สรุปสั้น

บริษัท Zimperium เปิดเผยรายงานการวิเคราะห์โทรจันธนาคารบนแอนดรอยด์ชื่อ ToxicPanda หรือที่รู้จักในอีกชื่อว่า TgToxic ซึ่งถูกปรับปรุงจนกลายเป็นเวอร์ชัน 2.0 โดยจุดที่เปลี่ยนแปลงชัดที่สุดคือขนาดของเป้าหมาย จากเดิมที่เล็งเพียง 16 แอปพลิเคชันธนาคาร เวอร์ชันใหม่ขยายเป็นการโจมตีสถาบันการเงิน 349 แห่งใน 16 ประเทศ พร้อมชุดคำสั่งควบคุมระยะไกลที่เพิ่มขึ้นเป็น 167 รายการ และกระบวนการเก็บเกี่ยวรหัส PIN ที่เล็งแอปธนาคารและแอปคริปโทเคอร์เรนซีมากกว่า 140 ตัว มัลแวร์ตระกูลนี้เคลื่อนไหวอยู่ในธรรมชาติมาตั้งแต่อย่างน้อยเดือนกรกฎาคม 2565 แต่รุ่นล่าสุดถือเป็นการก้าวกระโดดทั้งด้านขอบเขตและความสามารถ

สิ่งที่ทำให้มัลแวร์กลุ่มนี้อันตรายไม่ใช่ช่องโหว่ใดช่องโหว่หนึ่ง แต่คือการนำ accessibility service ของแอนดรอยด์ซึ่งเป็นฟีเจอร์ช่วยเหลือผู้พิการมาใช้ผิดวัตถุประสงค์ จนสามารถอ่านทุกองค์ประกอบบนหน้าจอ วางหน้าต่างซ้อนทับเพื่อขโมยข้อมูลล็อกอิน และสั่งงานแทนผู้ใช้ได้ ToxicPanda 2.0 ยังเพิ่มกลไกคลิกอัตโนมัติเพื่อเปิด Developer Options และ Wireless debugging แล้วใช้ Android Debug Bridge หรือ ADB ยกระดับสิทธิ์จนได้สิทธิ์ระดับเชลล์บนเครื่องที่ติดเชื้อ ซึ่งเป็นเส้นทางที่ไม่ต้องอาศัยการเจาะช่องโหว่ของระบบปฏิบัติการเลยแม้แต่น้อย

ในรายงานฉบับเดียวกันยังกล่าวถึง GoldDigger โทรจันอีกตระกูลที่บริษัท IBM Trusteer วิเคราะห์ไว้ ซึ่งกำลังระบาดหนักในแอฟริกาใต้และสหราชอาณาจักรผ่านแอปปลอมที่สวมรอยเป็นสายการบินและร้านค้าปลีก โดย GoldDigger ถูกระบุว่าเป็นผลงานของกลุ่ม GoldFactory ที่ใช้ภาษาจีนเป็นหลัก ทั้ง ToxicPanda และ GoldDigger เดินตามแนวทางเดียวกันคือการฉ้อโกงบนเครื่องของเหยื่อโดยตรง หรือ on-device fraud ซึ่งเป็นวิธีที่ทำให้ธุรกรรมทุจริตออกมาจากอุปกรณ์เครื่องเดิม เครือข่ายเดิม และบัญชีเดิมที่ธนาคารคุ้นเคยอยู่แล้ว

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 20 สิงหาคม 2569 ว่า นักวิจัยจาก Zimperium zLabs เผยแพร่รายงานเมื่อวันพุธที่ผ่านมา ระบุถึงการยกเครื่องครั้งใหญ่ของมัลแวร์ ToxicPanda ที่นักวิจัยเรียกว่าเป็นการปรับปรุงอย่างมีนัยสำคัญ ทั้งในแง่จำนวนคำสั่งที่รองรับและขอบเขตของสถาบันการเงินที่ตกเป็นเป้า

