สรุปสั้น

อินโดนีเซียกลายเป็นสนามทดลองช่วงแรกของเทคนิคมัลแวร์ธนาคารบนแอนดรอยด์แบบใหม่ ที่ใช้ฟีเจอร์ Work Profile ของ Google ช่วยให้คนร้ายหลบเลี่ยงมาตรการควบคุมด้านความปลอดภัยของธนาคารได้ โดยบริษัท Group-IB ระบุว่านักวิจัยพบอุปกรณ์ที่ถูกเจาะราว 1,469 เครื่องและการล็อกอินที่อาจถูกบุกรุก 1,281 ครั้งในอินโดนีเซียระหว่างเดือนกุมภาพันธ์ถึงกรกฎาคม ซึ่งส่งผลให้เกิดความเสียหายโดยประมาณเกือบ 1 ล้านดอลลาร์สหรัฐฯ

งานวิจัยที่เผยแพร่เมื่อวันที่ 9 กันยายน 2569 อธิบายเทคนิคที่กลุ่ม GoldFactory ใช้ ซึ่งเป็นกลุ่มผู้คุกคามที่พูดภาษาจีนและมุ่งโจมตีระบบธนาคารบนมือถือเพื่อผลประโยชน์ทางการเงิน โดยเป้าหมายสุดท้ายคือการโคลนแอปธนาคารของเหยื่อไปไว้ในสภาพแวดล้อมที่ถูกแยกออกมา ซึ่งการตรวจจับมัลแวร์และสัญญาณการฉ้อโกงอาจตามไปไม่ถึง มัลแวร์ที่ใช้ในแคมเปญนี้คือ Gigabud ซึ่งเป็นโทรจันธนาคารที่พุ่งเป้าอุปกรณ์แอนดรอยด์และเคลื่อนไหวมาตั้งแต่ปี 2565 ถูกใช้โจมตีทั่วเอเชียตะวันออกเฉียงใต้ เอเชียใต้ ตะวันออกกลาง แอฟริกา และละตินอเมริกา โดยเหยื่อล่อและบริบทการติดเชื้อจะเปลี่ยนไปตามภูมิภาค ทั้งการสวมรอยเป็นสายการบินแห่งชาติ หน่วยงานภาษี และเว็บท่าของรัฐบาล

รายละเอียดข่าว

เว็บไซต์ Dark Reading รายงานเมื่อวันที่ 11 กันยายน 2569 ว่า อินโดนีเซียกลายเป็นสนามทดลองช่วงแรกของเทคนิคมัลแวร์ธนาคารบนแอนดรอยด์แบบใหม่ที่อาศัยฟีเจอร์ Work Profile ของ Google ในการช่วยให้คนร้ายเลี่ยงมาตรการควบคุมความปลอดภัยฝั่งธนาคาร โดยอ้างงานวิจัยของบริษัท Group-IB ที่เผยแพร่เมื่อวันที่ 9 กันยายน 2569 ซึ่งอธิบายเทคนิคที่กลุ่มผู้คุกคามชื่อ GoldFactory นำมาใช้

สิ่งที่ทำให้งานวิจัยชิ้นล่าสุดนี้มีความสำคัญคือ ระหว่างที่นักวิจัยศึกษาการติดเชื้อ Gigabud พวกเขาพบการมีอยู่ของแอปพลิเคชันชื่อ Vwork ซึ่งเป็นเวอร์ชันดัดแปลงของ Shelter แอปโคลนแอปแบบโอเพนซอร์สบนแอนดรอยด์ และ Group-IB สังเกตเห็นหลายกรณีที่ Vwork ถูกติดตั้งภายในไม่กี่นาทีหลังการติดเชื้อ Gigabud ครั้งแรก งานวิจัยเปิดเผยว่า GoldFactory กำลังใช้งานเทคนิคหลบเลี่ยงการป้องกันแบบใหม่ผ่านฟังก์ชัน Work Profile ของแอนดรอยด์ ซึ่งเป็นฟีเจอร์ที่ตั้งใจออกแบบมาเพื่อการใช้งานในองค์กร โดยสร้างพื้นที่แยกต่างหากบนโทรศัพท์ของผู้ใช้ที่แอปจะถูกติดตั้งเป็นอิสระจากโปรไฟล์ส่วนตัว

