สรุปสั้น
บริษัท ThreatFabric ผู้ให้บริการด้านความปลอดภัยจากเนเธอร์แลนด์ เปิดเผยรายงานทางเทคนิคเกี่ยวกับมัลแวร์แอนดรอยด์ตัวใหม่ที่ตั้งชื่อรหัสว่า Manic ซึ่งกำลังเคลื่อนไหวโจมตีธนาคาร หน่วยงานรัฐ บริการยืนยันตัวตน และแอปพลิเคชันสื่อสารในยูเครนเป็นหลัก ควบคู่ไปกับสถาบันการเงินในรัสเซียและยุโรป บริการฟินเทคและคริปโทเคอร์เรนซีระดับโลก รวมถึงแอปสื่อสารที่ออกแบบมาสำหรับการใช้งานทางทหาร นักวิจัยอธิบายว่ามัลแวร์ตัวนี้อยู่ตรงรอยต่อระหว่างโทรจันธนาคารกับสปายแวร์ เพราะรวมความสามารถฉ้อโกงทางการเงินเข้ากับการสอดแนมและการควบคุมอุปกรณ์ไว้ในตัวเดียวกัน
สิ่งที่ทำให้ Manic แตกต่างจากมัลแวร์แอนดรอยด์ตระกูลอื่นคือกลไกส่งต่อข้อมูลแบบ store-and-forward ที่อาศัยเครือข่าย mesh ผ่าน Wi-Fi เมื่อเครื่องที่ติดเชื้อไม่สามารถติดต่อเซิร์ฟเวอร์สั่งการและควบคุมได้ มัลแวร์จะเข้ารหัสข้อมูลที่เก็บมาแล้วพักไว้ในคิว จากนั้นค้นหาเครื่องที่ติดเชื้ออีกเครื่องซึ่งอยู่ในระยะใกล้และยังมีอินเทอร์เน็ตใช้งานได้ เพื่อฝากส่งข้อมูลต่อไปยังปลายทาง โดยรองรับการส่งต่อหลายทอดสูงสุดสี่ทอดตามค่าตั้งต้น ผลที่ตามมาคือการตัดอุปกรณ์ออกจากอินเทอร์เน็ตไม่ได้แปลว่าข้อมูลจะหยุดไหลออกอีกต่อไป
ในเชิงเวลา ThreatFabric ระบุว่าตระกูลมัลแวร์นี้มีร่องรอยย้อนไปถึงเดือนกุมภาพันธ์ 2569 เมื่อโดเมนแรกถูกจดทะเบียนด้วยตัวตนปลอม ตามด้วยช่วงพัฒนาที่เข้มข้น การหยุดพักช่วงปลายมิถุนายนถึงกลางกรกฎาคม แล้วกลับมาปล่อยรุ่นที่สองราววันที่ 13 กรกฎาคม ซึ่งเสริมกลไกต้านการวิเคราะห์และเพิ่มความสามารถหลอกเอาข้อมูลลับของหน้าจอล็อก ก่อนที่แผงควบคุมและ API ชุดใหม่จะเริ่มทำงานระหว่างวันที่ 24 ถึง 28 กรกฎาคม
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 20 สิงหาคม 2569 ว่า ThreatFabric ได้แบ่งปันรายงานทางเทคนิคเกี่ยวกับมัลแวร์ Manic ซึ่งถูกกระจายผ่านเว็บไซต์ฟิชชิงและแอปดรอปเปอร์ที่ปลอมตัวเป็นแอปยูทิลิตีทั่วไป
นักวิจัยของ ThreatFabric ระบุว่า Manic วางตัวอยู่ตรงจุดตัดระหว่างมัลแวร์ธนาคารบนแอนดรอยด์กับสปายแวร์บนมือถือ โดยรวมความสามารถด้านการฉ้อโกงทางการเงินเข้ากับฟีเจอร์สอดแนมและควบคุมอุปกรณ์ในวงกว้าง นอกเหนือจากการเล็งแอปพลิเคชันที่มีข้อมูลอ่อนไหวและการยึดครองอุปกรณ์อย่างครอบคลุมแล้ว มัลแวร์ยังเพิ่มเทคนิคเครือข่าย mesh ผ่าน Wi-Fi ที่ยังไม่เคยพบในตระกูลอื่น
