สรุปสั้น

นักวิจัยจากบริษัท Zimperium เปิดเผยมัลแวร์แอนดรอยด์ตัวใหม่ที่ชื่อว่า RatHat ซึ่งประเมินว่าดำเนินการโดยกลุ่มผู้ก่อภัยคุกคามที่ตั้งฐานอยู่ในจีน และมาพร้อมระบบอัตโนมัติที่ขับเคลื่อนด้วยปัญญาประดิษฐ์ (AI) เพื่อควบคุมและนำทางเครื่องที่ถูกเจาะ มัลแวร์ตัวนี้แพร่กระจายผ่านการหลอกด้วยข้อความสั้น (smishing) และโฆษณาอันตราย (malvertising) ที่พาเหยื่อไปยังพอร์ทัลดาวน์โหลดปลอมของบุคคลที่สาม แล้วหลอกให้ติดตั้งไฟล์ APK ที่ฝังมัลแวร์ไว้

จุดที่ทำให้ RatHat อันตรายกว่ามัลแวร์แอนดรอยด์ทั่วไปคือมันไม่ได้พึ่งพาเฉพาะการฉวยใช้บริการ Accessibility แต่ยังสั่งให้เครื่องจับคู่กับ Android Debug Bridge (ADB) ในเครื่องด้วยตัวเอง เพื่อหลุดออกจาก sandbox มาตรฐานของแอปพลิเคชันแอนดรอยด์ แล้ววางดีมอนเนทีฟที่รันด้วยสิทธิ์ระดับ shell ผลที่ตามมาคือแม้เหยื่อจะลบแอปทิ้ง ผู้โจมตีก็ยังคงสิทธิ์ shell บนเครื่องอยู่ และสามารถตรวจสอบพร้อมติดตั้งมัลแวร์กลับเข้าไปใหม่ได้

ที่แปลกไปกว่านั้นคือ RatHat นำผัง Accessibility ของหน้าจอสด ๆ มาแปลงเป็น XML แล้วส่งไปสื่อสารกับผู้ช่วย Generative AI ยอดนิยมรายหนึ่งของโลก เพื่อให้ AI ช่วยหาพิกัดกึ่งกลางของเป้าหมายบนจอ อ่านข้อความจริงบนหน้าจอ และส่งคำสั่งนำทางอัตโนมัติอย่างการเลื่อนหน้าจอลง ทำให้มัลแวร์ควบคุมเครื่องได้แบบยืดหยุ่นตามสถานการณ์จริง ทั้งนี้รายงานยังไม่ระบุว่าผู้ช่วย AI รายดังกล่าวคือรายใด และไม่มีการเปิดเผยตัวบ่งชี้การบุกรุก (IoC) หรือหมายเลขช่องโหว่ (CVE) ประกอบ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 18 กันยายน 2569 ว่าทีมนักวิจัยของบริษัท Zimperium ประกอบด้วยนาย Gianluca Braga นาย Vishnu Pratapagiri และนาย Fernando Ortega ได้ตรวจพบมัลแวร์แอนดรอยด์ตระกูลใหม่ชื่อ RatHat โดยระบุว่ามันถูกแจกจ่ายผ่านเว็บไซต์ฟิชชิงหลอกลวงที่โปรโมตผ่าน malvertising แคมเปญ smishing และฟอรัมของบุคคลที่สาม

