สรุปสั้น
บริษัท ThreatFabric ซึ่งเป็นบริษัทความปลอดภัยมือถือจากเนเธอร์แลนด์ เปิดเผยรายละเอียดโทรจันธนาคารแอนดรอยด์ตัวใหม่ชื่อ Hirudo ที่ไม่ได้แค่ซ้อนหน้าจอปลอมทับแอปธนาคารเหมือนมัลแวร์ทั่วไป แต่ถอนแอปธนาคารของจริงออกแล้วติดตั้งแอปที่ถูกดัดแปลงขึ้นมาเฉพาะแทน แอปปลอมเหล่านี้ฝัง hooking engine ที่หลอกการตรวจลายเซ็นแอป การตรวจบริการ accessibility การป้องกันการบันทึกหน้าจอ และการตรวจ Play Integrity จากภายในตัวแอปเอง ThreatFabric พบแอปแทนที่สำหรับแอปธนาคารอินโดนีเซีย 8 แอป ขณะที่ส่วนขโมยข้อมูลล็อกอินของมัลแวร์ครอบคลุมผู้ใช้ในอินโดนีเซีย จีน อินเดีย เม็กซิโก โมร็อกโก และไทย
นาย Eward Driehuis รองประธานฝ่าย fraud engineering ของ ThreatFabric ระบุว่า ปฏิบัติการนี้รวมการขโมยข้อมูลล็อกอิน การยึดเครื่อง การบันทึกหน้าจอและกล้อง และการขโมย SMS เข้ากับระบบหลังบ้านที่ค่อนข้างสมบูรณ์ มัลแวร์แพร่ผ่านแอปตัวล่อประเภทช้อปปิ้ง วิดีโอผู้ใหญ่ และความบันเทิง ซึ่งโปรโมตผ่านหน้าเว็บที่ปลอมเป็น Google Play และโฆษณาบนแพลตฟอร์มของบริษัท Meta ThreatFabric เตือนว่าเมื่อแอปถูกแทนที่ได้ สัญญาณที่แอปสร้างในเครื่อง ทั้งลายเซ็น รายการ accessibility และผล Integrity ต้องถือว่าผู้โจมตีอาจควบคุมได้ และต้องตรวจซ้ำที่ฝั่งเซิร์ฟเวอร์
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 14 ตุลาคม 2569 ว่า Hirudo มาในรูปแบบแพ็กเกจติดตั้งแยกที่ซ่อนอยู่ในแอปตัวล่อ (dropper) และถูกเสนอให้ติดตั้งเป็น “อัปเดตในแอป” ตัวอย่างแอปตัวล่อที่พบ ได้แก่
- Shopora (
com.agbbh.kjdrttt) - 1V1 X (
com.onev.vip) - KoiShort (
com.koishort.app) - ZoyaTV (
com.zoyatv.app)
ThreatFabric อธิบายว่าแอปตัวล่อทำงานได้จริง โหลดเนื้อหาจริงใน WebView เป็นหน้าร้านค้า แคตตาล็อกวิดีโอ หรือละครสั้น จนดูน่าเชื่อถือ เบื้องหลังเนื้อหานั้น dropper จะเก็บข้อมูลติดตามแคมเปญโปรโมต ดึงคอนฟิกแคมเปญ และตรวจว่าเครื่องติดตั้ง Hirudo RAT ที่เปิดบริการ accessibility และสิทธิ์อ่านการแจ้งเตือนแล้วหรือยัง ถ้ายัง จะขึ้นหน้าจอ “อัปเดตในแอป” ปลอมเพื่อให้ผู้ใช้ติดตั้ง Hirudo ซึ่งเป็นแอปตัวที่สองและต้องได้รับสิทธิ์ของตัวเองก่อนจะทำงานได้
ระบบหลังบ้านของ Hirudo รวมการควบคุมเครื่อง การจัดการหลายแคมเปญ และข้อมูลที่ขโมยมา ได้แก่ ข้อมูลเครื่อง ประวัติรหัสปลดล็อกหน้าจอ และโปรไฟล์ทางการเงินที่มีช่องรายได้ต่อเดือนและคะแนนความเสี่ยงของเหยื่อ ThreatFabric มองว่า Hirudo เป็น “การยกระดับโดยเจตนา” ของวิธีที่โทรจันธนาคารรับมือกับแอปที่ป้องกันตัวแน่นหนา เพราะย้ายการดัดแปลงเข้าไปอยู่ในแอปเป้าหมาย และสร้างเป็น engine ที่นำกลับมาใช้กับแอปและภูมิภาคอื่นได้
