สรุปสั้น
บริษัท Group-IB เปิดโปงโทรจันธนาคารบนแอนดรอยด์ตัวใหม่ชื่อ RemControl ที่เปลี่ยนการดาวน์โหลดแอปธรรมดาให้กลายเป็นกับดักขโมยรหัส PIN ธนาคาร มัลแวร์ซ่อนตัวอยู่หลังหน้าดาวน์โหลดปลอมของแอปดูโทรทัศน์แบบสตรีมมิง โดยทำหน้าเว็บให้ดูเหมือนรายการบน Google Play ทั้งที่แอปดังกล่าวไม่ได้มีให้ดาวน์โหลดบนสโตร์จริง จากนั้นจะรอจังหวะให้เหยื่อเปิดแอปธนาคารแล้วครอบหน้าจอปลอมทับทันที นักวิจัยพบว่าตัวอย่างมัลแวร์ชุดแรกปรากฏตั้งแต่เดือนกรกฎาคม 2569 และหน้าฟิชชิงตรงกับสถาบันการเงินกว่า 30 แห่งในยุโรป ตะวันออกกลางและแคนาดา แม้ยังไม่มีการยืนยันจำนวนเหยื่อ แต่เป้าหมายหลักที่สังเกตได้คืออิตาลีและฝรั่งเศส
จุดที่ทำให้แคมเปญนี้ต่างจากตัวอื่นคือหลักฐานว่ามีการใช้ผู้ช่วย AI เข้ามาช่วยพัฒนาบางส่วนของแพลตฟอร์มอาชญากรรม โดยผู้พัฒนาอธิบายเป้าหมายของโค้ดแบบบิดเบือนเพื่อหลบการปฏิเสธของ AI RemControl ไม่ได้หยุดแค่ขโมยข้อมูลล็อกอิน แต่ยังดูหน้าจอ บันทึกการพิมพ์ และเปิดทางให้ผู้ควบคุมสั่งงานเครื่องที่ติดมัลแวร์จากระยะไกลได้เต็มรูปแบบ
รายละเอียดข่าว
เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 24 กันยายน พ.ศ. 2569 ว่า นักวิจัยจากบริษัท Group-IB ระบุตัวโทรจันธนาคารแอนดรอยด์ตัวใหม่ชื่อ RemControl และย้อนรอยกิจกรรมไปถึงตัวอย่างมัลแวร์ชุดแรกที่พบเมื่อเดือนกรกฎาคม 2569
แคมเปญนี้ใช้หน้าเว็บที่ทำเลียนแบบรายการบน Google Play เพื่อหลอกให้ผู้ใช้ดาวน์โหลด ในแคมเปญหนึ่งที่พบในอิตาลี หน้าเว็บจะส่งตัวติดตั้งอันตรายให้เฉพาะผู้เข้าชมที่ใช้แอนดรอยด์และมีหมายเลข IP ของอิตาลีเท่านั้น เป็นการซ่อนกับดักไม่ให้คนนอกกลุ่มเป้าหมายมองเห็น
บริษัท Group-IB ระบุในรายงานที่แบ่งปันกับ Cyber Security News ว่า พบหน้าฟิชชิงที่ตรงกับสถาบันการเงินมากกว่า 30 แห่งทั่วยุโรป ตะวันออกกลางและแคนาดา แม้ยังไม่มีการยืนยันจำนวนเหยื่อที่แน่นอน แต่ประเทศที่เป็นเป้าหมายหลักที่สังเกตได้คืออิตาลีและฝรั่งเศส การค้นพบครั้งนี้ตอกย้ำความกังวลเรื่องการใช้แอปดูทีวีปลอมเป็นช่องทางวางมัลแวร์ที่มีความสามารถสูงลงบนโทรศัพท์
