สรุปสั้น

ผู้ใช้แอนดรอยด์กำลังเจอเครื่องเตือนใจอีกครั้งว่ารายการแอปที่ดูคุ้นตาในร้านแอปทางการก็ซ่อนภัยคุกคามทางการเงินไว้ได้ นักวิจัยพบโหลดเดอร์ประสงค์ร้ายหลายตัวที่โฮสต์อยู่บน Google Play โดยตรง ซึ่งทำหน้าที่ปูทางให้มัลแวร์ธนาคารบนแอนดรอยด์ชื่อ Anatsa เข้ามาในเครื่องภายหลัง จุดที่ทำให้แคมเปญนี้รอดการตรวจคัดกรองได้คือมันไม่ได้พึ่งไฟล์ดาวน์โหลดที่เป็นอันตรายตั้งแต่แรก แต่ใช้แอปที่ดูมีประโยชน์จริง เช่น โปรแกรมอ่าน PDF ที่ถูกฝังโค้ดไว้ แล้วแสดงหน้าต่างแจ้งอัปเดตปลอมขึ้นมาหลังจากผู้ใช้เปิดแอป การอัปเดตนั้นเองคือเส้นทางที่ใช้ติดตั้ง Anatsa ลงเครื่อง

นักวิเคราะห์ของ Securelist ระบุกิจกรรมชุดนี้ไว้ในรายงานทบทวนภัยคุกคามแอนดรอยด์ประจำไตรมาสที่สอง โดยชี้ว่าสิ่งที่พบรวมถึงโหลดเดอร์หลายตัวที่โฮสต์ผ่าน Google Play ซึ่งเป็นช่องทางที่ผู้ใช้มักมองว่าปลอดภัยกว่าการโหลดจากเว็บไซต์ที่ไม่เป็นทางการ ข้อค้นพบนี้มาในจังหวะที่มัลแวร์ธนาคารยังเป็นปัญหาใหญ่ ข้อมูลเทเลเมทรีด้านความปลอดภัยบันทึกการโจมตีที่ถูกบล็อกไว้ได้มากกว่า 1.99 ล้านครั้งในไตรมาสดังกล่าว ซึ่งเกี่ยวข้องกับมัลแวร์ แอดแวร์ หรือซอฟต์แวร์มือถือที่ไม่พึงประสงค์ ขณะที่โทรจันธนาคารคิดเป็นสัดส่วน 30.77 เปอร์เซ็นต์ของแอปพลิเคชันประสงค์ร้ายที่ตรวจพบทั้งหมด

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 10 สิงหาคม พ.ศ. 2569 ว่า นักวิจัยพบโหลดเดอร์ประสงค์ร้ายบน Google Play ที่ปูทางให้กับ Anatsa ซึ่งเป็นโทรจันธนาคารบนแอนดรอยด์ที่ออกแบบมาเพื่อทำให้การเข้าถึงบัญชีการเงินของเหยื่อตกอยู่ในความเสี่ยง โดยข้อมูลมาจากรายงานของ Securelist ที่แบ่งปันกับสำนักข่าวดังกล่าว

โหลดเดอร์คือโปรแกรมขั้นแรกขนาดเล็กที่มีหน้าที่เพียงไปดึงหรือเปิดใช้งานส่วนประกอบที่อันตรายกว่าในภายหลัง การแยกงานออกเป็นสองขั้นแบบนี้ทำให้ผู้ก่อเหตุสร้างแอปที่ดูไม่มีพิษภัยในช่วงที่ระบบตรวจคัดกรองของร้านแอปกำลังตรวจสอบ แล้วค่อยเปลี่ยนพฤติกรรมของมันหลังจากแอปไปถึงเครื่องของผู้ใช้จริงแล้ว วิธีนี้จึงตัดกำลังกลไกตรวจสอบที่ทำงานในขั้นตอนอนุมัติแอปลงไปมาก

ในกรณีของ Anatsa หน้าจอแจ้งอัปเดตปลอมคือหัวใจของการหลอกลวง ผู้ที่เชื่อว่าแอปกำลังขออัปเกรดตามปกติมักกดอนุมัติขั้นตอนถัดไปโดยไม่ทันตระหนักว่ากำลังติดตั้งมัลแวร์ธนาคารลงเครื่อง แคมเปญโปรแกรมอ่านเอกสารปลอมที่เคยพบก่อนหน้านี้แสดงให้เห็นว่าการอำพรางลักษณะนี้เข้าถึงผู้ใช้ทั่วไปได้ ไม่ใช่เฉพาะคนที่เข้าเว็บไซต์เสี่ยงเท่านั้น