จากการตรวจสอบพบว่ามัลแวร์เฝ้าติดตามชื่อแพ็กเกจของแอปพลิเคชันรวม 169 รายการ ครอบคลุมทั้งธนาคาร บริการชำระเงินระหว่างบุคคล บริการซื้อก่อนจ่ายทีหลัง กระเป๋าและตลาดแลกเปลี่ยนคริปโทเคอร์เรนซี แอปสื่อสาร บริการภาครัฐและระบบยืนยันตัวตนอิเล็กทรอนิกส์ เบราว์เซอร์ แอปสร้างรหัสยืนยันตัวตน และโปรแกรมอีเมล โดยเป้าหมายส่วนใหญ่เป็นแอปที่ใช้ในยูเครน แต่ในรายการยังปรากฏแอปที่ใช้ในรัสเซีย ยุโรปกลางและยุโรปตะวันตก รวมถึงสหราชอาณาจักรด้วย
ThreatFabric ระบุว่าชุดเป้าหมายดังกล่าวบ่งชี้ถึงการผสมกันระหว่างมัลแวร์ธนาคารกับสปายแวร์ โดยการฉ้อโกงทางการเงินดูจะเป็นวัตถุประสงค์หลัก เพราะครอบคลุมทั้งธนาคาร บริการชำระเงิน ตลาดแลกเปลี่ยนและกระเป๋าคริปโท แอปยืนยันตัวตนของภาครัฐ และแอปสร้างรหัสยืนยันตัวตน ขณะเดียวกัน Manic ยังถูกออกแบบให้เล็งแอปสื่อสารเชิงพาณิชย์และแอปสื่อสารที่ใช้ในงานทางทหารด้วย เมื่อรวมกับความสามารถติดตามตำแหน่ง เฝ้าดูการแจ้งเตือน เก็บไฟล์ และสอดแนมอุปกรณ์จากระยะไกล การเล็งเป้าที่กว้างเช่นนี้ทำให้ผู้ปฏิบัติการสามารถติดตามทั้งกิจกรรมทางการเงิน การสื่อสาร และตำแหน่งของเหยื่อได้แบบเรียลไทม์
ในด้านไทม์ไลน์ บริษัทจากเนเธอร์แลนด์รายนี้ระบุว่ากิจกรรมของตระกูลมัลแวร์ย้อนไปถึงเดือนกุมภาพันธ์ 2569 ซึ่งเป็นช่วงที่โดเมนแรกถูกจดทะเบียนด้วยตัวตนที่แต่งขึ้น หลังจากนั้นไม่นานก็เริ่มมีการพัฒนาอย่างจริงจัง โดยตัวห่อหุ้มรุ่นแรกใช้เหยื่อล่อเป็นแอปจองที่พัก และตัวอิมแพลนต์ปรากฏขึ้นในช่วงปลายเดือนพฤษภาคม
จุดที่น่าสนใจคือความพยายามเหล่านั้นถูกทิ้งไปในช่วงปลายเดือนมิถุนายนถึงกลางเดือนกรกฎาคม ก่อนที่สัญญาณของการนำไปใช้งานรอบที่สองจะปรากฏขึ้นราววันที่ 13 กรกฎาคม ตัวห่อหุ้มและอิมแพลนต์รุ่นใหม่ถูกพบว่ามีการตรวจสอบเพื่อต้านการวิเคราะห์ที่แข็งแรงขึ้น และเพิ่มความสามารถหลอกเอาข้อมูลลับของหน้าจอล็อก จากนั้นแผงควบคุมและ API ที่สอดคล้องกันก็เริ่มทำงานระหว่างวันที่ 24 ถึง 28 กรกฎาคม
