เจาะคอนโซลเบื้องหลัง RatHat — มัลแวร์ธนาคารแอนดรอยด์แบบ MaaS ใช้ Gemini คัดเหยื่อมูลค่าสูงจากยอดเงินในบัญชี

สรุปสั้น

บริษัท Cleafy เปิดโปงคอนโซลบนเว็บที่ผู้ควบคุมมัลแวร์ธนาคารบนแอนดรอยด์ RatHat ใช้สร้าง เผยแพร่ และสั่งการโทรศัพท์ที่ติดเชื้อ โดยตรวจพบการนำคอนโซลนี้ไปติดตั้งใช้งานเกือบ 100 ชุดตั้งแต่เดือนเมษายน 2026 ซึ่งเข้าลักษณะโมเดล malware-as-a-service ที่ลูกค้าแต่ละรายรันสำเนาของตัวเองแยกกัน คอนโซลจะเก็บสิ่งที่มัลแวร์ดูดมาจากเครื่องเหยื่อ ทั้งข้อความ SMS และรหัสผ่านที่ถูกกรอกลงหน้าล็อกอินปลอมซึ่งซ้อนทับแอปธนาคารจริง จุดที่โดดเด่นที่สุดคือคอนโซลเวอร์ชันล่าสุดสั่งให้โมเดล Gemini ของบริษัท Google ประเมินยอดเงินในบัญชีของเหยื่อจากข้อความเหล่านั้น แล้วจัดกลุ่มโทรศัพท์ออกเป็นเหยื่อมูลค่าสูงและมูลค่าปานกลาง

บริษัท Cleafy ระบุว่าในตัวอย่างที่วิเคราะห์ยังไม่พบว่ามีการใช้โมเดลไปสั่งโอนเงิน บทบาทของมันคือ “ตัดสินว่าเหยื่อรายใดคุ้มค่ากับเวลาของผู้ควบคุม” นอกจากนี้คอนโซลยังทำหน้าที่เป็นเครื่องมือ build ในตัว ที่ผู้ควบคุมสามารถสร้างมัลแวร์ ซ่อนไว้ในแอปที่ดูไม่มีพิษภัย เซ็นลายเซ็น และสั่งเผยแพร่แอปสำเร็จรูปขึ้น Amazon S3 หรือเว็บเซิร์ฟเวอร์ได้โดยอัตโนมัติ อีกทั้งยังตั้งเวลาให้ rebuild ไฟล์ใหม่เป็นระยะ เช่น ทุกชั่วโมง เพื่อให้ได้ไฟล์ที่มี hash ต่างออกไป หลบเครื่องมือความปลอดภัยที่จับไฟล์มุ่งร้ายจากค่า hash รายงานนี้ต่อยอดจากที่บริษัท Zimperium เคยเปิดโปงกลไกฝั่งมัลแวร์ในเครื่องเหยื่อ (การจับคู่ ADB ในเครื่องเองเพื่อคงสิทธิ์ shell) มาก่อนหน้านี้

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 28 กันยายน 2569 โดยอ้างรายงานของบริษัท Cleafy ว่าผู้อยู่เบื้องหลัง RatHat เป็นผู้พัฒนาและเผยแพร่โทรจันธนาคารบนแอนดรอยด์ตัวนี้ พร้อมควบคุมเครื่องที่ติดเชื้อผ่านคอนโซลบนเว็บ บริษัท Cleafy ติดตามพบการนำคอนโซลไปใช้งานเกือบ 100 ชุดนับตั้งแต่เดือนเมษายน 2026 ซึ่งสอดคล้องกับโมเดล malware-as-a-service ที่ลูกค้าแต่ละรายเดินเครื่องสำเนาแยกของตัวเอง

ตัวมัลแวร์ที่อยู่บนโทรศัพท์เหยื่อแทบไม่เปลี่ยนแปลงมาตั้งแต่ปลายปี 2025 แต่คอนโซลเบื้องหลังกลับถูกเปลี่ยนใหม่หลายรุ่น ตัวอย่างจากช่วงปลายปี 2025 และเดือนกุมภาพันธ์ 2026 เชื่อมต่อกับคอนโซลรุ่นก่อนหน้าที่ชื่อ Fisher จากนั้นระหว่างเดือนเมษายนถึงกันยายน 2026 มีคอนโซลรุ่นใหม่สามเวอร์ชันที่สร้างจากซอร์สโค้ดเดียวกันถูกนำมาใช้ รุ่นแรกเรียกตัวเองว่า BlackCat Remote Control Management ส่วนอีกสองรุ่นถัดมาชื่อ Panda Workshop V5 และ V6