รายละเอียดที่ผิดปกติคือการพัฒนาโดยมี AI ช่วย นักวิจัยพบเอกสารบนเซิร์ฟเวอร์ที่อธิบายข้อมูลธนาคารที่ขโมยมาว่าเป็น “คำตอบของแบบทดสอบ” และอธิบายการเข้าถึงระยะไกลว่าเป็น “การเฝ้าดูของผู้ปกครอง” นอกจากนี้ยังพบคำตอบของผู้ช่วย AI แบบเต็ม ๆ พร้อมหมายเหตุและข้อเสนอที่จะสร้างเพิ่มให้ ถูกทิ้งค้างไว้ในหน้าฟิชชิงที่ยังทำงานอยู่ เบาะแสเหล่านี้ชี้ว่ามีผู้ช่วย AI ถูกใช้สร้างบางส่วนของแพลตฟอร์มอาชญากรรมภายใต้คำอธิบายที่บิดเบือนวัตถุประสงค์จริง อย่างไรก็ตาม นั่นไม่ได้แปลว่ามัลแวร์ใช้ AI ทำงานบนเครื่อง อันตรายเฉพาะหน้ายังคงเป็นหน้าจอปลอมที่ดูสมจริงและขอข้อมูลอ่อนไหวในจังหวะที่เหยื่อไม่ทันระวัง
วิธีการโจมตี
ตัวติดตั้งจะแสดงหน้าจออัปเดตแอปสตรีมมิงปลอมก่อน จากนั้นขอสิทธิ์ VPN แล้วใช้การเชื่อมต่อภายในเครื่องตัดทราฟฟิกจาก Play Store ออกในระหว่างการติดตั้ง เพื่อขัดขวางการตรวจสอบความปลอดภัยแบบเรียลไทม์ การติดตั้งแต่ละครั้งยังได้รับใบรับรองสำหรับเซ็นแอปที่สร้างขึ้นใหม่ทุกครั้ง ทำให้การตรวจจับที่อาศัยไฟล์ที่เคยพบมาก่อนทำได้ยากขึ้น
หลังติดตั้ง โทรจันจะขอสิทธิ์ Accessibility ของแอนดรอยด์ ซึ่งเปิดทางให้มัลแวร์อ่านหน้าจอ จับภาพหน้าจอ และสั่งแตะหรือปัดหน้าจอแทนผู้ควบคุมได้ การใช้สิทธิ์ในลักษณะเดียวกันนี้เคยถูกอธิบายไว้ในรายงานเกี่ยวกับแคมเปญมัลแวร์ธนาคาร Perseus ที่ใช้แอปสตรีมมิงปลอมเช่นกัน RemControl สามารถบันทึกข้อความที่พิมพ์และตรวจดูองค์ประกอบควบคุมบนหน้าจอไปพร้อมกับสตรีมภาพหน้าจอออกไป อีกทั้งยังเก็บข้อมูลที่จำเป็นสำหรับประกอบรูปแบบการปลดล็อกขึ้นมาใหม่ และดันผู้ใช้ออกจากหน้าตั้งค่าเมื่อพยายามลบมัลแวร์ออก คุณสมบัติเหล่านี้ทำให้ความเสี่ยงกว้างกว่าการถูกขโมยแค่รหัส PIN ธนาคารเพียงตัวเดียว
หัวใจของการหลอกลวงคือการครอบหน้าจอ เมื่อแอปธนาคารเป้าหมายเปิดขึ้น RemControl จะวางสำเนาหน้าจอธนาคารแบบเต็มจอทับลงไป เหยื่ออาจพิมพ์ PIN รหัสโมบายแบงกิง หรือวันหมดอายุบัตรลงในหน้าจอเลียนแบบนั้น เมื่อกรอกข้อมูลเสร็จ หน้าจอปลอมจะปิดตัวลงและแอปจริงก็ปรากฏขึ้นแทน หน้าปลอมเหล่านี้ถูกดึงมาจากเซิร์ฟเวอร์ที่ผู้โจมตีควบคุมแทนที่จะเก็บไว้ในแอปที่ติดตั้ง ทำให้ผู้ควบคุมเปลี่ยนเป้าหมายได้โดยไม่ต้องให้เหยื่อติดตั้งไฟล์ใหม่
การปฏิบัติการนี้มีลักษณะคล้ายบริการสำหรับอาชญากรรายอื่น มีการพบแผงควบคุมที่เปิดโล่งซึ่งให้เครื่องมือสร้างไฟล์แอป จัดการเครื่องที่ติดมัลแวร์ และดูข้อมูลล็อกอินที่ขโมยมาได้ นักวิจัยเชื่อมโยงตัวอย่างที่พบเข้ากับป้ายชื่อกลุ่มพันธมิตร UNKK แต่ระบุว่าความเชื่อมโยงที่เป็นไปได้กับเครือข่ายมัลแวร์ธนาคารอีกกลุ่มยังพิสูจน์ไม่ได้ นอกจากนี้มัลแวร์ยังดึงตำแหน่งเซิร์ฟเวอร์ผ่าน Telegram ทำให้ผู้ควบคุมเปลี่ยนปลายทางที่โทรศัพท์ติดมัลแวร์เชื่อมต่อได้โดยไม่ต้องสร้างแอปขึ้นใหม่