ไฟล์ APK ที่เหยื่อถูกหลอกให้ติดตั้งทำหน้าที่เป็น dropper เพื่อปล่อยเพย์โหลดหลัก พร้อมฝังชั้นป้องกันการวิเคราะห์และป้องกันการดีบักเพื่อเลี่ยงการตรวจจับ นักวิจัยระบุเทคนิคต่อต้านการวิเคราะห์ไว้ 4 อย่าง ได้แก่ (1) Container tampering ที่ประกาศให้บางไฟล์เป็นไดเรกทอรีในแพ็กเกจ หรือตั้งบิตเข้ารหัสของ ZIP บนบางไฟล์ เพื่อให้ไลบรารี libziparchive ของแอนดรอยด์มองข้าม แต่เครื่องมืออย่าง unzip และ apktool กลับยังเห็น (2) Manifest bomb ที่ยัดส่วนหัว chunk รหัส 0x9999 ที่ไม่มีเอกสารกำกับลงใน AndroidManifest.xml ทำให้ไปป์ไลน์วิเคราะห์อัตโนมัติแครชหรือหมดเวลา (3) DEX bytecode poisoning ที่ตั้งค่า pseudo-instruction ด้วยแอตทริบิวต์ element_width ที่ไม่ถูกต้องเพื่อทำให้กระบวนการถอดรหัสล้มเหลว และ (4) การเข้ารหัสสตริงสองชั้นด้วยสกีมชื่อ StringCrypto ที่ต่อ Base64 เพื่อต้านการวิเคราะห์

สถาปัตยกรรมของ RatHat ประกอบด้วยสามส่วนหลัก คือแอปแอนดรอยด์อันตราย เอเจนต์ที่เขียนด้วยภาษา Go และไคลเอนต์ reverse-proxy แบบ FRP โดยตัวแอปทำหน้าที่เป็นทางผ่านเพื่อขอสิทธิ์ระบบที่สำคัญและเปิดฉากขั้นถัดไป มันขอสิทธิ์บริการ Accessibility แล้วฉวยใช้สิทธิ์นั้นปลดล็อก Developer Options เปิด Wireless Debugging และดึงรหัสจับคู่ ADB จำนวน 6 หลักออกมา จากนั้นเอเจนต์ Go ที่ถูกปลอมชื่อเป็นไลบรารีเนทีฟ (liblocal-service.so) จะอาศัยสิทธิ์ shell ที่ได้จากดีมอน ADB ในเครื่องมารันคำสั่ง สร้างความคงอยู่ และยกเว้นเครื่องออกจากการจัดการพลังงาน ส่วนไคลเอนต์ FRP ใช้สร้างอุโมงค์ย้อนกลับที่ปลอดภัยไปยังเซิร์ฟเวอร์สั่งการ (C2) โดยดึงค่าคอนฟิกอุโมงค์จาก C2 มาก่อน นักวิจัยเน้นว่าการเชื่อมต่อนี้เปิดทางให้ผู้โจมตีเข้าถึงดีมอน ADB ได้โดยตรง ซึ่งเป็น “ถนนสารพัดประโยชน์” ที่ขนอะไรก็ได้ตามที่ผู้ควบคุมต้องการ โดยไม่ขึ้นกับชุดความสามารถของตัวมัลแวร์เอง

วิธีการโจมตี

เมื่อฝังตัวสำเร็จ RatHat จะซ้อนหน้าจอปลอม (overlay) ทับแอปที่เจาะจงเพื่อดักเก็บข้อมูลรับรอง บันทึกหน้าจอผ่าน MediaProjection API ของแอนดรอยด์ ดักข้อความ SMS และแทรกหน้าจอแจ้ง “ติดตั้งล้มเหลว” ปลอมที่สวมรอยเป็น Google Play Store เพื่อขัดขวางความพยายามติดตั้งของเหยื่อ คำสั่งที่ C2 ส่งมามีความหลากหลายและครบเครื่อง ทั้งการเก็บข้อความ SMS ข้อมูลรับรอง ไฟล์ รหัสล็อกหน้าจอทั้งแบบ PIN รูปแบบ หรือรหัสผ่าน ภาพหน้าจอ การกดแป้น (รวมถึง URL ที่พิมพ์ในช่องที่อยู่ของเบราว์เซอร์) และรายชื่อแอปที่ติดตั้งไว้ นอกจากนี้ RatHat ยังมี keylogger ระดับฮาร์ดแวร์ที่เอเจนต์ Go เป็นผู้รัน ซึ่งสามารถบันทึกการกดนิ้วบนหน้าจอได้