Group-IB ระบุว่าพบตัวอย่าง Gigabud ที่รองรับ Vwork ซึ่งเล็งเป้าไปยังหลายประเทศ ได้แก่ บราซิล โคลอมเบีย อียิปต์ อินโดนีเซีย ลาว เม็กซิโก โมร็อกโก ฟิลิปปินส์ ไทย ตุรกี และรัฐสมาชิกคณะมนตรีความร่วมมือรัฐอ่าวอาหรับ (GCC) รายหนึ่ง แต่นักวิจัย นาย Pavel Naumov และ นาย Bryan Karunachandra เน้นย้ำผลกระทบต่ออินโดนีเซียเป็นพิเศษ โดยในกรณีหนึ่งที่ได้รับการยืนยัน นักวิจัยอธิบายว่า “สำเนาที่ถูกสร้างขึ้นเป็นแอปปลอมของธนาคารอินโดนีเซียแห่งหนึ่งที่มีอยู่จริง” ขณะที่นาย Bryan Karunachandra นักวิเคราะห์ด้านการฉ้อโกงประจำภูมิภาคเอเชียแปซิฟิกของ Group-IB ให้ข้อมูลกับ Dark Reading ว่า GoldFactory “เล็งเป้าธนาคารอินโดนีเซียราวสิบกว่าแห่ง ทั้งสถาบันของรัฐและเอกชน” ในแคมเปญนี้

งานวิจัยชิ้นนี้ถูกเผยแพร่ในช่วงเวลาใกล้เคียงกับบล็อกโพสต์เมื่อวันที่ 9 กันยายน 2569 จากทีมวิจัย zLabs ของบริษัท Zimperium ที่อธิบายมัลแวร์ชื่อ Mantax Otax ซึ่งเป็นโทรจันธนาคารที่ก้าวร้าวและพุ่งเป้าอุปกรณ์แอนดรอยด์ โดยเชื่อมโยงกับผู้คุกคามชาวอินโดนีเซียและเล็งเหยื่อชาวอินโดนีเซีย ทั้งนี้ นาย Nico Chiaraviglio หัวหน้านักวิทยาศาสตร์ของ Zimperium ให้ความเห็นกับ Dark Reading ว่าอินโดนีเซียเป็นเป้าหมายที่น่าสนใจสำหรับมัลแวร์ประเภทนี้ เพราะรวมประชากรจำนวนมากที่ใช้มือถือสูงเข้ากับการใช้ธนาคารบนมือถือ การชำระเงินดิจิทัล แพลตฟอร์มรับส่งข้อความ และอุปกรณ์แอนดรอยด์อย่างแพร่หลาย แต่เขาย้ำว่าอินโดนีเซียไม่ได้อยู่ลำพัง “มัลแวร์ธนาคารบนมือถือเป็นภัยคุกคามระดับโลก และผู้โจมตีมีแนวโน้มจะกระจุกกิจกรรมไว้ที่ใดก็ตามที่บริการทางการเงินบนมือถือถูกใช้อย่างแพร่หลายและแคมเปญวิศวกรรมสังคมของพวกเขาสามารถปรับให้เข้ากับท้องถิ่นได้อย่างมีประสิทธิภาพ”

