Octagon แอนดรอยด์ RAT ปลอมเป็นแอปเตือนภัยฉุกเฉินของบาห์เรน ใช้ watchdog คู่กันคอยปลุกกันเอง รีบูตก็ไม่หลุด

สรุปสั้น

ผู้ใช้แอนดรอยด์กำลังเผชิญภัยคุกคามแบบเข้าถึงระยะไกลตัวใหม่ที่ซ่อนตัวอยู่หลังแอปแจ้งเตือนเหตุฉุกเฉินปลอม มัลแวร์ตัวนี้ชื่อ Octagon ปลอมตัวเป็นบริการ BH Alert ของบาห์เรน แล้วพาเหยื่อเดินผ่านขั้นตอนติดตั้งที่ดูน่าเชื่อถือเพื่อให้ได้สิทธิ์อันตรายมาครอง แคมเปญนี้ฉวยจังหวะที่ประชาชนกำลังกังวลในช่วงที่ภูมิภาคมีความตึงเครียด โดยพาเหยื่อไปยังหน้าฟิชชิงและให้ดาวน์โหลดไฟล์ติดตั้งแอนดรอยด์จากนอกสโตร์ทางการ ซึ่งไอคอนแอปที่ดูคุ้นตาและถ้อยคำเรื่องเหตุฉุกเฉินทำให้กลลวงดูสมจริง

K7 Security Labs ระบุว่า Octagon เป็นภัยคุกคามบนแอนดรอยด์ที่ทำงานเป็นชั้น ๆ สามารถขโมยข้อมูลปลดล็อกเครื่อง ข้อความ SMS ข้อมูลธนาคาร และข้อมูลส่วนตัวอื่น ๆ ได้ จุดที่ทำให้ตัวนี้น่ากังวลเป็นพิเศษคือการออกแบบที่ทำให้การรีสตาร์ตเครื่องมีประโยชน์น้อยกว่าที่ผู้ใช้คาด เพราะองค์ประกอบของมัลแวร์สามารถกลับมาทำงานต่อได้หลังเครื่องเปิดขึ้นมาใหม่

K7 Security Labs ระบุในรายงานที่แบ่งปันกับ Cyber Security News ว่าแคมเปญนี้พุ่งเป้าไปที่ผู้ใช้ในบาห์เรนเป็นหลักด้วยการปลอมตัวเป็นแอปแจ้งเหตุฉุกเฉินอย่างเป็นทางการ กรณีนี้จึงเป็นตัวอย่างที่ชี้ว่าเหตุใดหน้าเว็บที่ดูเหมือนของทางการ ประกาศเร่งด่วน และหน้าต่างขอสิทธิ์ จึงเป็นสิ่งที่ต้องระวังเป็นพิเศษ

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 3 สิงหาคม 2569 ว่า K7 Security Labs ได้เผยแพร่บทวิเคราะห์ทางเทคนิคของมัลแวร์แอนดรอยด์ชื่อ Octagon ซึ่งปลอมตัวเป็นแอปพลิเคชันป้องกันภัยฝ่ายพลเรือนของบาห์เรน

Octagon เริ่มต้นจากไฟล์ BH-Alert.apk ซึ่งจะขอสิทธิ์เข้าถึงผ่าน 7 ขั้นตอนก่อนที่จะติดตั้งองค์ประกอบที่สองลงเครื่อง แอปตัวแรกซ่อนโค้ดที่รันได้ไว้ในไฟล์ที่เข้ารหัสชื่อ ZfChs.ttf แล้วถอดรหัสบนเครื่อง และโหลดขึ้นมาเฉพาะเมื่อจำเป็นเท่านั้น วิธีนี้ทำให้การสแกนแบบพื้นฐานมองเห็นสิ่งผิดปกติได้น้อยในช่วงแรก

จากนั้นมัลแวร์จะติดตั้งแอปลูกที่รู้จักกันในชื่อ OctagonPanel และสร้างไฟล์โค้ดอีกชุดขึ้นมาระหว่างรันไทม์ บริการของมันทำงานอยู่เบื้องหลัง ขณะที่กระบวนการ watchdog คอยเฝ้ากันและกัน และจะสั่งเริ่มการทำงานของคู่หูขึ้นมาใหม่ทันทีหากอีกฝ่ายถูกหยุด นอกจากนี้การรีบูตเครื่องก็ไม่จำเป็นต้องยุติการบุกรุก เพราะ boot receiver สามารถเรียกมัลแวร์ขึ้นมาทำงานอีกครั้งเมื่อระบบแอนดรอยด์เริ่มต้น

Octagon ยังเพิ่มบัญชีแอนดรอยด์ปลอมชื่อ OctagonPanel และตั้งตารางการซิงโครไนซ์ทุก 30 นาที กระบวนการนี้ปลุกมัลแวร์ขึ้นมาเป็นระยะหรือเมื่อถูกสั่งได้ ทำให้มันเชื่อมต่อกลับไปยังเซิร์ฟเวอร์สั่งการและรักษาการตั้งค่าที่รวมถึงความสามารถต้านการถอนการติดตั้งเอาไว้ ผลคือการล้างเครื่องที่ติดเชื้อยากกว่าการปิดแอปที่มองเห็นได้เพียงอย่างเดียวมาก