หัวใจที่ทำให้มัลแวร์ตัวนี้ต่างออกไปคือลูปการตัดสินใจด้วย GenAI แบบเรียลไทม์ที่ผสานเข้ากับดีมอนซึ่งอยู่นอกวงจรชีวิตปกติของแอป Zimperium ชี้ว่าสถาปัตยกรรมหลายชั้นแบบนี้ การพึ่งพาดีมอนที่อยู่นอกวงจรชีวิต และการใช้ AI ตัดสินใจแบบทันที เป็นเหตุผลที่ทำให้มาตรการรักษาความปลอดภัยบนมือถือแบบดั้งเดิมที่อาศัยลายเซ็นไม่เพียงพออีกต่อไป

ผลกระทบ

RatHat ยกระดับภัยของมัลแวร์แอนดรอยด์ที่ฉวยใช้ Accessibility ไปอีกขั้น ด้วยการผูกเทคนิคจับคู่ ADB ในเครื่องเข้ากับดีมอนที่รันด้วยสิทธิ์ shell ผลลัพธ์ที่ตรงไปตรงมาที่สุดคือความคงอยู่ที่รอดพ้นการถอนการติดตั้ง เพราะการลบแอปออกไม่ได้ตัดสิทธิ์ shell ที่ผู้โจมตีถือไว้ และเครื่องที่ถูกเจาะสามารถถูกติดตั้งมัลแวร์กลับได้เอง เท่ากับว่าขั้นตอน “ล้างเครื่องด้วยการลบแอป” ที่ผู้ใช้ทั่วไปคุ้นเคยแทบไม่มีผล

ความสามารถในการดักข้อมูลรับรอง รหัสล็อกหน้าจอ ข้อความ SMS และการกดแป้น เปิดทางตรงสู่การขโมยบัญชีและการยึดครองบัญชีธนาคาร ขณะที่การใช้ GenAI มาช่วยตีความหน้าจอและสั่งแตะ/เลื่อนโดยอัตโนมัติ ทำให้ผู้โจมตีปรับตัวเข้ากับหน้าจอของแต่ละแอปได้โดยไม่ต้องเขียนสคริปต์ตายตัว ทั้งนี้รายงานยังไม่ระบุจำนวนเหยื่อ ประเทศเป้าหมายที่เจาะจง หรือรายชื่อแอปที่ถูกสวมรอย จึงยังประเมินขอบเขตความเสียหายที่แท้จริงไม่ได้ในขณะนี้

คำแนะนำ

ผู้ดูแลระบบและผู้ใช้ควรติดตั้งแอปจาก Google Play Store หรือสโตร์ทางการเท่านั้น และหลีกเลี่ยงการติดตั้ง APK จากพอร์ทัลดาวน์โหลดของบุคคลที่สามหรือลิงก์ที่มากับข้อความ SMS และโฆษณา ควรตรวจสอบและปิดสิทธิ์บริการ Accessibility ของแอปที่ไม่จำเป็น รวมถึงปิด Developer Options และ Wireless Debugging หากไม่ได้ใช้งาน เนื่องจากเป็นช่องทางหลักที่ RatHat ใช้จับคู่ ADB ในเครื่อง

สำหรับองค์กรที่บริหารอุปกรณ์พกพา ควรใช้โซลูชันตรวจจับภัยบนมือถือ (MTD) ที่วิเคราะห์พฤติกรรมมากกว่าอาศัยลายเซ็นเพียงอย่างเดียว เฝ้าระวังอุปกรณ์ที่เปิด Wireless Debugging หรือมีการจับคู่ ADB ในเครื่องเองโดยไม่มีเหตุอันควร และเฝ้าดูทราฟฟิกที่บ่งชี้อุโมงค์ FRP ออกไปยังปลายทางภายนอก หากสงสัยว่าเครื่องติดมัลแวร์ตัวนี้ การลบแอปเพียงอย่างเดียวอาจไม่พอ ควรพิจารณารีเซ็ตเครื่องกลับสู่ค่าโรงงานและเปลี่ยนข้อมูลรับรองทั้งหมดที่เคยใช้บนเครื่องนั้น

แหล่งอ้างอิง