วิธีการโจมตี

ตามข้อมูลของ Group-IB เมื่อเหยื่อติดเชื้อผ่านโทรจัน Gigabud แล้ว ตัวมัลแวร์จะขอสิทธิ์บริการช่วยการเข้าถึง (accessibility) สำรวจรายละเอียดของอุปกรณ์ ติดตั้ง Vwork แล้วใช้แอปตัวที่สองนี้สร้างโปรไฟล์งานขึ้นมาและโคลนแอปธนาคารที่มีอยู่แล้วบนเครื่องของผู้ใช้เข้าไปไว้ในโปรไฟล์ที่ถูกกักนั้น เมื่อทุกอย่างพร้อม “ผู้ควบคุมจะทำธุรกรรมโดยตรงบนโทรศัพท์ของเหยื่อ ขณะที่หน้าจอสีดำบังไม่ให้เห็นว่ากำลังเกิดอะไรขึ้น สภาพแวดล้อมที่ถูกโคลนถูกใช้เพื่อหลบเลี่ยงมาตรการป้องกันการฉ้อโกง”

รายละเอียดทางเทคนิคที่ควรสังเกตคือ Vwork ไม่มีฟังก์ชันสั่งการและควบคุม (C2) ของตัวเอง แต่รับคำสั่งผ่าน Gigabud ที่ทำหน้าที่เป็นพร็อกซีแทน ซึ่งหมายความว่าการมองหาการเชื่อมต่อขาออกที่ผิดปกติจากแอปโคลนโดยตรงจะไม่เจออะไร

หัวใจของเทคนิคนี้อยู่ที่ข้อสังเกตของ Group-IB ที่ว่าระบบตรวจจับการฉ้อโกงและมัลแวร์จำนวนมากสร้างสัญญาณความเสี่ยงขึ้นรอบอินสแตนซ์ของแอปหรือโปรไฟล์ใดโปรไฟล์หนึ่งโดยเฉพาะ ดังนั้นแม้เครื่องมือความปลอดภัยจะตรวจพบมัลแวร์บนโปรไฟล์ส่วนตัว ผลนั้นก็อาจไม่ถูกส่งต่อไปยังโปรไฟล์งานที่เพิ่งถูกสร้างขึ้นใหม่ โดยบล็อกโพสต์ของ Group-IB อธิบายว่า “จากมุมมองของธนาคาร ธุรกรรมนั้นมีต้นทางจากอุปกรณ์ใหม่และอาจดูเหมือนไม่เกี่ยวข้องกับกิจกรรมมัลแวร์ที่ตรวจพบก่อนหน้า ขณะเดียวกันการแจ้งเตือนการตรวจพบมัลแวร์ก็ถูกจุดขึ้นแล้วในโปรไฟล์ส่วนตัวของเหยื่อ แต่จะไม่ทำงานในโปรไฟล์งานที่เพิ่งสร้างขึ้นเพราะไม่มีสัญญาณการติดเชื้อ การใช้ประโยชน์จากการแยกขาดระหว่างโปรไฟล์นี้ทำให้คนร้ายตัดความเชื่อมโยงระหว่างสัญญาณการตรวจพบมัลแวร์กับธุรกรรมฉ้อโกงได้อย่างได้ผล ทำให้หลบมาตรการควบคุมความปลอดภัยที่มีอยู่และถอนเงินออกไปได้สำเร็จ”

สัญญาณเตือนที่เชื่อถือได้เร็วที่สุดในห่วงโซ่นี้ตามที่ Group-IB ระบุ เกิดขึ้นเมื่อโทรศัพท์ของผู้บริโภคทั่วไปที่ไม่เคยถูกตั้งค่าโดยฝ่ายไอทีของนายจ้าง อยู่ ๆ ก็สร้างโปรไฟล์งานที่ถูกแยกออกมาขึ้นเองโดยที่ผู้ใช้ไม่ได้สั่ง นอกจากนี้ Group-IB ยังแนะนำให้ผู้ใช้สังเกตการติดตั้งแอปธนาคารตัวเดียวกันซ้ำกันข้ามโปรไฟล์ การเปิดสิทธิ์บริการช่วยการเข้าถึงให้แอปที่ไม่ควรต้องใช้สิทธิ์นั้น หรือการติดตั้งแอปที่ไม่คาดคิดจากแหล่งที่ไม่ถูกต้องตามมาในเวลาไม่นานหลังจากการติดตั้งแอปก่อนหน้า