นักวิจัยยังพบว่า Octagon เก็บการตั้งค่า เทมเพลตหน้าฟิชชิง และข้อความที่ดักจับได้ไว้ในฐานข้อมูล SQLite บนเครื่อง แคชนี้ทำให้การเก็บข้อมูลดำเนินต่อไปได้แม้ขาดการเชื่อมต่อชั่วคราว และเปิดทางให้ผู้ปฏิบัติการซิงค์ข้อมูลที่ขโมยได้ในภายหลัง โดยข้อมูลถูกป้องกันด้วยการสื่อสารแบบเข้ารหัสบนพอร์ตที่ไม่ใช่พอร์ตมาตรฐาน

รายงานยังชี้ว่าวิธีฝังตัวแบบนี้เป็นส่วนหนึ่งของรูปแบบที่พบมากขึ้นเรื่อย ๆ โดยเคยมีกรณีอุปกรณ์ Android TV ที่ถูกเจาะแล้วใช้ boot receiver เริ่มกิจกรรมที่ซ่อนอยู่ และกรณีการฝังตัวบนแอนดรอยด์ล่าสุดที่ใช้ BOOT_COMPLETED เพื่อกลับมาทำงานต่อหลังรีสตาร์ต

วิธีการโจมตี

เมื่อ Octagon เริ่มทำงาน มันจะขอให้เหยื่อเปิดใช้ Accessibility Service และการเชื่อมต่อ VPN โดย Accessibility ซึ่งเดิมมีไว้ช่วยให้ผู้พิการใช้งานโทรศัพท์ได้สะดวก กลับถูกใช้บันทึกรหัส PIN รหัสผ่าน และรูปแบบการปลดล็อกหน้าจอขณะที่ผู้ใช้กดป้อน มัลแวร์ยังเก็บประวัติข้อมูลรับรองที่ดักได้ไว้ในที่จัดเก็บบนเครื่องก่อนจะส่งออกไป

คำขอเปิด VPN ก็หลอกลวงไม่แพ้กัน แทนที่จะปกป้องเหยื่อ มันกลับสามารถส่งทราฟฟิกผ่านอุโมงค์ที่ผู้โจมตีควบคุม ซึ่งช่วยให้ดักจับหรือเปลี่ยนเส้นทางกิจกรรมที่อ่อนไหวได้ และเพื่อไม่ให้ผิดสังเกต มัลแวร์จะกันแอปบางรายการไว้นอกอุโมงค์ ทำให้โทรศัพท์ยังดูทำงานปกติ ลดโอกาสที่เหยื่อจะรู้ตัวว่าถูกแทรกแซง

แอปลูกยังเก็บข้อความ SMS รายชื่อผู้ติดต่อ ประวัติการโทร ภาพหน้าจอ และข้อมูลการตั้งค่า อีกทั้งยังแสดงหน้าฟิชชิงซ้อนทับบนแอปเป้าหมายได้ด้วย ความสามารถชุดนี้ใกล้เคียงกับที่เคยมีการบันทึกไว้ในการวิเคราะห์มัลแวร์ธนาคาร DroidBot ซึ่งใช้ Accessibility ในทางที่ผิดเพื่อดักแป้นพิมพ์และเฝ้าดูหน้าจอ และในรายงานเรื่องการฝังตัวของ RedHook RAT ที่อธิบายบริการที่จับคู่กันคอยเรียกกันและกันขึ้นมาใหม่

กลไกการอยู่รอดของ Octagon จึงมีสามชั้นซ้อนกัน ได้แก่ บริการ watchdog ที่เฝ้ากันเอง, boot receiver ที่ปลุกมัลแวร์เมื่อเครื่องบูต และบัญชีปลอมที่ตั้งซิงก์ทุก 30 นาที ซึ่งแต่ละชั้นทำงานแยกกัน ทำให้การหยุดเพียงกลไกเดียวไม่พอจะกำจัดมัลแวร์ออกจากเครื่อง

ผลกระทบ

ผลกระทบที่หนักที่สุดคือการสูญเสียการควบคุมเครื่องโดยสมบูรณ์ เมื่อมัลแวร์ได้สิทธิ์ Accessibility ไปแล้ว มันเห็นทุกอย่างที่ผู้ใช้พิมพ์รวมถึงรหัสปลดล็อกเครื่อง และเมื่อบวกกับความสามารถอ่าน SMS ก็หมายความว่ารหัส OTP ที่ธนาคารส่งมาถูกดักได้ทั้งหมด การป้องกันบัญชีธนาคารด้วย OTP ทาง SMS จึงหมดประสิทธิภาพลงทันทีบนเครื่องที่ติดเชื้อ

