สปายแวร์ Corp MDM เจาะบริษัทโลจิสติกส์ ขโมย SMS ใหม่และเปลี่ยนเส้นทางการโทร ผ่านหน้า Google Play ปลอม

สรุปสั้น

ภาคโลจิสติกส์กลายเป็นเป้าหมายของแคมเปญโจมตีทางไซเบอร์ใหม่ที่แจกจ่ายสปายแวร์บนแอนดรอยด์ซึ่งมีรหัสเรียกว่า Corp MDM บริษัท Have I Been Squatted เปิดเผยว่าแคมเปญนี้ใช้หน้า Google Play ปลอมที่สวมแบรนด์ของบริษัท CEVA และ TKW Logistics เพื่อแจกไฟล์ Android Package Kit (APK) ที่แต่งตัวให้ดูเหมือนบริการของระบบ โดยแอปที่ส่งมามีชื่อแพ็กเกจว่า com.corp.mdm นักวิจัยอธิบายว่า Corp MDM เป็น “อิมพลานต์สอดแนมขนาดกะทัดรัดที่ออกแบบมาเพื่อดูดเนื้อหา SMS ที่เพิ่งเข้ามา เปลี่ยนเส้นทางการโทร และคงบริการเบื้องหลังแบบซ่อนไว้”

มัลแวร์ตัวนี้ถูกอธิบายว่าออกแบบมาแบบแคบโดยตั้งใจ ขาดฟังก์ชันสอดแนมหลายอย่างที่มักพบในสปายแวร์แอนดรอยด์เชิงพาณิชย์ และมีการสงสัยว่าผู้อยู่เบื้องหลังใช้ปัญญาประดิษฐ์ (AI) ช่วยในระหว่างการพัฒนา เพราะพบบั๊กที่รบกวนความสามารถของตัวมัลแวร์เอง กิจกรรมนี้ยังถูกระบุว่าเป็นส่วนหนึ่งของแคมเปญที่กว้างกว่าซึ่งเล็งภาคโลจิสติกส์ด้วยการฟิชชิงขโมยข้อมูลล็อกอินและมัลแวร์บนวินโดวส์

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กันยายน พ.ศ. 2569 ว่า นักวิจัยด้านความปลอดภัยนายเบน ฟอลแลนด์ (Ben Folland) จากบริษัท Have I Been Squatted เปิดโปงสปายแวร์แอนดรอยด์ Corp MDM ที่มุ่งเป้าไปยังบริษัทในภาคโลจิสติกส์

แพ็กเกจอันตรายถูกแจกจ่ายผ่านหน้า Google Play Store ปลอม เช่น playgoogle.logisticstkwcargo[.]com และ playgoogle.ceva-app[.]help โดยไฟล์ทั้งสองใช้ที่อยู่ IP แบบฝังตายในโค้ด (69.55.61[.]82) เป็นทั้งเซิร์ฟเวอร์สั่งการและควบคุม (C2) ที่อยู่ของหน้าฟิชชิงหลอกเอาข้อมูลล็อกอิน และเป็นแหล่งเผยแพร่มัลแวร์วินโดวส์เพิ่มเติมที่เล็งภาคโลจิสติกส์เช่นกัน

เมื่อผู้ใช้ติดตั้งแอปด้วยวิธี sideload แอปอันตรายจะขอสิทธิ์เข้าถึง SMS โทรศัพท์ และการแจ้งเตือน ทำให้ดักข้อความ SMS ที่เข้ามา เปิดการโอนสาย และแสดงการแจ้งเตือนได้ จากนั้นแอปจะลบไอคอนตัวเปิด (launcher) ตามปกติออก พร้อมกับคงการทำงานเบื้องหลังไว้ ในขั้นต่อมามันจะลงทะเบียนตัวระบุอุปกรณ์แอนดรอยด์กับเซิร์ฟเวอร์ C2 ส่งสัญญาณ heartbeat ทุก 30 วินาที และคอยดึงคำสั่งจากเซิร์ฟเวอร์อย่างต่อเนื่อง