บริษัท Cleafy ระบุว่าเกือบครึ่งหนึ่งของ IP address ที่พบอยู่บนเครือข่ายเดียวที่จดทะเบียนในสิงคโปร์คือ AS4907 และตัวเลขเกือบ 100 ที่รายงานเป็นจำนวน “การติดตั้งคอนโซล” ไม่ใช่จำนวนโทรศัพท์ที่ติดเชื้อ ทั้งรายงานของบริษัท Cleafy และบริษัท Zimperium ต่างไม่ได้ระบุจำนวนเหยื่อที่แน่ชัด คอนโซลยังจำกัดจำนวนบัญชีผู้ควบคุมและซ่อนบางส่วนไม่ให้ผู้ที่ไม่ใช่แอดมินเห็น ซึ่งบริษัท Cleafy มองว่าข้อจำกัดแบบนี้จะสมเหตุสมผลก็ต่อเมื่อผู้ใช้เป็นลูกค้าที่ผู้พัฒนายังไม่ไว้ใจเต็มที่

วิธีการโจมตี

RatHat เข้าถึงโทรศัพท์ผ่านข้อความ SMS และโฆษณาออนไลน์ที่พาไปยังเว็บดาวน์โหลดของบุคคลที่สาม ตามที่บริษัท Zimperium พบก่อนหน้านี้ เมื่อติดตั้งแล้ว แอปจะขอสิทธิ์ Accessibility ซึ่งเปิดให้แอปอ่านสิ่งที่อยู่บนหน้าจอและแตะแทนผู้ใช้ได้ จากนั้นมันจะเปิด wireless debugging อ่านรหัสจับคู่ (pairing code) จากบนหน้าจอเอง แล้วเชื่อมต่อเข้ากับ Android Debug Bridge (ADB) ซึ่งเป็นเครื่องมือ debug ที่มีมากับแอนดรอยด์ ผลคือมัลแวร์ได้ shell ที่ทำงานในสิทธิ์ของผู้ใช้ระบบ shell (UID 2000) ซึ่งอยู่นอกกรอบสิทธิ์ที่แอปได้รับ

จากคอนโซล ผู้ควบคุมสามารถเรียกใช้ shell นั้นได้ด้วยการคลิกเพียงครั้งเดียว โดยปุ่ม deploy จะเริ่มโปรแกรมแยกอีกตัวที่เขียนด้วยภาษา Go ซึ่งคงการเชื่อมต่อผ่าน reverse tunnel ที่โทรศัพท์เปิดออกไปหาเซิร์ฟเวอร์ของผู้ควบคุม การจับคู่ ADB เกิดขึ้นอัตโนมัติ แต่โปรแกรม Go จะทำงานก็ต่อเมื่อผู้ควบคุมกด deploy เท่านั้น โปรแกรม Go นี้ยังเปลี่ยนวิธีที่ผู้ควบคุมมองหน้าจอเหยื่อ จากเดิมที่การจับภาพหน้าจอผ่านแอปต้องขออนุญาตเหยื่อและแสดงไอคอนบันทึกภาพขณะทำงาน โปรแกรม Go จะใช้เครื่องมือชื่อ minicap และ minitouch สตรีมภาพหน้าจอและส่งการแตะแทน โดยไม่มีหน้าต่างขออนุญาตและไม่มีไอคอนบันทึกภาพ

อย่างไรก็ตาม minicap และ minitouch ใช้ไม่ได้บนแอนดรอยด์ 14 ขึ้นไป ทำให้เครื่องเหล่านั้นเหลือเพียงการจับภาพหน้าจอของแอปเองที่ยังต้องขออนุญาต บริษัท Cleafy ยังอธิบายวิธีสำรองที่ใช้เครื่องมือ screencap ที่ราว 5 เฟรมต่อวินาที แต่ไม่ได้ระบุว่าครอบคลุมแอนดรอยด์เวอร์ชันใดบ้าง จุดที่ทำให้ถอนได้ยากคือโปรแกรม Go จะทำงานต่อแม้เหยื่อลบแอปทิ้งไปแล้ว จนกว่าจะรีสตาร์ตเครื่อง และบริษัท Zimperium พบว่าโปรแกรมนี้ยังติดตั้งแอปกลับและเปิดสิทธิ์ Accessibility ให้ใหม่ได้อีกด้วย ทั้งสองรายงานไม่ได้ให้ขั้นตอนถอนมัลแวร์ออกจนหมด