นาย Vishnu Pratapagiri นักวิจัยด้านความปลอดภัยของ Zimperium อธิบายว่า ด้วยการนำ accessibility service ของแอนดรอยด์มาใช้ในทางที่ผิด ผู้โจมตีสามารถขโมยทุกองค์ประกอบของส่วนติดต่อผู้ใช้ที่ปรากฏบนหน้าจอ ควบคู่ไปกับกลไกขโมยข้อมูลยืนยันตัวตนแบบวางหน้าต่างซ้อนทับที่เล็งสถาบันการเงิน 349 แห่งใน 16 ประเทศ เทียบกับเวอร์ชันก่อนหน้าที่เล็งเพียง 16 แอปพลิเคชันธนาคาร ตัวเลขนี้สะท้อนการขยายทั้งขอบเขตเป้าหมายและขีดความสามารถอย่างชัดเจน

เวอร์ชันใหม่ยังเติมเต็มคำสั่งที่เคยประกาศไว้แต่ยังไม่ได้พัฒนาให้สมบูรณ์ในรุ่นก่อน เพิ่มการดูดข้อมูลยืนยันตัวตนของหน้าจอล็อกด้วยหน้าต่างซ้อนทับปลอม และเพิ่มกลไกคลิกอัตโนมัติเพื่อใช้งาน Wireless Debugging ของแอนดรอยด์ผ่าน ADB สำหรับยกระดับสิทธิ์และเข้าถึงระดับเชลล์บนอุปกรณ์ที่ถูกยึด โดยอาศัย accessibility service เป็นตัวเปิด Developer Options และเปิดโหมด Wireless debugging ให้เอง

ในด้านการติดต่อกับเซิร์ฟเวอร์สั่งการและควบคุม ToxicPanda 2.0 เริ่มด้วยการส่งคำขอ HTTPS เพื่อสร้างช่องทางสื่อสารแบบสองทางผ่าน WebSocket สำหรับรับคำสั่งและแลกเปลี่ยนข้อมูล เช่นเดียวกับมัลแวร์ Manic ที่เพิ่งถูกค้นพบ ToxicPanda สามารถแสดงหน้าจอ “อัปเดตระบบ” แบบเต็มจอเพื่อบังการทำงานเบื้องหลัง และวางหน้าต่างโปร่งใสที่มองไม่เห็นเพื่อดักตำแหน่งการสัมผัสหน้าจอและเก็บรหัส PIN

ความสามารถใหม่อื่น ๆ ประกอบด้วยการหลอกให้เหยื่อมอบสิทธิ์ผู้ดูแลอุปกรณ์ การเขียนทับรหัส PIN หรือรหัสผ่านของหน้าจอล็อกด้วยค่าที่ผู้โจมตีกำหนดเอง และการตรวจสอบโปรไฟล์ของเครื่องที่ติดเชื้อเพื่อดูว่าเป็นอุปกรณ์ของผู้ผลิตรายใด แล้วดำเนินการยกเว้นตัวเองออกจากนโยบายประหยัดพลังงานแบตเตอรี่ผ่าน accessibility service เพื่อให้ทำงานเบื้องหลังได้อย่างต่อเนื่องไม่ถูกระบบตัดการทำงาน

Zimperium ยังระบุว่าแคมเปญที่อัปเดตนี้เผยให้เห็นการเปลี่ยนวิธีกระจายตัวมัลแวร์ด้วย โดยตัวอย่างของ ToxicPanda 2.0 ถูกส่งผ่านบักเก็ตที่โฮสต์อยู่บน Amazon AWS ซึ่งบ่งชี้ว่าผู้โจมตีหันมาใช้โครงสร้างพื้นฐานคลาวด์เป็นช่องทางแจกจ่ายมัลแวร์แทนโฮสติงทั่วไป

ส่วน GoldDigger ซึ่งถูกบันทึกครั้งแรกโดยบริษัท Group-IB เมื่อเดือนตุลาคม 2566 ในฐานะมัลแวร์ที่ทำการฉ้อโกงบนเครื่องเหยื่อได้ ถูกระบุว่าเป็นผลงานของกลุ่ม GoldFactory ซึ่งใช้ภาษาจีนและเชื่อมโยงกับมัลแวร์ธนาคารตระกูลอื่นที่โจมตีทั้งแอนดรอยด์และ iOS อย่าง GoldPickaxe, GoldDiggerPlus และ GoldKefu ตามข้อมูลของ IBM Trusteer แคมเปญปัจจุบันของ GoldDigger เน้นปลอมเป็นแอปของสายการบินและร้านค้าปลีก จนเกิดการติดเชื้อเป็นวงกว้างในแอฟริกาใต้และสหราชอาณาจักร