ในวันเดียวกัน The Hacker News ยังรายงานการอัปเดตของโทรจันธนาคาร ToxicPanda เป็นเวอร์ชัน 2.0 และแคมเปญ GoldDigger ที่ระบาดในแอฟริกาใต้และสหราชอาณาจักร ซึ่งเว็บไซต์ Cloud Thunder รายงานไว้ที่ 2026/08/122 โดยทั้ง Manic และ ToxicPanda ใช้เทคนิคเดียวกันในการแสดงหน้าจออัปเดตระบบปลอมแบบเต็มจอเพื่อบังการทำงานเบื้องหลัง
วิธีการโจมตี
เช่นเดียวกับมัลแวร์แอนดรอยด์ตระกูลอื่น Manic บรรลุเป้าหมายด้วยการใช้ accessibility service และสิทธิ์เข้าถึงการแจ้งเตือนของแอนดรอยด์ในทางที่ผิด ซึ่งทำให้มันสามารถดักข้อมูลลับของหน้าจอล็อก แสดงหน้าต่างซ้อนทับปลอมเพื่อเก็บข้อมูลอ่อนไหว หรือปิดบังกิจกรรมที่เป็นอันตรายด้วยการแสดงหน้าจอสีดำหรือหน้าจออัปเดตระบบ
ความสามารถอื่นที่น่าจับตาประกอบด้วยการดักการกดแป้นตัวเลขเพื่อเก็บรหัสผ่าน รหัสใช้ครั้งเดียว และวลีกู้คืนกระเป๋าคริปโท การใช้ accessibility service ทำหน้าที่เป็นตัวบันทึกการพิมพ์ระดับส่วนติดต่อผู้ใช้ที่จำแนกและบันทึกข้อความพร้อมระบุว่ามาจากแอปใดและแอปนั้นอยู่ในรายการเป้าหมายหรือไม่ การเฝ้าดูหน้าจอและควบคุมอุปกรณ์จากระยะไกลผ่านเซสชัน WebRTC การซ่อนตัวออกจากหน้ารวมแอป การบันทึกพิกัดปัจจุบันพร้อมเวลาและสั่งเปิดบริการตำแหน่งหากยังไม่ได้เปิด การถ่ายภาพหน้าจอ การส่งออกรายชื่อผู้ติดต่อ ประวัติการโทร ข้อความ SMS และการแจ้งเตือน การดึงรายการแอปที่ติดตั้ง การส่ง SMS ไปยังหมายเลขที่กำหนดพร้อมข้อความที่กำหนด การแสดงการแจ้งเตือนปลอม การลบไฟล์ในเครื่องที่เลือก การล็อกหน้าจอผ่าน accessibility service และการพยายามปิด Google Play Protect ด้วยการสั่งงานส่วนติดต่อผู้ใช้อัตโนมัติ
กลไกดักรหัส PIN ของ Manic มีรายละเอียดที่ประณีตกว่ามัลแวร์ทั่วไป แทนที่จะแสดงหน้าจอธนาคารปลอมทั้งหน้า มัลแวร์วางหน้าต่างโปร่งใสทับบนแป้นตัวเลขจริงของแอปเป้าหมาย เมื่อผู้ใช้แตะลงบนหน้าต่างนั้น มัลแวร์จะบันทึกตำแหน่งการแตะที่แม่นยำพร้อมองค์ประกอบของส่วนติดต่อผู้ใช้ที่อยู่ใกล้เคียง จากนั้นปิดการดักการสัมผัสชั่วขณะ แล้วจำลองการแตะลงบนแป้นตัวเลขจริงที่ตำแหน่งเดียวกันโดยอาศัย API ของ accessibility service ผลคือแอปเป้าหมายทำงานตามปกติทุกประการในสายตาผู้ใช้ ขณะที่ผู้โจมตีได้รหัส PIN ไปแล้วโดยไม่ต้องแสดงหน้าจอธนาคารปลอมเลย