ผลกระทบ
RemControl ยกระดับภัยจากแอปดูทีวีปลอมให้กลายเป็นเครื่องมือยึดครองอุปกรณ์เต็มรูปแบบ เพราะนอกจากขโมยรหัสธนาคารแล้ว ยังเฝ้าดูหน้าจอ บันทึกการพิมพ์ และควบคุมเครื่องจากระยะไกลได้ เหยื่อกลุ่มแรกอยู่ในยุโรปและตะวันออกกลาง แต่โครงสร้างแบบบริการที่เปลี่ยนหน้าปลอมและปลายทางเซิร์ฟเวอร์ได้อย่างยืดหยุ่น ทำให้แคมเปญขยายไปยังธนาคารและภูมิภาคใหม่ได้ง่าย ผู้ที่ดาวน์โหลดแอปนอกสโตร์ทางการจึงเป็นกลุ่มเสี่ยงที่สุด และการที่มัลแวร์ตัดการตรวจสอบของ Play Store พร้อมสร้างใบรับรองใหม่ทุกการติดตั้ง ยิ่งทำให้การตรวจจับด้วยลายเซ็นไฟล์ทำได้ยาก
คำแนะนำ
- หลีกเลี่ยงการดาวน์โหลดแอปผ่านลิงก์หรือเว็บไซต์ที่ไม่คุ้นเคย แม้หน้าเว็บจะดูเหมือนสโตร์ทางการก็ตาม
- ระวังคำขอสิทธิ์ VPN และ Accessibility ที่ปรากฏขึ้นโดยไม่คาดคิดหลังติดตั้งแอป
- ห้ามกรอกข้อมูลธนาคารลงในหน้าจอที่โผล่ขึ้นมาเองโดยไม่มีการแจ้งเตือนล่วงหน้า
- หากสงสัยว่าบัญชีถูกใช้งานผิดปกติ ให้ติดต่อธนาคารผ่านช่องทางทางการทันที
- องค์กรควรเฝ้าระวังการติดตั้งแอปจากนอกสโตร์ (sideload) บนอุปกรณ์ที่เข้าถึงระบบสำคัญ และบล็อกตัวบ่งชี้ในตาราง IoC ด้านล่าง
Indicators of Compromise (IoCs)
หมายเหตุ: ที่อยู่ IP และโดเมนถูก defang ไว้ (เช่น
[.]) เพื่อป้องกันการเชื่อมต่อโดยไม่ตั้งใจ ให้ re-fang เฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM เท่านั้น
| ประเภท | ตัวบ่งชี้ | คำอธิบาย |
|---|---|---|
| URL | hxxps[:]//tvtap-hd[.]app/ | เว็บดาวน์โหลด TVTap ปลอม |
| URL | hxxp[:]//vpn[.]doneplay[.]site/ | เว็บดาวน์โหลด TVTap ปลอม |
| URL | hxxp[:]//ff-de[.]shutgpt[.]ir/ | เว็บดาวน์โหลด TVTap ปลอม |
| URL | hxxp[:]//vpn[.]askarzadeh[.]com/ | เว็บดาวน์โหลด TVTap ปลอม |
| URL | hxxp[:]//cdn[.]dlmafi[.]top/ | เว็บดาวน์โหลด TVTap ปลอม |
| URL | hxxp[:]//216[.]126[.]229[.]216/ | เว็บดาวน์โหลด TVTap ปลอม |
| URL | hxxps[:]//tvtap-liveapp[.]com/dl.php | URL ดาวน์โหลดขั้นสุดท้าย |
| URL | hxxps[:]//telegram[.]me/ftestera | Telegram dead-drop |
| URL | hxxps[:]//telegram[.]me/+Psyt04xu-cRjMTg0 | Telegram dead-drop |
| Domain | bnbnhura[.]top | เซิร์ฟเวอร์พร็อกซีของ RemControl |