วิธีการโจมตี

แกนกลางของทั้งสองตระกูลคือ accessibility service ซึ่งเป็นบริการที่แอนดรอยด์เปิดให้แอปช่วยเหลือผู้พิการอ่านและโต้ตอบกับหน้าจอแทนผู้ใช้ได้ เมื่อเหยื่อกดอนุญาตให้แอปปลอมเข้าถึงบริการนี้ ผู้โจมตีก็ได้ความสามารถชุดเดียวกับที่ระบบมอบให้เครื่องมือช่วยเหลือ นั่นคือเห็นทุกอย่างบนหน้าจอและสั่งกดแทนผู้ใช้ได้ ซึ่งเพียงพอต่อการขโมยข้อมูลล็อกอินและทำธุรกรรมโดยไม่ต้องเจาะช่องโหว่ใด ๆ ของระบบปฏิบัติการ

จุดที่ ToxicPanda 2.0 ต่างจากรุ่นก่อนคือการต่อยอดไปถึงการยกระดับสิทธิ์ มัลแวร์ใช้การคลิกอัตโนมัติเดินเมนูเข้าไปเปิด Developer Options และเปิด Wireless debugging เอง แล้วเชื่อมต่อผ่าน ADB เพื่อให้ได้สิทธิ์ระดับเชลล์ สิ่งที่ควรสังเกตคือทุกขั้นตอนในสายนี้เป็นฟีเจอร์ที่มีอยู่ในระบบตามปกติทั้งหมด ต่างกันเพียงว่าผู้กดคือมัลแวร์ไม่ใช่เจ้าของเครื่อง การป้องกันที่อาศัยการตรวจหาการเจาะช่องโหว่จึงมองไม่เห็นเส้นทางนี้

กลไกดักรหัส PIN ก็ทำงานบนหลักคิดเดียวกัน คือแทนที่จะสร้างหน้าจอธนาคารปลอมทั้งหน้าซึ่งเหยื่อมีโอกาสสังเกตความผิดปกติ มัลแวร์วางหน้าต่างโปร่งใสทับบนแป้นตัวเลขจริงแล้วบันทึกพิกัดที่ถูกแตะ วิธีนี้ทำให้แอปเป้าหมายยังทำงานปกติในสายตาเหยื่อ ขณะที่รหัสถูกเก็บไปแล้ว ประกอบกับความสามารถเขียนทับรหัสหน้าจอล็อกด้วยค่าที่ผู้โจมตีกำหนด ทำให้ผู้โจมตีสามารถกลับเข้าเครื่องได้ในภายหลังแม้เหยื่อจะไม่ได้อยู่หน้าจอ

ฝั่ง GoldDigger ให้น้ำหนักกับการต้านการวิเคราะห์มากกว่า IBM Trusteer ระบุว่ามัลแวร์ใช้แพ็กเกอร์ชื่อ dpt-shell ซึ่งเข้ารหัสตรรกะส่วนที่เขียนด้วยภาษาเนทีฟ ตรวจจับว่ามีเครื่องมือ Frida ผูกเข้ากับโปรเซสหรือไม่ และหากพบก็สั่งให้โปรเซสล่ม รวมถึงป้องกันดีบักเกอร์จากภายนอกด้วยการทำเครื่องหมายว่าตัวเองถูกติดตามอยู่แล้วผ่าน system call ชื่อ PTRACE ซึ่งเป็นเทคนิคที่ทำให้ดีบักเกอร์ตัวที่สองผูกเข้ามาไม่ได้