ผลกระทบต่อไทย

ไทยอยู่ในรายชื่อประเทศที่ Group-IB พบตัวอย่าง Gigabud ซึ่งรองรับ Vwork เล็งเป้าไว้โดยตรง ร่วมกับลาวและฟิลิปปินส์ในภูมิภาคเดียวกัน ซึ่งหมายความว่าเทคนิคนี้ไม่ได้เป็นเรื่องเฉพาะของอินโดนีเซียแม้อินโดนีเซียจะเป็นที่ที่เห็นผลกระทบจริงมากที่สุดในรอบนี้ และรูปแบบการหลอกล่อที่ Gigabud ใช้มาตลอดคือการสวมรอยเป็นสายการบินแห่งชาติ หน่วยงานภาษี และเว็บท่าของรัฐบาล ซึ่งเป็นเหยื่อล่อที่แปลงเป็นภาษาไทยและบริบทไทยได้ไม่ยาก

จุดที่กระทบกับระบบธนาคารในไทยเป็นพิเศษคือกลไกป้องกันที่แอปธนาคารไทยพึ่งพาอยู่มาก ได้แก่ การผูกแอปเข้ากับอุปกรณ์ การตรวจจับว่าอุปกรณ์ติดมัลแวร์หรือถูกรูต และการอนุมัติธุรกรรมผ่านแอปบนเครื่องเดียวกัน เทคนิคของ GoldFactory ไม่ได้พยายามเจาะกลไกเหล่านี้ตรง ๆ แต่ย้ายการทำธุรกรรมไปอยู่ในโปรไฟล์ใหม่ที่ในสายตาของระบบคือ “อุปกรณ์ใหม่ที่สะอาด” ทำให้สัญญาณว่าเครื่องนี้ติดมัลแวร์ซึ่งถูกจุดขึ้นแล้วในโปรไฟล์ส่วนตัวไม่ถูกนำมาผูกกับธุรกรรมที่เกิดขึ้นจริง ธนาคารและผู้ให้บริการชำระเงินที่วางกฎตรวจจับไว้ระดับอินสแตนซ์ของแอปจึงต้องทบทวนว่ากฎของตัวเองผูกอยู่กับอะไร

อีกด้านที่ควรพิจารณาคือผู้ใช้ทั่วไปในไทยแทบไม่มีเหตุให้ต้องมีโปรไฟล์งานบนเครื่องส่วนตัว เพราะการใช้ Work Profile ในองค์กรไทยยังจำกัดอยู่ในกลุ่มที่มีระบบบริหารจัดการอุปกรณ์เคลื่อนที่จริงจัง การที่โปรไฟล์งานโผล่ขึ้นมาบนโทรศัพท์ของผู้ใช้ทั่วไปจึงเป็นสัญญาณที่ผิดปกติชัดเจนกว่าในตลาดที่การใช้งานลักษณะนี้แพร่หลาย และเป็นจุดที่ทีมป้องกันการฉ้อโกงของธนาคารใช้เป็นตัวชี้วัดได้

ข้อจำกัดของข้อมูลชุดนี้ก็ควรระบุไว้ ตัวเลขความเสียหายเกือบ 1 ล้านดอลลาร์และจำนวนอุปกรณ์ที่ถูกเจาะเป็นค่าประมาณจาก Group-IB ฝ่ายเดียวและครอบคลุมเฉพาะอินโดนีเซีย ไม่มีข้อมูลว่ามีเหยื่อในไทยจริงหรือไม่และจำนวนเท่าใด ไม่มีการเปิดเผยรายชื่อธนาคารที่ถูกโคลน ไม่มีตัวบ่งชี้การถูกบุกรุกในข่าวชิ้นนี้ และยังไม่มีคำชี้แจงจาก Google ว่าจะปรับพฤติกรรมของ Work Profile หรือไม่