วิธีการโจมตี
หลบการตรวจออนไลน์ก่อนติดตั้ง — เช่นเดียวกับ StreamRat ที่ ThreatFabric รายงานเมื่อเดือนก่อน Hirudo ตั้งค่า VPN ที่จงใจให้ใช้งานไม่ได้ก่อนติดตั้ง payload เพื่อตัดอินเทอร์เน็ต ไม่ให้แอปและบริการอื่น เช่น Google Play Protect ตรวจ payload บนคลาวด์ได้ ThreatFabric ประเมินว่าเทคนิคนี้ลดประสิทธิภาพของการตรวจชื่อเสียงและวิเคราะห์โค้ดออนไลน์ มากกว่าจะปิด Play Protect ได้ทั้งหมด เพราะ Play Protect ยังตรวจแอปอันตรายที่รู้จักแบบออฟไลน์ได้
ขโมยข้อมูลและยึดเครื่อง — dropper แสดงหน้าจอปลอมเพื่อเก็บรหัส PIN การชำระเงิน หน้าล็อกอินปลอมของแอปธนาคารและกระเป๋าเงิน หน้าจอปลดล็อกแบบ pattern และ PIN ปลอม และเปิดให้ผู้ควบคุมรีโมตควบคุมเครื่องได้ทั้งหมด
ถอนแอปจริง ใส่แอปปลอม — สำหรับแอปธนาคารอินโดนีเซีย 8 แอป RAT จะตรวจพบแอปธนาคารที่ติดตั้งผ่านบริการ accessibility เทียบใบรับรองลายเซ็นกับค่าอ้างอิงที่เก็บไว้ แล้วขึ้นหน้า “อัปเดต” ปลอม จากนั้นเปิดหน้าถอนการติดตั้งของ Android สำหรับแอปจริงโดยไม่รอให้ผู้ใช้แตะ และดาวน์โหลดแอปแทนที่ของธนาคารนั้นไปพร้อมกัน แม้การต้องถอนแอปเดิมก่อนจะเป็น “ข้อจำกัดจริง” แต่ได้ผลตอบแทนคือข้ามการตรวจความปลอดภัยของแอปธนาคารได้ทั้งหมด
หลอกการตรวจจากข้างในแอป — แอปที่ถูกดัดแปลงจะส่งคืนใบรับรองลายเซ็นของแอปจริงเมื่อถูกถาม ส่งคืนรายการว่างเมื่อแอปตรวจว่ามีบริการ accessibility เปิดอยู่หรือไม่ และลบแฟล็ก FLAG_SECURE เพื่อให้ผู้ควบคุมดูและบันทึกหน้าจอแอปจากระยะไกลได้ ใบรับรอง key attestation ถูกเซ็นใหม่ด้วย keybox ที่แนบมา และคำขอ Play Integrity ถูกส่งต่อผ่าน HTTP ธรรมดาไปยังเซิร์ฟเวอร์ของผู้ควบคุม ซึ่งส่งผลการตรวจกลับมาให้แอปยอมรับ ThreatFabric เน้น 2 ประเด็นสำหรับฝ่ายป้องกัน คือ keybox ที่ใช้เป็น keybox ที่รั่วสู่สาธารณะ ไม่ใช่ของผู้ควบคุมเอง และเมื่อคำขอ Integrity ถูกส่งต่อแทนที่จะสร้างขึ้นจริง ผล Integrity ที่ถูกต้องเพียงอย่างเดียวจึงไม่ใช่หลักฐานว่าแอปไม่ถูกดัดแปลง
ผลกระทบต่อไทย
ไทยอยู่ในรายชื่อประเทศที่ส่วนขโมยข้อมูลล็อกอินของ Hirudo เล็งเป้า ผู้ใช้ไทยจึงเป็นเป้าหมายโดยตรงของหน้าล็อกอินปลอม หน้า PIN ปลอม การขโมย SMS และการรีโมตควบคุมเครื่อง ซึ่งเป็นเครื่องมือที่ใช้ทำธุรกรรมแทนเหยื่อได้ อย่างไรก็ตาม ข้อมูลที่เปิดเผยยังไม่ได้ระบุชื่อธนาคารหรือแอปไทยที่ถูกเล็ง และแอปแทนที่ที่ดัดแปลงแล้วพบเฉพาะของธนาคารอินโดนีเซีย 8 แอปเท่านั้น ยังไม่มีหลักฐานว่ามีแอปธนาคารไทยถูกทำเป็นตัวแทนที่