ในแง่การฉ้อโกง นาย Shahar Tavor Lusky นักวิจัยด้านความปลอดภัย อธิบายว่า GoldDigger สามารถป้อนอินพุตเข้าไปยังแอปธนาคารเพื่อเลียนแบบการกระทำของผู้ใช้ ทั้งการพิมพ์ข้อความ การกดปุ่ม และการทำท่าทางบนหน้าจอ ซึ่งหมายความว่าธุรกรรมทุจริตถูกสั่งจากแอปธนาคารของเหยื่อเอง นอกจากนี้ยังให้ผู้ปฏิบัติการดูหน้าจอเหยื่อแบบเรียลไทม์ ดักข้อมูลล็อกอินด้วยหน้าต่างซ้อนทับปลอม และรันแอปเป้าหมายภายในสภาพแวดล้อมเสมือนเพื่อให้เห็นพฤติกรรมขณะทำงานทั้งหมด สำหรับช่องทางสั่งการ มัลแวร์เปิดการเชื่อมต่อ WebSocket เพื่อรับคำสั่งขอสิทธิ์ accessibility และตำแหน่งที่ตั้ง ดักอินพุตจากแอปใดก็ได้ เก็บรายชื่อผู้ติดต่อและข้อความ SMS บันทึกเสียงและวิดีโอแล้วสตรีมกลับด้วยโปรโตคอล RTMP รวมถึงเปิด URL และเปิดแอปที่กำหนด เช่น Google Play Store และหน้าตั้งค่า

ข้อจำกัดของข้อมูลที่ต้องระบุคือ รายงานไม่ได้เปิดเผยว่าประเทศใดบ้างใน 16 ประเทศที่ ToxicPanda 2.0 เล็งเป้า ไม่ได้ระบุจำนวนเครื่องที่ติดเชื้อจริงของทั้งสองตระกูล ไม่ได้บอกความเสียหายทางการเงินที่เกิดขึ้น และไม่ได้ระบุว่าคำว่าการติดเชื้อเป็นวงกว้างในแอฟริกาใต้และสหราชอาณาจักรมีขนาดเท่าใดในเชิงตัวเลข

ผลกระทบต่อไทย

ประเด็นที่ผู้ใช้ในไทยควรให้น้ำหนักที่สุดในข่าวนี้คือชื่อของกลุ่ม GoldFactory ผู้อยู่เบื้องหลัง GoldDigger เพราะกลุ่มนี้เป็นเจ้าของ GoldPickaxe ซึ่งบริษัท Group-IB เคยรายงานเมื่อปี 2567 ว่าถูกใช้โจมตีผู้ใช้ในประเทศไทยและเวียดนามโดยเฉพาะ จุดที่ทำให้เคสนั้นเป็นที่จดจำคือมัลแวร์ถูกออกแบบมาเก็บภาพใบหน้าและเอกสารยืนยันตัวตนของเหยื่อ ซึ่งสอดรับกับเงื่อนไขเฉพาะของระบบธนาคารไทยที่กำหนดให้ต้องยืนยันตัวตนด้วยการสแกนใบหน้าสำหรับการโอนเงินที่มีมูลค่าตั้งแต่ระดับหนึ่งขึ้นไป กล่าวคือมาตรการที่ออกแบบมาเพื่อกันการโอนเงินโดยไม่ได้รับอนุญาต กลับกลายเป็นสิ่งที่ผู้โจมตีต้องเก็บเพิ่มและออกแบบเครื่องมือมารองรับ แคมเปญ GoldDigger รอบนี้ยังไม่มีรายงานว่าเล็งประเทศไทย แต่การที่ผู้พัฒนากลุ่มเดิมยังเคลื่อนไหวและปรับปรุงเครื่องมือต่อเนื่องเป็นข้อมูลที่มีน้ำหนักสำหรับสถาบันการเงินไทย

ในระดับกลไก การฉ้อโกงบนเครื่องเหยื่อสร้างปัญหาโดยตรงกับระบบตรวจจับการทุจริตที่สถาบันการเงินใช้กันอยู่ เพราะสัญญาณที่ระบบเหล่านั้นพึ่งพา ไม่ว่าจะเป็นอุปกรณ์ที่ไม่คุ้นเคย ตำแหน่งที่ตั้งผิดปกติ หมายเลขไอพีแปลกหน้า หรือลายนิ้วมือของเบราว์เซอร์ที่เปลี่ยนไป ล้วนไม่เกิดขึ้นเลยเมื่อธุรกรรมถูกสั่งจากโทรศัพท์เครื่องเดิมของเจ้าของบัญชี ผ่านแอปตัวจริงที่ล็อกอินไว้แล้ว บนเครือข่ายที่ใช้ประจำ การตรวจจับจึงต้องขยับไปดูสัญญาณระดับพฤติกรรมแทน เช่น จังหวะการพิมพ์ที่สม่ำเสมอเกินมนุษย์ การเคลื่อนที่ของนิ้วที่ไม่มีความคลาดเคลื่อนตามธรรมชาติ หรือการมีบริการ accessibility ที่ไม่ใช่ของระบบทำงานอยู่ขณะทำธุรกรรม