สำหรับการฝังตัว ThreatFabric ระบุว่า Manic อาศัย background worker การตั้งเวลาปลุก และบริการ accessibility กับบริการแจ้งเตือน องค์ประกอบเหล่านี้ทำหน้าที่รักษาการติดต่อกับเซิร์ฟเวอร์สั่งการและควบคุม ประมวลผลคำสั่ง อัปโหลดข้อมูลที่อยู่ในคิว และซิงโครไนซ์เครือข่าย mesh แบบออฟไลน์ โดยทำงานเป็นรอบทุก 10 ถึง 15 นาทีขึ้นอยู่กับรุ่นของตัวมัลแวร์
กลไกส่งต่อข้อมูลผ่านเครื่องข้างเคียง
ส่วนที่ผิดปกติที่สุดของ Manic คือกลไก store-and-forward สำหรับส่งข้อมูลออกโดยอาศัยอุปกรณ์อีกเครื่องที่อยู่ใกล้กันในเชิงกายภาพ ในกรณีที่เครื่องต้นทางติดต่อโครงสร้างพื้นฐานของผู้โจมตีไม่ได้ แนวคิดคือปล่อยให้เครื่องต้นทางอยู่ในสภาพออฟไลน์ต่อไป ขณะที่มัลแวร์พยายามค้นหาอุปกรณ์ติดเชื้อเครื่องที่สองซึ่งสามารถเป็นเส้นทางสำรองไปยังเซิร์ฟเวอร์สั่งการและควบคุมได้
ขั้นตอนการทำงานเริ่มจากไฟล์ที่เก็บรวบรวมมาและผลลัพธ์ของคำสั่งถูกจัดเตรียมในรูปแบบที่เข้ารหัสแล้ววางไว้ในคิวภายในเครื่อง จากนั้นมัลแวร์ค้นหาอุปกรณ์ติดเชื้อที่อยู่ใกล้เคียงผ่าน Wi-Fi Direct บลูทูทแบบ RFCOMM หรือ Bluetooth Low Energy แบบ GATT หากพบอุปกรณ์ที่เข้าข่าย แพ็กเกจที่เข้ารหัสไว้จะถูกส่งต่อไปยังเครื่องนั้นเพื่อส่งต่อไปยังเซิร์ฟเวอร์ปลายทาง แต่หากไม่พบอุปกรณ์ใดเลย ข้อมูลจะถูกเก็บไว้ในคิวและลองใหม่ในภายหลัง
Manic ยังรองรับเส้นทางแบบหลายทอด โดยรายการที่อยู่ในคิวสามารถถูกตั้งค่าให้ส่งต่อได้สูงสุดสี่ทอดตามค่าเริ่มต้น ThreatFabric อธิบายเพิ่มเติมว่ารายการที่เข้าคิวใหม่แต่ละรายการจะได้รับขีดจำกัดสี่ทอดเป็นค่าตั้งต้น แม้ค่าดังกล่าวจะเปลี่ยนได้ผ่านการตั้งค่า ข้อมูลกำกับการส่งต่อยังพกจำนวนทอดปัจจุบันไปด้วย และอุปกรณ์ที่ออนไลน์อยู่สามารถสร้างกลุ่ม Wi-Fi Direct ขึ้นเองได้เมื่อไม่พบอุปกรณ์อื่น โดยทุกรุ่นที่เก็บตัวอย่างมาได้ใช้ชื่อเครือข่ายเดียวกันและพยายามสร้างกลุ่มสูงสุดสามครั้ง
นัยของกลไกนี้ตรงไปตรงมา นั่นคือการตัดอุปกรณ์ที่ติดเชื้อออกจากอินเทอร์เน็ตไม่จำเป็นต้องหยุดการส่งข้อมูลออกได้อีกต่อไป เพราะ Manic สามารถเปลี่ยนอุปกรณ์แอนดรอยด์ที่ติดเชื้ออีกเครื่องให้กลายเป็นเกตเวย์แทนได้ ThreatFabric สรุปว่าพัฒนาการที่สังเกตได้ระหว่างเดือนพฤษภาคมถึงกรกฎาคม 2569 ทั้งมาตรการต้านการวิเคราะห์ที่แข็งแรงขึ้นและการหลอกเอาข้อมูลลับของหน้าจอล็อก บ่งชี้ว่า Manic ยังอยู่ระหว่างการพัฒนาอย่างต่อเนื่องและกำลังขยายความสามารถเพิ่มขึ้นเรื่อย ๆ