คำแนะนำ

สำหรับผู้ใช้ทั่วไป ให้ตรวจโทรศัพท์ของตัวเองว่ามีโปรไฟล์งานถูกสร้างขึ้นมาหรือไม่ โดยดูที่ไอคอนแอปที่มีสัญลักษณ์กระเป๋าเอกสารกำกับ หรือดูในหน้าตั้งค่าผู้ใช้และบัญชี ถ้าไม่เคยติดตั้งระบบของที่ทำงานเองแล้วพบโปรไฟล์งาน ให้ถือว่าเครื่องถูกบุกรุกและติดต่อธนาคารทันที รวมถึงตรวจว่ามีแอปธนาคารตัวเดียวกันติดตั้งซ้ำอยู่สองที่หรือไม่

ปิดสิทธิ์บริการช่วยการเข้าถึงให้เหลือเฉพาะแอปที่จำเป็นจริง ๆ เพราะสิทธิ์นี้คือจุดเริ่มที่ทำให้ Gigabud ทำทุกอย่างที่เหลือได้ และอย่าติดตั้งแอปจากลิงก์ที่ได้รับทางข้อความหรือโซเชียลมีเดีย โดยเฉพาะแอปที่อ้างว่าเป็นของสายการบิน หน่วยงานภาษี หรือเว็บท่าของรัฐ ซึ่งเป็นเหยื่อล่อประจำของมัลแวร์ตระกูลนี้

สำหรับธนาคารและผู้ให้บริการชำระเงิน ให้ทบทวนว่าสัญญาณความเสี่ยงของระบบตรวจจับการฉ้อโกงผูกอยู่กับอะไร ถ้าผูกกับอินสแตนซ์ของแอปหรือโปรไฟล์ใดโปรไฟล์หนึ่ง เทคนิคนี้จะตัดความเชื่อมโยงได้ทันที ควรยกระดับให้สัญญาณผูกกับตัวอุปกรณ์ในระดับที่ข้ามโปรไฟล์ได้ และเพิ่มการตรวจจับกรณีที่แอปของธนาคารทำงานอยู่ในโปรไฟล์งานบนเครื่องของลูกค้ารายบุคคล ซึ่งเป็นสภาพที่แทบไม่ควรเกิดขึ้นตามปกติ

เพิ่มกฎตรวจจับพฤติกรรมที่บ่งชี้การควบคุมเครื่องจากระยะไกล เช่น ธุรกรรมที่เกิดขึ้นขณะหน้าจอแสดงภาพสีดำหรือถูกครอบทับ การป้อนข้อมูลที่มีจังหวะสม่ำเสมอผิดธรรมชาติ และการทำธุรกรรมจาก “อุปกรณ์ใหม่” ที่ลงทะเบียนขึ้นมาภายในเวลาไม่นานหลังจากอุปกรณ์เดิมของลูกค้ารายเดียวกันถูกแจ้งเตือนว่าพบมัลแวร์

สำหรับผู้ดูแลระบบในองค์กร ให้กำหนดนโยบายว่าโปรไฟล์งานบนอุปกรณ์ที่เข้าถึงข้อมูลองค์กรต้องถูกสร้างผ่านระบบบริหารจัดการอุปกรณ์เท่านั้น และตั้งการแจ้งเตือนเมื่อพบโปรไฟล์งานที่ไม่ได้มาจากระบบ รวมถึงสื่อสารกับพนักงานว่าหน้าจอที่ดำค้างระหว่างใช้แอปธนาคารไม่ใช่อาการค้างธรรมดา ทั้งนี้เว็บไซต์นี้เคยรายงานความเคลื่อนไหวของ Gigabud และ Vwork ไว้เป็นข่าวประกอบในโพสต์ 2026/09/080 มาก่อนแล้ว

แหล่งอ้างอิง