อ หรือ Infostealer ผ่านทางการใช้งานคลังดิจิทัล (Repo หรือ Repositories) ของทาง GitHub ด้วยการแอบอ้างแบรนด์ของเครื่องมือชื่อดังหลากประเภท ไม่ว่าจะเป็นเครื่องมือด้านความปลอดภัย, กระเป๋าเงินคริปโตเคอร์เรนซี (Crypto Wallet), แอปพลิเคชันด้านการเงิน, และซอฟต์แวร์อีกหลากประเภท มากถึง 292 ตัว ซึ่งมัลแวร์ดังกล่าวนั้นมีความสามารถในการขโมยข้อมูลหลากรูปแบบ ไม่ว่าจะเป็น

• ข้อมูลของระบบที่ติดมัลแวร์
• ไฟล์ Cookies และรหัสผ่านที่ถูกบันทึกไว้บนเว็บเบราว์เซอร์ต่าง ๆ เช่น Chrome, Edge, Brave, Yandex, Vivaldi, Chromium, Tor, Epic, Opera, Opera GX, และ Firefox
• ข้อมูลที่เก็บไว้บนเครื่อง (Local Storage) และข้อมูลการตั้งค่า (Configuration) ที่อยู่ภายในส่วนเสริมของเว็บเบราว์เซอร์ (Extension) โดยเฉพาะอย่างยิ่งส่วนเสริมที่เป็น Crypto Wallet นานาชนิด
• Session Token ในการใช้งานแพลตฟอร์ม Steam, Discord, รหัสผ่านใช้แอปพลิเคชันส่งข้อความ Meta Max, และข้อมูลที่อยู่ภายในแอปพลิเคชัน Telegram
• ไฟล์ที่อยู่ภายในโฟลเดอร์ Desktop และ Documents ที่มีคำว่า “password,” “passwords,” “seeds,” “keys,” “wallet,” “backup,” และ “recovery”
• รหัสผ่านที่ถูกบันทึกอยู่ภายใน Windows Credential Manager

โดยข้อมูลเหล่านี้จะถูกส่งไปยังเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) ที่ตั้งอยู่บนหมายเลขไอพี (IP Address) 193.143.1[.]131 ซึ่งถูกโฮสต์อยู่ภายในประเทศรัสเซีย ซึ่งไฟล์ที่ถูกขโมยได้ทั้งหมดนั้นจะมีการสร้างบันทึก (Log) การทำงานภายใต้ชื่อ browser_decryption.log, และ sends.log ขึ้นมา ทำให้ถ้ามีการพบไฟล์ดังกล่าวบนเครื่องก็แปลว่าเครื่องได้ติดมัลแวร์เป็นที่เรียบร้อยแล้ว

ภาพจาก : https://www.helpnetsecurity.com/2026/07/15/impersonated-brands-github-infostealer-download/

ในด้านการตรวจพบซอฟต์แวร์สมอ้างนั้น มาจากการที่ทางทีมวิจัยตรวจพบซอฟต์แวร์ปลอมที่ใช้ชื่อบริษัทของตนเองนั่นคือ Arctic Wolf ซึ่งเมื่อทำการสืบสวนลึกลงไปก็พบว่าแฮกเกอร์ได้ทำการเผยแพร่หน้า Repo แอบอ้างดังกล่าวด้วยวิธีการดันลำดับการค้นหาให้ติดหน้าหนึ่งบนเครื่องมือค้นหา (Search Engine) หรือที่เรียกว่าวิธีการ SEO (Search Engine Optimization) โดยในแต่ละหน้า Repo นั้นจะมีเอกสารคู่มือ หรือ README ที่ภายในนั้นจะมีลิงก์ที่พาเหยื่อไปยังหน้าเพจที่แฮกเกอร์ทำรองรับไว้ โดยจะมีลักษณะโดเมนคือ *.github[.]io ซึ่งแต่ละเพจนั้นจะหลอกล่อให้ดาวน์โหลดไฟล์บีบอัดสกุล .Zip ขนาดใหญ่ ที่ระบบบนหน้าเพจนั้นจะเปลี่ยนชื่อของไฟล์และตัวไฟล์มัลแวร์ (Payload) ทุก ๆ 60 วินาที ซึ่งชุดไฟล์ภายในนั้นจะประกอบด้วย ซอฟต์แวร์ตัวจริง, เครื่องมืออัปเดต WinGUP Updater, และไฟล์มัลแวร์ libcurl.dll ซึ่งเมื่อเหยื่อทำการรันไฟล์ซอฟต์แวร์ขึ้นมา ตัว Updater ก็จะไปทำการรันไฟล์ DLL ของมัลแวร์ นำไปสู่การฝังมัลแวร์ลงเครื่องในท้ายที่สุด

ทั้งนี้ทางทีมวิจัยไม่มีการตรวจพบว่ามัลแวร์ดังกล่าวได้มีการดัดแปลงกุญแจ Run (Run Key), ตั้งเวลาทำงาน (Task Scheduling), เพิ่มรายชื่อยกเว้นใน Microsoft Defender, หรือกลเม็ดอื่น ๆ เพื่อสร้างความคงทนบนระบบ (Persistence) แต่อย่างไร ทำให้ถูกมองว่าเป็นมัลแวร์ประเภท Smash and Grab หรือ ติดเพื่อเร่งขโมยข้อมูลก่อนที่จะถูกลบเพียงเท่านั้น