| URL | hxxps[:]//definatelynoone[.]com | แผงควบคุมของผู้ปฏิบัติการ |
| URL | hxxps[:]//157[.]90[.]179[.]116 | แผงควบคุมของผู้ปฏิบัติการ |
| Tracking ID | 997470916598588 | Meta Pixel ID ฝังในหน้าแจกจ่าย |
| Tracking ID | 1909605966397328 | Meta Pixel ID ฝังในหน้าแจกจ่าย |
| File name | instaltvtap.apk | รูปแบบการตั้งชื่อ dropper ที่พบในการสอบสวน |
| Config marker | numeraZZZas | เครื่องหมายที่ใช้ถอดรหัสที่อยู่เซิร์ฟเวอร์ |
| SHA-256 | 76392303f28a7e6f1463a5fa04a19faf40d51d7be6619943a914482b0f3c7f0b | Dropper |
| SHA-256 | fa373aaa95ca512ba9595c3ab41bac892c8c79d4a31f5d74c2f3225b629de52e | Dropper |
| SHA-256 | 45e16e56c81059f6758dced28a58256287785a8b0815577c1140293589aa2ae1 | Dropper |
| SHA-256 | dd6d05ff31f64b9ca8ca9334a804dbee5917d6448acb026de4ca818017a04730 | Dropper |
| SHA-256 | 3b0c49ed1590bceffbefed150bb64545e69e792c5ad63578cc3bca5c5b96f2cb | Dropper |
| SHA-256 | 19fef425c3a774e493526126a441a31971db8ac5af84c1d9eef15a272ba02ec1 | Dropper |
| SHA-256 | 54efee2665d3779f1be0d885409e29e6cd07fe944fa82e5d6eeb832264c7409d | Dropper |
| SHA-256 | cb29b6348ae4458b6b506f8de9336d0980bbfaf88b1d68be2771b57090d29889 | Dropper |
| SHA-256 | 1a992e2b36b2a9a77300b0b0fe7e9c20e127c8257fd203bb4b3eaf1e35e63ce7 | Dropper |
| SHA-256 | af2decf5c5cbff0c0460ab09ad3cff497c765e3cf61e6c45f4e3b5c6a103312c | Payload |
| SHA-256 | 28a09cd68b1f4212cc61bd2d44d03d55b8bcd7df284bab56cdae8507abc90e3c | Payload |
| SHA-256 | c6e1235d5cd01a205a191ce48c3d68e9fea620671c0c069593027a0218fad5b0 | Payload |
| SHA-256 | 95ec481745c64c385c60f6c812585e5060a50e38da44bc1a9f67da3921b1a50f | Payload |
| SHA-256 | 77ead085bae72b6cb1c33c55fbd7763c4d8050798c55af3132c3b904084eeb8a | Payload |
| SHA-256 | ad2b019cf346b8b4e6b2174a95b1d897ce736087bd06066f31a9d7fd72283e9f | Payload |
| SHA-256 | b714f590380e5be8233cd60a4f212d949aff27b3a980e6d644c84b0120dd25b3 | Payload |
| SHA-256 | 648b34fa952a2806d9f4c272f8bfbadc45c0c370c3d7c2ff0c7ffbb015237ce1 | Payload |
| SHA-256 | 5fff21af95bd38b8c11dd73342a55acb75e91ff1936ed0ccb06af28400ef87d4 | Payload |