ข้อจำกัดของข้อมูลที่ต้องระบุคือ รายงานไม่ได้ระบุจำนวนอุปกรณ์ที่ติดเชื้อ ไม่ได้ระบุตัวผู้อยู่เบื้องหลังหรือกลุ่มที่ปฏิบัติการ ไม่ได้ยืนยันว่ากลไก mesh ถูกใช้งานจริงในภาคสนามแล้วหรือเป็นเพียงความสามารถที่พบในโค้ด และไม่ได้เปิดเผยว่ามีเหยื่อจริงกี่รายในแต่ละประเทศที่ปรากฏในรายการเป้าหมาย
ผลกระทบ
ผลกระทบที่สำคัญที่สุดของข่าวนี้อยู่ที่การล้มสมมติฐานพื้นฐานข้อหนึ่งของการรับมือเหตุการณ์บนอุปกรณ์พกพา แนวปฏิบัติที่ใช้กันทั่วไปเมื่อสงสัยว่าโทรศัพท์ติดมัลแวร์คือให้เปิดโหมดเครื่องบินหรือถอดซิมทันทีเพื่อตัดเส้นทางส่งข้อมูลออก แล้วค่อยตรวจสอบเครื่อง กลไก mesh ของ Manic ทำให้ขั้นตอนนี้ไม่เพียงพออีกต่อไป เพราะข้อมูลที่อยู่ในคิวสามารถรอจนกว่าจะเจอเครื่องติดเชื้ออีกเครื่องในระยะ Wi-Fi Direct หรือบลูทูท แล้วจึงไหลออกไปโดยที่เครื่องต้นทางไม่เคยกลับมาออนไลน์เลย
เงื่อนไขที่ทำให้กลไกนี้ได้ผลคือความหนาแน่นของการติดเชื้อในพื้นที่เดียวกัน ซึ่งหมายความว่ามันออกแบบมาสำหรับสภาพแวดล้อมที่คนจำนวนมากอยู่รวมกันและมีโอกาสติดเชื้อจากแคมเปญเดียวกัน เช่น หน่วยงาน สถานที่ทำงาน หรือพื้นที่ปฏิบัติการทางทหาร เมื่อพิจารณาร่วมกับการที่รายการเป้าหมายรวมแอปสื่อสารสายทหารและแอปยืนยันตัวตนของภาครัฐเข้าไว้ด้วย ภาพที่ได้จึงไม่ใช่แค่มัลแวร์ธนาคารที่หาเงิน แต่เป็นเครื่องมือที่ใช้ได้กับงานสอดแนมในสภาพแวดล้อมที่การเชื่อมต่ออินเทอร์เน็ตถูกจำกัดหรือถูกเฝ้าระวัง
สำหรับองค์กรที่มีนโยบายห้ามใช้อินเทอร์เน็ตในพื้นที่หวงห้าม หรือใช้การแยกเครือข่ายเป็นมาตรการหลัก ข่าวนี้เป็นเครื่องเตือนว่าอุปกรณ์พกพาพกช่องทางสื่อสารระยะสั้นติดตัวมาด้วยเสมอ ทั้ง Wi-Fi Direct บลูทูท และ BLE ซึ่งเป็นช่องทางที่นโยบายส่วนใหญ่ไม่ได้ควบคุมและระบบเฝ้าระวังเครือข่ายมองไม่เห็น เว็บไซต์ Cloud Thunder เคยรายงานโทรจันธนาคารบนแอนดรอยด์ที่ใช้ accessibility service ควบคุมอุปกรณ์ไว้ที่ 2026/06/004 และรายงาน RAT บนแอนดรอยด์ที่ปลอมเป็นแอปของหน่วยงานรัฐไว้ที่ 2026/08/016