Securelist ยังอธิบายถึงโหลดเดอร์ที่พบในแอปชื่อ Cleanova ควบคู่กับตัวอย่างอื่น ๆ โดยโหลดเดอร์ตัวนี้ส่งข้อมูลที่เก็บรวบรวมได้จากชุดพัฒนาซอฟต์แวร์หรือ SDK ไปยังเซิร์ฟเวอร์สั่งการและควบคุม ข้อมูลที่ส่งไปรวมถึงเบาะแสว่าการติดตั้งมีต้นทางมาจากที่ใด ซึ่งช่วยให้ผู้ปฏิบัติการตัดสินใจได้ว่าจะส่งเพย์โหลดที่เป็นอันตรายกลับมาหรือไม่

การส่งเพย์โหลดแบบคัดเลือกเช่นนี้ทำให้การตรวจคัดกรองของร้านแอปยากขึ้นอย่างมาก เพราะถ้าข้อมูลที่ได้บ่งชี้ว่าการติดตั้งมาจากแหล่งที่อยู่นอกกลุ่มเป้าหมายของผู้โจมตี ฟังก์ชันที่เป็นอันตรายก็จะไม่ทำงานเลย เครื่องที่นักวิเคราะห์หรือระบบอัตโนมัติใช้ตรวจจึงเห็นแอปที่ทำงานปกติทุกประการ พฤติกรรมแบบมีเงื่อนไขนี้คล้ายกับกลวิธีที่พบในปฏิบัติการแอปประสงค์ร้ายชื่อ SlopAds ซึ่งใช้กลไกควบคุมการเปิดใช้งานเพื่อซ่อนกิจกรรมที่เป็นอันตรายเช่นกัน

รายงานฉบับกว้างกว่านั้นพบแพ็กเกจติดตั้งประสงค์ร้ายที่เชื่อมโยงกับโทรจันธนาคารบนมือถือจำนวน 93,574 รายการในไตรมาสดังกล่าว แม้ว่าจำนวนรวมของแพ็กเกจเหล่านั้นจะลดลงก็ตาม ตัวเลขที่ลดลงไม่ได้แปลว่าอันตรายน้อยลงโดยอัตโนมัติ เพราะผู้โจมตีอาจหันไปเน้นการเล็งเป้าที่แม่นยำขึ้น สร้างเวอร์ชันใหม่ และใช้วิธีส่งมอบที่หลบการตรวจจับในช่วงต้นได้ดีกว่าเดิม

วิธีการโจมตี

สายการโจมตีเริ่มจากผู้ใช้ติดตั้งแอปที่ดูมีประโยชน์จาก Google Play ตามปกติ ในตัวอย่างที่ถูกอ้างถึงคือโปรแกรมอ่าน PDF ที่ถูกฝังโค้ดประสงค์ร้ายไว้ ในขั้นนี้แอปยังไม่มีพฤติกรรมอันตรายให้ตรวจพบ เมื่อผู้ใช้เปิดแอปขึ้นมา ระบบจะแสดงหน้าต่างแจ้งว่ามีอัปเดตให้ติดตั้ง ซึ่งเป็นหน้าต่างปลอมที่แอปสร้างขึ้นเอง ไม่ใช่กระบวนการอัปเดตของ Google Play การกดยอมรับจึงเท่ากับอนุญาตให้ติดตั้งไฟล์จากนอกร้านแอป และไฟล์นั้นคือช่องทางที่ Anatsa เข้าสู่เครื่อง

อีกกลไกหนึ่งที่ทำให้แคมเปญอยู่รอดได้นานคือการคัดกรองเหยื่อก่อนส่งเพย์โหลด โหลดเดอร์ในแอป Cleanova รวบรวมข้อมูลผ่าน SDK แล้วส่งไปให้เซิร์ฟเวอร์สั่งการประเมิน ข้อมูลชุดนี้บอกได้ว่าการติดตั้งมาจากที่ไหน ผู้ปฏิบัติการจึงเลือกส่งเพย์โหลดกลับมาเฉพาะเครื่องที่เข้าเกณฑ์เป้าหมาย ส่วนเครื่องที่ไม่เข้าเกณฑ์จะไม่ได้รับอะไรเลย ผลลัพธ์คือแอปเดียวกันอาจปลอดภัยสนิทในมือของนักวิเคราะห์ แต่เป็นอันตรายในมือของเหยื่อจริง