สำหรับผู้ใช้ทั่วไป ความเข้าใจที่ว่า “รีสตาร์ตเครื่องแล้วมัลแวร์จะหาย” ใช้ไม่ได้กับกรณีนี้ และแม้แต่การลบแอปที่มองเห็นก็อาจไม่พอ เพราะยังมีแอปลูก บัญชีปลอม และตัวตั้งเวลาซิงก์ที่ยังทำงานอยู่ ในทางปฏิบัติ เครื่องที่ติด Octagon ควรถูกถือว่าไม่น่าเชื่อถืออีกต่อไปจนกว่าจะรีเซ็ตเป็นค่าจากโรงงาน

การเลือกปลอมตัวเป็นแอปแจ้งเตือนภัยฉุกเฉินของทางการเป็นจุดที่ควรจับตา เพราะเป็นการอาศัยความกลัวและความเร่งด่วนของประชาชนในช่วงที่ภูมิภาคตึงเครียด ซึ่งเป็นรูปแบบที่ลอกเลียนไปใช้กับประเทศอื่นได้ทันทีเพียงเปลี่ยนชื่อแอปและโลโก้ กรณีนี้จึงมีค่าในฐานะรูปแบบการโจมตีมากกว่าจะจำกัดอยู่แค่บาห์เรน

ข้อจำกัดของหลักฐานคือรายงานไม่ได้ระบุจำนวนเหยื่อ ไม่ระบุความเสียหายทางการเงินที่เกิดขึ้นจริง ไม่ระบุว่าผู้ก่อภัยเป็นกลุ่มใดหรือมาจากที่ใด และไม่ได้บอกว่าแคมเปญนี้ยังทำงานอยู่หรือไม่ ณ เวลาที่รายงานถูกเผยแพร่

คำแนะนำ

ผู้ใช้ไม่ควรติดตั้งซอฟต์แวร์จากลิงก์ในข้อความ โพสต์บนโซเชียล หรือหน้าเว็บแจ้งเหตุฉุกเฉินที่ยังไม่ได้ตรวจสอบ ควรติดตั้งแอปจากสโตร์ทางการเท่านั้น ตรวจสอบชื่อผู้พัฒนาให้ตรงกับหน่วยงานจริง อัปเดตแอนดรอยด์ให้ทันสมัยอยู่เสมอ และระวังเป็นพิเศษเมื่อแอปขอสิทธิ์ Accessibility, VPN, การอ่าน SMS หรือสิทธิ์ติดตั้งแอปอื่น ซึ่งเป็นชุดสิทธิ์ที่แอปแจ้งเตือนภัยจริงไม่มีเหตุผลต้องขอ

ผู้ที่เคยติดตั้ง BH Alert จากแหล่งที่ไม่เป็นทางการควรลบออก ตรวจสอบความเคลื่อนไหวของบัญชีต่าง ๆ และเปลี่ยนข้อมูลรับรองสำคัญจากอุปกรณ์ที่เชื่อถือได้เครื่องอื่น ไม่ใช่จากเครื่องที่ต้องสงสัยว่าติดเชื้อ เนื่องจากกลไกฝังตัวมีหลายชั้น การรีเซ็ตเป็นค่าจากโรงงานเป็นทางเลือกที่ปลอดภัยกว่าการไล่ลบทีละองค์ประกอบ

องค์กรที่บริหารจัดการอุปกรณ์พกพาควรบล็อกการติดตั้งจากแหล่งที่ไม่รู้จักผ่านนโยบาย MDM ตรวจสอบรายการแอปที่ได้สิทธิ์ Accessibility และรายการโปรไฟล์ VPN บนเครื่องพนักงานเป็นระยะ และตั้งการเฝ้าระวังตัวบ่งชี้ในตารางด้านล่างบนอุปกรณ์ป้องกันขอบเครือข่าย

สำหรับบัญชีที่สำคัญ ควรย้ายจากการยืนยันตัวตนด้วย OTP ทาง SMS ไปใช้แอปยืนยันตัวตนหรือกุญแจฮาร์ดแวร์แทน เพราะมัลแวร์ที่อ่าน SMS ได้บนเครื่องเดียวกับที่ใช้ทำธุรกรรมทำให้ปัจจัยที่สองไม่เหลือคุณค่าในการป้องกัน

Indicators of Compromise (IoCs)

หมายเหตุ: ตัวบ่งชี้ประเภท IP และโดเมนถูก defang ไว้เพื่อป้องกันการเปิดหรือเชื่อมโยงโดยไม่ตั้งใจ ควร re-fang เฉพาะภายในแพลตฟอร์มข่าวกรองที่ควบคุมได้อย่าง MISP, VirusTotal หรือ SIEM ขององค์กรเท่านั้น

แหล่งอ้างอิง

• Octagon: Technical Analysis of a Fake Bahrain Civil Defense Application — K7 Security Labs
• Android RAT Survives Reboots Using Watchdog Services and Boot Receivers — Cyber Security News