โฆษณาบน Meta ดัน StreamRat โทรจันแอนดรอยด์ตัวใหม่ — ปลอมเป็นแอปดูทีวี ขอสิทธิ์ Accessibility แล้วยึดเครื่องได้เกือบทั้งหมด

สรุปสั้น

นักวิจัยจากบริษัท ThreatFabric เปิดเผยรายละเอียดของโทรจันธนาคารบนแอนดรอยด์ตัวใหม่ชื่อ StreamRat ซึ่งถูกโปรโมตไปยังผู้ใช้ที่พูดภาษาสเปนผ่านแคมเปญโฆษณาแอปดูทีวีออนไลน์ปลอมบนแพลตฟอร์มของ Meta และเมื่อติดตั้งสำเร็จจะให้สิทธิ์ผู้ควบคุมเข้าถึงเครื่องของเหยื่อได้เกือบทั้งหมด โดยโฆษณาของแคมเปญเจาะกลุ่มประเทศสเปนเป็นหลัก และเข้าถึงบัญชี Meta ในสหภาพยุโรปที่เห็นโฆษณาอย่างน้อยหนึ่งครั้งประมาณ 570,950 บัญชี ส่วนตัวเลขเครื่องที่ติดเชื้อและจำนวนเหยื่อที่ยืนยันแล้วยังไม่ถูกรายงาน

การยึดเครื่องไม่ได้เกิดขึ้นเองโดยอัตโนมัติ แต่ต้องอาศัยการที่เหยื่อกดอนุญาตสิทธิ์ต่าง ๆ ตามลำดับหลังจากติดตั้งไฟล์ APK ด้วยตัวเอง ซึ่ง ThreatFabric ระบุว่าผู้ใช้ควรหยุดการติดตั้งทันทีเมื่อแอปดูทีวีเริ่มขอสิทธิ์ควบคุมระบบที่ไม่เกี่ยวกับการดูทีวี จุดชี้ขาดอยู่ที่สิทธิ์ Accessibility เพราะเมื่อถูกเปิดใช้งานแล้ว ผู้ควบคุมจะดักแป้นพิมพ์ แสดงหน้าจอปลอมซ้อนเพื่อขโมยรหัสผ่าน ตรวจดูส่วนติดต่อผู้ใช้ที่กำลังแสดงอยู่ และสั่งงานเครื่องจากระยะไกลได้

ThreatFabric ไม่ได้ระบุว่าแคมเปญนี้เป็นของกลุ่มผู้ก่อภัยกลุ่มใด แต่ประเมินว่า “แทบไม่มีข้อสงสัยว่า StreamRat เป็นภัยคุกคามตัวใหม่ที่ซับซ้อนในเชิงเทคนิค และพัฒนาโดยผู้ที่มีประสบการณ์ในระบบนิเวศมัลแวร์แอนดรอยด์มาก่อน” ทั้งนี้เพย์โหลด StreamRat มาจากบัญชี GitHub ที่ ThreatFabric เชื่อมโยงกับแคมเปญ Mirax ก่อนหน้านี้ และตัวติดตั้งก็คล้ายกับที่ใช้ในปฏิบัติการนั้นมาก

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 2 กันยายน 2569 ว่า ThreatFabric เผยแพร่บทวิเคราะห์ StreamRat ซึ่งเป็นโทรจันธนาคารบนแอนดรอยด์ที่แพร่ผ่านโฆษณาบนโซเชียลมีเดีย โดยแคมเปญโฆษณาบน Meta เริ่มต้นเมื่อวันที่ 11 มิถุนายน 2569 สิ้นสุดเมื่อวันที่ 3 กรกฎาคม 2569 ถูกตรวจพบในช่วงปลายเดือนกรกฎาคม และผลการวิเคราะห์ถูกเผยแพร่เมื่อวันที่ 2 กันยายน 2569

เส้นทางการติดเชื้อเริ่มจากเหยื่อล่อบนโซเชียลมีเดียที่พาผู้ใช้แอนดรอยด์ไปยังเว็บไซต์ที่สร้างขึ้นมาเฉพาะ ซึ่งเว็บนั้นจะตรวจสอบระบบปฏิบัติการของผู้เข้าชมก่อน แล้วแสดงปุ่มดาวน์โหลดเฉพาะกับอุปกรณ์แอนดรอยด์เท่านั้น จากนั้นผู้เข้าชมจะดาวน์โหลดไฟล์ชื่อ app.apk มาติดตั้งเอง

