RedTiger Malware

มัลแวร์ RedTiger (หรือที่เรียกว่า RedTiger Infostealer) คือมัลแวร์ขโมยข้อมูลประเภท Infostealer
ถูกพัฒนาจากเครื่องมือประเภท Red-Team / Penetration-Testing แบบโอเพ่นซอร์ส

เดิมทีเป็นเครื่องมือสำหรับทดสอบความปลอดภัยระบบ
แต่ถูกแฮกเกอร์นำไปดัดแปลงเป็นมัลแวร์จริง เพื่อโจมตีผู้ใช้ทั่วไป โดยเฉพาะ:

• ผู้ใช้ Discord
• เกมเมอร์
• ผู้ใช้งานคริปโต

RedTiger คืออะไร?

RedTiger เริ่มต้นจากเครื่องมือ Red-Team / Penetration-Testing แบบ Python-based
ที่เผยแพร่แบบ Open-Source บน GitHub เพื่อใช้ทดสอบความปลอดภัยระบบ

ภายหลังโค้ดถูกนักโจมตีดัดแปลงให้กลายเป็นมัลแวร์ประเภท Infostealer
ซึ่งสามารถรวบรวมข้อมูลลับในเครื่องและส่งกลับไปยังผู้โจมตี

เป้าหมายของ RedTiger

RedTiger มุ่งขโมยข้อมูลสำคัญจากเครื่องเหยื่อ เช่น:

• Discord Tokens (ใช้เข้าสู่บัญชีโดยไม่ต้องใช้รหัสผ่าน)
• ข้อมูลบัญชี Discord (อีเมล, สถานะ MFA, subscription)
• รหัสผ่านและคุกกี้จากเว็บเบราว์เซอร์
• ข้อมูลการชำระเงิน (เช่น PayPal, บัตรเครดิตที่บันทึกไว้)
• คริปโตวอลเล็ต
• ไฟล์สำคัญจากเกม เช่น Roblox
• Screenshots และภาพจากเว็บแคม

วิธีการทำงานของมัลแวร์

การแพร่กระจาย

มักปลอมเป็นไฟล์ที่เกี่ยวข้องกับเกมหรือ Discord เช่น:

• Mods
• Cheats
• Trainers
• “Discord Nitro Free”

เมื่อไฟล์ถูกเรียกใช้งาน

1. สแกนระบบเพื่อค้นหาไฟล์ฐานข้อมูลของ Discord และเว็บเบราว์เซอร์
2. ดึง Token, รหัสผ่าน, คุกกี้ และข้อมูลสำคัญอื่นๆ
3. แทรกโค้ด (JavaScript Injection) ใน Discord เพื่อดักจับ API Calls และกิจกรรมบัญชี
4. บีบอัดข้อมูลที่ขโมยได้
5. อัปโหลดไปยังบริการฝากไฟล์ออนไลน์ เช่น GoFile
6. ส่งลิงก์และข้อมูลเหยื่อกลับไปยังผู้โจมตีผ่าน Discord Webhook

ฟีเจอร์หลบหลีกและความคงอยู่ (Persistence)

RedTiger มีความสามารถหลบเลี่ยงการตรวจจับ เช่น:

• ตรวจจับ Sandbox หรือ Debugger แล้วปิดตัวเอง
• สร้างไฟล์และ Process แบบสุ่ม
• ตั้งค่าให้ทำงานอัตโนมัติเมื่อเปิดเครื่อง (Windows)

ผลกระทบและความเสี่ยง

• ผู้โจมตีสามารถเข้าควบคุมบัญชี Discord ได้ทั้งหมด แม้เปลี่ยนรหัสผ่านแล้ว (หาก Token ถูกขโมย)
• ข้อมูลการเงินและคริปโตอาจถูกนำไปใช้ฉ้อโกง
• อาจถูกใช้แอบอ้างตัวตน (Impersonation) เพื่อแพร่มัลแวร์ต่อไปยังผู้อื่น

วิธีป้องกัน

• ไม่ดาวน์โหลดหรือรันไฟล์จากแหล่งที่ไม่น่าเชื่อถือ
• เปิดใช้งาน Multi-Factor Authentication (MFA)
• Revoke Token และเปลี่ยนรหัสผ่านทันทีหากสงสัยว่าถูกโจมตี
• ติดตั้งและอัปเดตโปรแกรมป้องกันมัลแวร์
• ล้างข้อมูลในเบราว์เซอร์ เช่น รหัสผ่านและคุกกี้