อีกจุดที่กระทบผู้ใช้ทั่วไปโดยตรงคือความสามารถเขียนทับรหัสหน้าจอล็อกและการขอสิทธิ์ผู้ดูแลอุปกรณ์ เพราะเมื่อผู้โจมตีเปลี่ยนรหัสปลดล็อกได้ เหยื่อจะเข้าเครื่องตัวเองไม่ได้ในจังหวะที่ต้องรีบระงับบัญชีหรือติดต่อธนาคาร ซึ่งเป็นช่วงเวลาที่มีค่าที่สุดในการจำกัดความเสียหาย เว็บไซต์ Cloud Thunder เคยรายงานโทรจันธนาคารบนแอนดรอยด์ที่ใช้ accessibility service ควบคุมอุปกรณ์ในลักษณะเดียวกันไว้ที่ 2026/06/004 และรายงาน RAT บนแอนดรอยด์ที่ปลอมเป็นแอปทางการของหน่วยงานรัฐไว้ที่ 2026/08/016

คำแนะนำ

สำหรับผู้ใช้ทั่วไป จุดตัดสินที่สำคัญที่สุดอยู่ตรงหน้าจอที่ขออนุญาตใช้ accessibility service เพราะเป็นด่านเดียวที่กั้นระหว่างแอปที่น่าสงสัยกับการควบคุมเครื่องทั้งเครื่อง แอปสายการบิน แอปร้านค้า แอปดูพัสดุ หรือแอปยูทิลิตีทั่วไปไม่มีเหตุผลใดต้องขอสิทธิ์นี้ ถ้าเจอคำขอในลักษณะนี้ให้ถือว่าเป็นสัญญาณอันตรายทันที เช่นเดียวกับคำขอสิทธิ์ผู้ดูแลอุปกรณ์ที่ไม่ควรให้กับแอปที่ไม่ใช่ระบบจัดการอุปกรณ์ขององค์กร

ควรตรวจรายการแอปที่ติดตั้งอยู่เป็นระยะและถอนแอปที่จำไม่ได้ว่าติดตั้งเมื่อใดออก ตรวจสอบสิทธิ์ที่แอปแต่ละตัวได้รับก่อนกดอนุญาต ติดตั้งแอปจากแหล่งที่เชื่อถือได้และผู้พัฒนาที่ตรวจสอบได้เท่านั้น อัปเดตระบบปฏิบัติการและแอปให้เป็นปัจจุบัน เปิดการยืนยันตัวตนสองขั้นตอนสำหรับบัญชีออนไลน์ทุกบัญชี และตรวจความเคลื่อนไหวของบัญชีธนาคารอย่างสม่ำเสมอเพื่อให้จับธุรกรรมผิดปกติได้เร็วที่สุด นอกจากนี้ควรตรวจดูว่า Developer Options และ Wireless debugging บนเครื่องถูกเปิดไว้โดยที่เจ้าของไม่ได้เปิดเองหรือไม่ เพราะเป็นร่องรอยตรงของเส้นทางยกระดับสิทธิ์ที่ ToxicPanda 2.0 ใช้

สำหรับสถาบันการเงินและผู้พัฒนาแอปธนาคาร ควรตรวจสอบว่าแอปของตนมีการตรวจจับบริการ accessibility ที่ไม่ใช่ของระบบซึ่งทำงานอยู่ระหว่างการทำธุรกรรมหรือไม่ ตรวจจับการมีหน้าต่างซ้อนทับขณะแสดงหน้าจอรับรหัส และพิจารณาปิดการทำงานของแอปเมื่อพบว่าอุปกรณ์เปิด Wireless debugging อยู่ ในด้านการตรวจจับการทุจริต ควรเพิ่มน้ำหนักให้สัญญาณเชิงพฤติกรรมมากกว่าสัญญาณระดับอุปกรณ์และเครือข่ายเพียงอย่างเดียว เพราะการฉ้อโกงบนเครื่องเหยื่อทำให้สัญญาณกลุ่มหลังหมดความหมายไปโดยปริยาย

แหล่งอ้างอิง