คำแนะนำ
สำหรับผู้ใช้ทั่วไป ด่านป้องกันที่ได้ผลที่สุดยังคงอยู่ที่การไม่ติดตั้งแอปจากนอก Google Play และการไม่มอบสิทธิ์ accessibility service ให้แอปที่ไม่มีเหตุผลต้องใช้ เพราะทุกความสามารถที่รายงานกล่าวถึง ตั้งแต่การดักรหัส PIN ไปจนถึงการปิด Google Play Protect ล้วนต้องผ่านสิทธิ์นี้ทั้งสิ้น หากพบว่าเครื่องแสดงหน้าจออัปเดตระบบที่ไม่ได้เริ่มเอง หรือหน้าจอดำค้างเป็นช่วง ๆ ให้ถือเป็นสัญญาณที่ต้องตรวจสอบ
สำหรับทีมรับมือเหตุการณ์ ควรปรับขั้นตอนการแยกอุปกรณ์ที่สงสัยว่าติดเชื้อ โดยไม่หยุดแค่การตัดการเชื่อมต่อข้อมูลมือถือและ Wi-Fi แต่ต้องปิดบลูทูทและ Wi-Fi Direct ด้วย และหากเป็นเคสที่มีความสำคัญสูง ควรพิจารณาแยกอุปกรณ์ไว้ในภาชนะกันคลื่นหรือระยะที่พ้นจากอุปกรณ์อื่นก่อนเริ่มการตรวจพิสูจน์ นอกจากนี้ควรตั้งสมมติฐานว่าหากพบเครื่องติดเชื้อหนึ่งเครื่องในองค์กร อาจมีเครื่องอื่นในบริเวณเดียวกันที่ติดเชื้อและทำหน้าที่เป็นเกตเวย์อยู่ จึงควรกวาดตรวจอุปกรณ์ในพื้นที่เดียวกันแทนที่จะตรวจเฉพาะเครื่องที่พบปัญหา
สำหรับผู้ดูแลระบบขององค์กรที่ใช้ระบบบริหารจัดการอุปกรณ์พกพา ควรตรวจสอบว่านโยบายที่บังคับใช้อยู่ครอบคลุมการปิด Wi-Fi Direct และการจำกัดการจับคู่บลูทูทหรือไม่ ควรบังคับให้ Google Play Protect เปิดใช้งานและแจ้งเตือนเมื่อถูกปิด และควรเฝ้าดูการติดตั้งแอปที่มีชื่อแพ็กเกจเลียนแบบผู้ผลิตอุปกรณ์หรือแบรนด์ที่คุ้นเคย ซึ่งเป็นรูปแบบการตั้งชื่อที่ Manic ใช้ในทุกตัวอย่างที่ถูกวิเคราะห์
Indicators of Compromise (IoCs)
| ตัวบ่งชี้ | ประเภท | คำอธิบาย |
|---|---|---|
tech.intel.dialer.updater | ชื่อแพ็กเกจแอนดรอยด์ | ตัวห่อหุ้ม (wrapper) ของ Manic |
org.honor.secure.helper | ชื่อแพ็กเกจแอนดรอยด์ | ตัวห่อหุ้ม (wrapper) ของ Manic |
org.lenovo.storage.processor | ชื่อแพ็กเกจแอนดรอยด์ | ตัวอิมแพลนต์ (implant) ของ Manic |
dev.huawei.media.helper | ชื่อแพ็กเกจแอนดรอยด์ | ตัวอิมแพลนต์ (implant) ของ Manic |
หมายเหตุ: ชื่อแพ็กเกจทั้งสี่รายการเลียนแบบชื่อผู้ผลิตอุปกรณ์และคำที่สื่อถึงเครื่องมือระบบ เพื่อให้ดูกลมกลืนกับแอปที่ติดตั้งมากับเครื่อง