นายฟอลแลนด์ระบุว่า แม้การเก็บ SMS จะจำกัดอยู่ที่ข้อความที่เข้ามาใหม่หลังได้รับสิทธิ์และไม่ย้อนไปดูดกล่องข้อความเดิม แต่เส้นทางเก็บข้อมูลที่จำกัดนี้ก็เพียงพอจะเปิดโปงเนื้อหาที่มีมูลค่าสูง เพราะ SMS ยังเป็นช่องทางส่งรหัสผ่านครั้งเดียว การรีเซ็ตรหัสผ่าน การกู้บัญชี การแจ้งเตือนธุรกรรม และข้อมูลการจัดส่ง โดยชื่อผู้ส่ง เนื้อหาเต็ม และเวลาที่ได้รับทั้งหมดถูกส่งออกจากเครื่องผ่าน HTTP แบบไม่เข้ารหัส

การทำงานของมัลแวร์

หลังลงทะเบียนกับเซิร์ฟเวอร์ C2 แล้ว Corp MDM จะสื่อสารผ่านชุด API ที่ระบุได้ชัดเจน ได้แก่ /api/v1/devices/register สำหรับลงทะเบียนอุปกรณ์พร้อมข้อมูลพื้นฐาน, /api/v1/devices/heartbeat สำหรับส่งสัญญาณ heartbeat, /api/v1/devices/{ANDROID_ID}/commands สำหรับรับคำสั่งจากผู้โจมตี, /api/v1/commands/result สำหรับส่งผลการรันคำสั่งกลับ และ /api/v1/sms/report สำหรับส่งชื่อผู้ส่ง เนื้อหาข้อความ และเวลาที่ได้รับพร้อมตัวระบุอุปกรณ์

โครงสร้างพื้นฐานที่ผู้โจมตีควบคุมยังพบว่าโฮสต์แผงผู้ดูแล Corp MDM ที่มีการป้องกันด้วยรหัสผ่านไว้บนพอร์ต 3456 ซึ่งเปิดให้ผู้ปฏิบัติการยึดครองอุปกรณ์ที่ติดมัลแวร์และส่งคำสั่งได้ คำสั่งที่รองรับได้แก่ ping (ตอบกลับ “pong”), forward_on (สั่งโอนสายแบบไม่มีเงื่อนไขไปยังเบอร์ที่ผู้ปฏิบัติการเลือก), forward_off (ยกเลิกการโอนสายด้วยรหัส ##21#), sync_sms (รายงานว่าเริ่มกระบวนการซิงก์โดยยังไม่เก็บข้อมูลจริง) และ self_destroy (ปิดการทำงานของอิมพลานต์ หยุดบริการ และขอล้างข้อมูลแอป) ส่วนคำสั่ง get_location และ lock_device นั้นแผงควบคุมรองรับแต่ตัวมัลแวร์ยังไม่รองรับ

ยังไม่ชัดเจนว่าใครอยู่เบื้องหลังปฏิบัติการนี้ แต่ Have I Been Squatted ประเมินว่ากิจกรรมนี้น่าจะมีความเชื่อมโยงกับอาร์เมเนียหรือรัสเซีย โดยอ้างจากร่องรอยภาษาท้องถิ่นในหน้าจอแผงควบคุมและซอร์สโค้ดที่เกี่ยวข้องกับแคมเปญวงกว้าง