ThreatFabric ระบุว่า StreamRat ยังถูกโปรโมตผ่าน TikTok ด้วย แต่ต้องระบุข้อจำกัดของหลักฐานไว้ตรง ๆ ว่าหลักฐานสาธารณะเฉพาะส่วนของ TikTok ในรายงานมีเพียงโค้ดของหน้าเว็บปลายทางที่สามารถระบุได้ว่า TikTok เป็นแอปที่ส่งผู้ใช้เข้ามา โดยไม่มีบันทึกโฆษณาหรือตัวเลขการเข้าถึงของ TikTok ประกอบ เช่นเดียวกับฝั่ง Meta ที่แบนเนอร์ชุดเดียวกันน่าจะถูกแสดงทั้งบน Facebook และ Instagram แต่ยังไม่สามารถระบุได้ว่าตำแหน่งโฆษณาหลักอยู่ที่ใด

อีกจุดที่ควรระบุคือรายงานไม่ได้เผยแพร่ช่วงเวอร์ชันของแอนดรอยด์ที่ได้รับผลกระทบ ความเกี่ยวข้องของมัลแวร์จึงผูกอยู่กับพฤติกรรมการติดตั้งและสิทธิ์ที่ถูกร้องขอ ไม่ใช่ช่องโหว่ของระบบปฏิบัติการเวอร์ชันใดเวอร์ชันหนึ่ง กล่าวคือเครื่องที่อัปเดตครบก็ติดเชื้อได้หากผู้ใช้กดอนุญาตครบทุกขั้น

วิธีการโจมตี

เมื่อเหยื่อเปิดไฟล์ APK ตัวติดตั้งจะขอเป็นแอปหน้าโฮมเริ่มต้นของเครื่องก่อน ซึ่งทำให้ผู้ใช้ถูกพากลับมาที่หน้าจอของมันทุกครั้งที่กดปุ่มโฮม จากนั้นก่อนจะดึงเพย์โหลดขั้นสุดท้ายลงมา ตัวติดตั้งจะขอสิทธิ์สร้างการเชื่อมต่อ VPN ซึ่งเมื่อได้รับอนุญาตแล้วจะบังคับให้ทราฟฟิกของเครื่องวิ่งเข้าอินเทอร์เฟซที่ใช้งานไม่ได้จริง โดยยกเว้นตัวติดตั้งเองไว้

ผลของกลไกนี้คือแอปอื่นบนเครื่องจะขาดการเชื่อมต่ออินเทอร์เน็ตในช่วงที่กำลังติดตั้ง ซึ่ง ThreatFabric ประเมินว่าน่าจะมีเจตนาลดโอกาสที่ระบบตรวจสอบชื่อเสียงออนไลน์และการวิเคราะห์โค้ดจะทำงานทัน อย่างไรก็ตามบริการ Google Play Protect ยังคงตรวจจับแอปที่เป็นอันตรายซึ่งรู้จักอยู่แล้วได้แม้ออฟไลน์ ทำให้ผลของเทคนิคนี้จำกัด

ตัวติดตั้งจะดาวน์โหลดเพย์โหลด StreamRat ลงในโฟลเดอร์ Downloads สาธารณะโดยใช้ชื่อไฟล์รูปแบบ update_{timestamp}.apk แล้วขอสิทธิ์ติดตั้งแอปจากแหล่งที่ไม่รู้จัก เมื่อผู้ใช้อนุญาตก็จะติดตั้งเพย์โหลดผ่านกลไกติดตั้งแพ็กเกจของแอนดรอยด์ จากนั้น StreamRat จะเริ่มทำงานและขอสิทธิ์ Accessibility ซึ่งเมื่อได้รับแล้วมัลแวร์จะเชื่อมต่อไปยังเซิร์ฟเวอร์สั่งการทันที ส่วนตัวติดตั้งจะปิด VPN ลงหลังเพย์โหลดทำงานแล้วเพื่อเปิดทางให้ StreamRat ติดต่อเซิร์ฟเวอร์ได้

ความสามารถที่น่ากังวลเป็นพิเศษคือการจับภาพหน้าจอ โดยปกติ StreamRat จะเรียกใช้ API ชื่อ MediaProjection ของแอนดรอยด์ซึ่งจะแสดงกล่องยืนยันและมักมีสัญลักษณ์บอกว่ากำลังแชร์หน้าจอ แต่มัลแวร์สามารถใช้สิทธิ์ Accessibility กดยืนยันกล่องนั้นแทนเหยื่อได้หลังจากได้รับสิทธิ์แล้ว และยังมีโหมดที่สองซึ่งใช้เมท็อด takeScreenshot() ของ Accessibility จับภาพหน้าจอโดยไม่ปรากฏสัญลักษณ์แจ้งเตือนของ MediaProjection เลย