สิ่งที่ควรระบุไว้เป็นข้อจำกัดคือรายงานไม่ได้ลงรายละเอียดว่า Anatsa ทำอะไรบนเครื่องหลังติดตั้งสำเร็จ ไม่ได้เปิดเผยรายชื่อแอปทั้งหมดที่พบนอกเหนือจาก Cleanova ไม่ระบุยอดดาวน์โหลด และไม่ได้บอกว่าแอปเหล่านั้นถูกถอดออกจาก Google Play แล้วหรือยัง ตัวเลขสถิติทั้งหมดในรายงานยังเป็นเทเลเมทรีจากผู้ให้บริการรายเดียว จึงสะท้อนสิ่งที่ผลิตภัณฑ์ของผู้ให้บริการรายนั้นมองเห็น ไม่ใช่ภาพรวมของระบบนิเวศแอนดรอยด์ทั้งหมด

ผลกระทบ

อันตรายไม่ได้อยู่ที่การดาวน์โหลดแอปครั้งแรกเพียงอย่างเดียว เมื่อ Anatsa เข้าถึงอุปกรณ์ได้แล้ว โทรจันธนาคารสามารถค้นหาข้อมูลที่ช่วยให้ผู้ก่อเหตุเข้าถึงบัญชีการเงินหรืออนุมัติธุรกรรมฉ้อโกงได้ ข้อมูลการชำระเงินและข้อมูลระบุตัวตนที่อ่อนไหวจึงตกอยู่ในความเสี่ยงทั้งหมด

ผลกระทบเชิงโครงสร้างที่สำคัญกว่าคือความเชื่อมั่นที่มีต่อร้านแอปทางการถูกสั่นคลอน คำแนะนำที่ใช้กันมานานว่า “ติดตั้งเฉพาะจาก Google Play เท่านั้นก็ปลอดภัย” ยังถูกต้องในแง่ที่ลดความเสี่ยงลงได้มาก แต่ไม่ใช่หลักประกัน เพราะแคมเปญลักษณะนี้ย้ายส่วนที่เป็นอันตรายออกไปนอกร้านแอป แล้วใช้ร้านแอปเป็นเพียงจุดสร้างความน่าเชื่อถือให้กับด่านแรกเท่านั้น

สำหรับองค์กร ความเสี่ยงส่งผ่านมาทางอุปกรณ์ส่วนตัวของพนักงานที่ใช้ทำงานด้วย เพราะเครื่องเดียวกันมักถูกใช้ทั้งเปิดแอปธนาคารและรับรหัสยืนยันตัวตนแบบใช้ครั้งเดียว การที่มัลแวร์เข้าถึงเครื่องได้จึงกระทบมากกว่าบัญชีธนาคารส่วนบุคคลของพนักงานคนนั้น

คำแนะนำ

ผู้ใช้ควรระวังคำขออัปเดตที่โผล่ขึ้นมาภายในแอปเป็นพิเศษ โดยเฉพาะเมื่อแอปขอให้ติดตั้งอะไรบางอย่างนอกกระบวนการอัปเดตปกติของระบบ หลักง่าย ๆ คือการอัปเดตแอปที่ถูกต้องจะเกิดขึ้นผ่าน Google Play เท่านั้น ไม่ใช่ผ่านหน้าต่างที่ตัวแอปสร้างขึ้นเอง นอกจากนี้ควรตรวจสอบชื่อผู้พัฒนา สิทธิ์ที่แอปร้องขอ และรีวิวล่าสุดก่อนติดตั้ง อัปเดตระบบแอนดรอยด์และแอปให้เป็นปัจจุบันเสมอ และถอนแอปที่ไม่ได้ใช้แล้วออกจากเครื่อง

องค์กรสามารถช่วยได้ด้วยการย้ำกับพนักงานว่าการที่แอปอยู่ในรายการของร้านแอปทางการไม่ใช่หลักประกันความปลอดภัย ควบคู่กับการวางมาตรการควบคุมความปลอดภัยบนอุปกรณ์พกพา การติดตั้งแพตช์อย่างรวดเร็ว และการมีช่องทางแจ้งเหตุที่ชัดเจนเพื่อจำกัดความเสียหายเมื่อพบแอปน่าสงสัย

ผู้ใช้แอนดรอยด์ที่คิดว่าแอปธนาคารหรือบัญชีของตนอาจได้รับผลกระทบ ควรติดต่อสถาบันการเงินโดยเร็วและเปลี่ยนข้อมูลรับรองตัวตนจากอุปกรณ์ที่เชื่อถือได้เครื่องอื่น ไม่ใช่จากเครื่องที่สงสัยว่าติดมัลแวร์ บทเรียนสำคัญของแคมเปญนี้คือผู้โจมตีแยกส่วนหน้าที่ดูไม่มีพิษภัยออกจากโค้ดอันตรายที่ส่งตามมาทีหลังมากขึ้นเรื่อย ๆ การพิจารณาพฤติกรรมของแอปหลังติดตั้งจึงสำคัญไม่แพ้การตรวจดูรายการของแอปในร้าน

แหล่งอ้างอิง