ผลกระทบ

นี่ไม่ใช่ครั้งแรกที่ผู้โจมตีเล็งภาคโลจิสติกส์ เมื่อเดือนพฤศจิกายน 2568 บริษัท Proofpoint เคยเปิดเผยแคมเปญที่ติดตั้งซอฟต์แวร์บริหารและเฝ้าระวังจากระยะไกล (RMM) ลงในบริษัทขนส่งและโลจิสติกส์เพื่อผลประโยชน์ทางการเงินและการขโมยสินค้า และเมื่อเดือนกุมภาพันธ์ที่ผ่านมา Ctrl-Alt-Intel ร่วมกับ Have I Been Squatted ได้เปิดโปงกลุ่มภัยคุกคามชื่อ Diesel Vortex ที่เล็งบริษัทขนส่งและโลจิสติกส์ในสหรัฐฯ และยุโรป รวมถึง DAT Truckstop, TIMOCOM, Teleroute, Penske Logistics, Girteka และ Electronic Funds Source (EFS)

นอกจากนี้ยังพบว่าผู้โจมตีสัญชาติรัสเซีย-อาร์เมเนียอยู่เบื้องหลังแพลตฟอร์มฟิชชิงแบบบริการ (PhaaS) ใหม่ชื่อ Global Profit (หรือ MC Profit Always) ที่ออกแบบมาเจาะภาคขนส่งและโลจิสติกส์โดยเฉพาะผ่านอีเมลปลอม และขโมยข้อมูลล็อกอินไปแล้วกว่า 1,600 รายการระหว่างเดือนกันยายน 2568 ถึงกุมภาพันธ์ 2569 Have I Been Squatted ระบุว่าปฏิบัติการนี้ไม่ใช่ฝีมือของผู้โจมตีคนเดียว แต่เป็นบริการอาชญากรรมที่มีโครงสร้างและขับเคลื่อนด้วยเงิน ขายให้ผู้ปฏิบัติการรายอื่น พร้อมหลักฐานว่ากลุ่มนี้ใช้ทั้ง spear-phishing และ voice phishing เจาะกลุ่ม Telegram ของวงการขนส่งโดยเฉพาะ เพื่อดักข้อมูลล็อกอินและรหัส MFA แบบเรียลไทม์ แล้วต่อยอดไปยึดข้อมูลการจัดส่ง เปลี่ยนเส้นทางใบแจ้งหนี้ ทำ double-brokering และขโมยเงิน

คำแนะนำ

• ห้ามติดตั้งแอปจากลิงก์หรือหน้าเว็บที่อ้างว่าเป็น Google Play แต่ไม่ได้อยู่บนโดเมน play.google.com จริง
• ระวังไฟล์ APK ที่อ้างเป็น “บริการระบบ” หรือแอปของบริษัทขนส่ง และตรวจสอบสิทธิ์ SMS/โทรศัพท์/การแจ้งเตือนที่แอปร้องขอ
• องค์กรภาคโลจิสติกส์ควรเปิดใช้การยืนยันตัวตนที่ทนต่อฟิชชิง (เช่น FIDO2) แทนการพึ่ง OTP ทาง SMS เพียงอย่างเดียว
• เฝ้าระวังการตั้งค่าโอนสายที่ผิดปกติบนอุปกรณ์ของพนักงาน และอบรมทีมให้ระวัง spear-phishing/voice phishing ในกลุ่ม Telegram ของวงการ
• บล็อกตัวบ่งชี้ในตาราง IoC ด้านล่าง และตรวจสอบทราฟฟิกไปยัง C2 ที่ระบุ

Indicators of Compromise (IoCs)

หมายเหตุ: ที่อยู่ IP และโดเมนถูก defang ไว้ (เช่น [.]) เพื่อป้องกันการเชื่อมต่อโดยไม่ตั้งใจ ให้ re-fang เฉพาะในแพลตฟอร์ม threat intelligence ที่ควบคุมได้ เช่น MISP, VirusTotal หรือ SIEM เท่านั้น

แหล่งอ้างอิง

• Corp MDM Spyware Targets Logistics Firms, Steals New SMS and Redirects Calls — The Hacker News
• Inside Corp MDM Android Spyware Targeting Logistics — Have I Been Squatted
• Diesel Vortex Research — Ctrl-Alt-Intel