ผลกระทบ

ผู้ที่ได้รับผลกระทบโดยตรงคือผู้ใช้แอนดรอยด์ที่พูดภาษาสเปน โดยเฉพาะในประเทศสเปนซึ่งเป็นเป้าหมายหลักของโฆษณา และเมื่อพิจารณาจากตัวเลขการเข้าถึงราว 570,950 บัญชีในสหภาพยุโรป ก็ต้องถือว่าฐานผู้ที่มีโอกาสเห็นเหยื่อล่อกว้างมาก แม้จะยังไม่มีการเปิดเผยจำนวนเครื่องที่ติดเชื้อจริงก็ตาม

เมื่อเครื่องถูกยึด ความเสียหายไม่ได้จำกัดอยู่ที่แอปธนาคาร เพราะสิทธิ์ Accessibility เปิดทางให้ดักแป้นพิมพ์ ซ้อนหน้าจอปลอม อ่านสิ่งที่แสดงบนหน้าจอ และสั่งงานเครื่องแทนเจ้าของได้ ซึ่งหมายความว่ารหัสผ่าน รหัสยืนยันแบบใช้ครั้งเดียว และการอนุมัติธุรกรรมทั้งหมดที่เกิดขึ้นบนเครื่องนั้นอยู่ในมือผู้โจมตี การป้องกันด้วยการยืนยันตัวตนหลายปัจจัยที่ผูกกับโทรศัพท์เครื่องเดียวกันจึงแทบไม่ช่วยอะไร

สิ่งที่ควรจับตาในเชิงรูปแบบคือช่องทางแพร่กระจาย เพราะแคมเปญนี้ไม่ได้อาศัยช่องโหว่ของแอนดรอยด์เลย แต่ซื้อโฆษณาบนแพลตฟอร์มโซเชียลมีเดียกระแสหลักเพื่อเข้าถึงคนจำนวนมากอย่างถูกต้องตามระบบ แล้วอาศัยการที่ผู้ใช้ยินยอมติดตั้งไฟล์นอกสโตร์เอง รูปแบบนี้ย้ายทางเข้าจากช่องโหว่ทางเทคนิคไปอยู่ที่กระบวนการตรวจสอบโฆษณาของแพลตฟอร์ม ซึ่งเป็นจุดที่ทีมความปลอดภัยขององค์กรควบคุมไม่ได้เลย และเป็นวิธีที่นำไปใช้ซ้ำกับผู้ใช้ภาษาใดก็ได้รวมถึงภาษาไทย

คำแนะนำ

ผู้ใช้ทั่วไปควรติดตั้งแอปจาก Google Play เท่านั้น และหลีกเลี่ยงการติดตั้งไฟล์ APK ที่ดาวน์โหลดจากเว็บซึ่งมาจากลิงก์ในโฆษณา หากเผลอติดตั้งไปแล้ว ให้ถือหลักง่าย ๆ ว่าแอปดูทีวีไม่มีเหตุผลใดที่จะขอเป็นแอปหน้าโฮมเริ่มต้น ขอเปิด VPN ขอสิทธิ์ติดตั้งแอปจากแหล่งที่ไม่รู้จัก หรือขอสิทธิ์ Accessibility และเมื่อเจอคำขอเหล่านี้ให้หยุดการติดตั้งทันที

ผู้ที่สงสัยว่าเครื่องติดเชื้อแล้วควรตัดเน็ตของเครื่อง ตรวจรายการแอปที่มีสิทธิ์ Accessibility และสิทธิ์ผู้ดูแลอุปกรณ์ ถอนแอปที่ไม่รู้จักออก แล้วเปลี่ยนรหัสผ่านบัญชีสำคัญจากอุปกรณ์เครื่องอื่นที่สะอาด ไม่ใช่จากเครื่องที่ต้องสงสัย รวมถึงติดต่อธนาคารเพื่อตรวจสอบธุรกรรมย้อนหลัง

ฝั่งองค์กรที่ให้พนักงานใช้โทรศัพท์ส่วนตัวเข้าถึงระบบภายใน ควรบังคับใช้นโยบายห้ามติดตั้งแอปจากแหล่งที่ไม่รู้จักผ่านระบบจัดการอุปกรณ์ เฝ้าระวังอุปกรณ์ที่มีแอปถือสิทธิ์ Accessibility โดยไม่จำเป็น และเพิ่มตัวชี้วัดด้านล่างเข้าไปในระบบเฝ้าระวังเครือข่าย

Indicators of Compromise (IoCs)

หมายเหตุ: ไอพีด้านล่างถูก defang แล้ว หากนำไปใช้ต้องแปลงกลับก่อน

แหล่งอ้างอิง

• Meta Ads Push StreamRat Android Trojan That Can Gain Near-Complete Device Control — The Hacker News
• From Meta ads to full device takeover: uncovering StreamRat — ThreatFabric
• Mirax: a new Android RAT turning infected devices into potential residential proxy nodes — Cleafy