ประเด็นที่น่ากังวลสำหรับไทยคือแนวทางของ Hirudo ตรงกับมาตรการที่ธนาคารไทยพึ่งพามากขึ้นในช่วงหลัง ได้แก่ การตรวจว่าเครื่องเปิดแอปที่ใช้ accessibility หรือไม่ การบล็อกการบันทึกหน้าจอ และการตรวจความสมบูรณ์ของแอปและอุปกรณ์ ThreatFabric ระบุว่า engine ของ Hirudo ออกแบบให้นำไปใช้กับแอปและภูมิภาคอื่นได้ หากผู้ควบคุมสร้างแอปแทนที่สำหรับแอปธนาคารไทย การตรวจที่ทำอยู่ในเครื่องเพียงอย่างเดียวจะถูกหลอกได้ทั้งหมด ประกอบกับช่องทางแพร่ผ่านโฆษณาบน Facebook และ Instagram ที่คนไทยใช้งานสูง ความเสี่ยงจึงไม่ใช่เรื่องไกลตัว
คำแนะนำ
- ผู้ใช้ทั่วไปควรติดตั้งแอปจาก Google Play Store ของจริงเท่านั้น ไม่ติดตั้งแอปจากลิงก์ในโฆษณา หรือจากหน้าเว็บที่ทำหน้าตาเหมือน Play Store
- อย่าอนุญาตให้แอปที่ไม่เกี่ยวข้อง เช่น แอปดูวิดีโอ ละครสั้น หรือช้อปปิ้ง ใช้บริการ accessibility หรือสิทธิ์อ่านการแจ้งเตือน และระวังแอปที่ขอติดตั้ง “อัปเดต” เป็นแอปตัวที่สอง
- หากแอปธนาคารถูกถอนการติดตั้งเองโดยไม่ได้สั่ง หรือมีหน้าขอให้ “อัปเดต” แอปธนาคารจากนอก Play Store ให้หยุดใช้เครื่อง และติดต่อธนาคารผ่านช่องทางทางการทันที
- ธนาคารและผู้พัฒนาแอปการเงินควรตรวจผล Play Integrity และ key attestation ที่ฝั่งเซิร์ฟเวอร์ ไม่ใช่ให้แอปตัดสินเอง และถือว่าสัญญาณที่แอปส่งมาจากเครื่อง เช่น ลายเซ็นหรือรายการ accessibility อาจถูกปลอมได้
- ธนาคารควรเฝ้าระวังคำขอ Integrity ที่มาจากเครือข่ายหรือรูปแบบผิดปกติ และติดตามรายการ keybox ที่รั่วสู่สาธารณะเพื่อปฏิเสธ attestation ที่เซ็นด้วย keybox เหล่านั้น
- ทีม fraud ควรเพิ่มกฎตรวจจับการติดตั้งแอปธนาคารใหม่ที่ตามหลังการถอนแอปเดิมในเวลาไม่นาน และพฤติกรรมการรีโมตควบคุมเครื่องระหว่างทำธุรกรรม
Indicators of Compromise (IoCs)
หมายเหตุ: เป็นเฉพาะชื่อแพ็กเกจแอปตัวล่อที่ ThreatFabric เปิดเผยในข่าว ยังไม่มีค่า hash หรือโดเมนในแหล่งข่าวนี้
| Indicator | ประเภท | คำอธิบาย |
|---|---|---|
com.agbbh.kjdrttt | Android package | แอปตัวล่อ Shopora (ช้อปปิ้ง) |
com.onev.vip | Android package | แอปตัวล่อ 1V1 X |
com.koishort.app | Android package | แอปตัวล่อ KoiShort (ละครสั้น) |
com.zoyatv.app | Android package | แอปตัวล่อ ZoyaTV (วิดีโอ) |