ในด้านการใช้ AI คอนโซลรุ่นแรกเปิดให้ผู้ควบคุมเลือกผู้ให้บริการ AI ได้หลายเจ้า และตั้งให้ส่งการแจ้งเตือนผ่าน Telegram เมื่อคะแนน AI ของเครื่องหนึ่งเกินระดับที่ตั้งไว้ ส่วนรุ่นล่าสุดทำงานกับ Gemini เท่านั้น และแนะนำให้ผู้ควบคุมไปขอ key จาก Google AI Studio นอกจากนี้ RatHat ยังใช้ Gemini บนตัวโทรศัพท์เองด้วย เพราะชุดคำสั่งแตะที่ฝังมาถูกเขียนไว้สำหรับอินเทอร์เฟซของผู้ผลิตบางราย แอนดรอยด์บางเวอร์ชัน และบางภาษา จึงล้มเหลวบนเครื่องที่ผู้เขียนคาดไม่ถึง เมื่อเกิดกรณีนั้น มัลแวร์จะส่งผังหน้าจอไปให้ Gemini แล้วถามว่าควรแตะตรงไหน โดยเรียก Gemini ตรงจากโทรศัพท์ผ่าน API key ที่เก็บไว้ในค่าตั้งของมันเอง บริษัท Cleafy ระบุว่าฟีเจอร์นี้ใช้เพียงเพื่อให้ขั้นตอนตั้งค่า wireless debugging เดินหน้าต่อได้ ทั้งนี้มัลแวร์แอนดรอยด์เคยทำแบบนี้มาก่อน เช่น PromptSpy ที่บริษัท ESET อธิบายไว้เมื่อเดือนกุมภาพันธ์ ก็เคยส่งผังหน้าจอให้ Gemini แล้วทำตามคำสั่งแตะเช่นกัน

ผลกระทบ

RatHat เป็นภัยต่อผู้ใช้แอปธนาคารบนแอนดรอยด์โดยตรง เพราะออกแบบมาเพื่อดักรหัสผ่านผ่านหน้าล็อกอินปลอมและอ่านข้อความ SMS ซึ่งรวมถึงรหัส OTP การที่มันทำงานในรูปแบบ malware-as-a-service ที่มีคอนโซลติดตั้งใช้งานเกือบ 100 ชุด หมายความว่าปฏิบัติการนี้กระจายอยู่ในมือผู้ควบคุมหลายราย ไม่ใช่กลุ่มเดียว การนำ Gemini มาประเมินยอดเงินในบัญชีเพื่อคัดเหยื่อมูลค่าสูงทำให้ผู้โจมตีจัดลำดับความสำคัญของเป้าหมายได้แม่นและเร็วขึ้น ขณะที่ความสามารถ rebuild ไฟล์ใหม่ตามเวลาเพื่อเปลี่ยน hash ทำให้การตรวจจับด้วยลายเซ็นไฟล์อย่างเดียวไม่เพียงพอ เครื่องที่ใช้แอนดรอยด์ต่ำกว่า 14 มีความเสี่ยงสูงกว่า เพราะเทคนิค minicap/minitouch สตรีมหน้าจอและสั่งแตะได้เงียบ ๆ โดยเหยื่อไม่เห็นไอคอนบันทึกภาพหรือหน้าต่างขออนุญาต

คำแนะนำ

ผู้ใช้ควรติดตั้งแอปจาก Google Play หรือสโตร์ทางการเท่านั้น หลีกเลี่ยงการติดตั้งไฟล์ APK จากลิงก์ที่มากับข้อความ SMS หรือโฆษณา และไม่มอบสิทธิ์ Accessibility ให้แอปที่ไม่จำเป็น องค์กรที่ดูแลกลุ่มอุปกรณ์เคลื่อนที่ควรอัปเดตแอนดรอยด์ให้เป็นเวอร์ชัน 14 ขึ้นไปเมื่อทำได้ เพราะปิดเส้นทาง minicap/minitouch และควรเฝ้าดูสิ่งที่รันในสิทธิ์ผู้ใช้ shell (UID 2000) รวมถึงตรวจหาไฟล์ minicap และ minitouch ที่วางอยู่ใน /data/local/tmp ทีมความปลอดภัยควรนำ IoC ของบริษัท Cleafy และบริษัท Zimperium ไปเฝ้าระวังการเชื่อมต่อ C2 และหากพบการติดเชื้อ เนื่องจากทั้งสองรายงานไม่ได้ให้ขั้นตอนถอนออกจนหมด การล้างเครื่องคืนค่าโรงงานจึงเป็นทางเลือกที่ปลอดภัยที่สุด

Indicators of Compromise (IoCs)

หมายเหตุ: indicator ด้านล่าง defang ไว้แล้ว (เช่น admin.rathat[.]live, hxxps://) เพื่อความปลอดภัย

แหล่งอ้างอิง

• From BlackCat to Panda Workshop: Inside the Evolving C2 Panel Behind RatHat — Cleafy
• 2026-09-RatHat IOCs — Zimperium (GitHub)