YuanKong มัลแวร์ RAT แอนดรอยด์ตัวใหม่ — ใช้ Accessibility ดูหน้าจอ ดักรหัสผ่านและ PIN แอปธนาคาร เปิด Wireless Debugging จับคู่ ADB เองเพื่อคงอยู่

สรุปสั้น

นักวิจัยจากบริษัท STAR Labs ของสิงคโปร์เปิดเผยการวิเคราะห์ YuanKong มัลแวร์ควบคุมเครื่องระยะไกล (RAT) บนแอนดรอยด์ตัวใหม่ ที่เฝ้าดูและควบคุมโทรศัพท์ของเหยื่อได้แบบเรียลไทม์ ดักรหัสผ่านและ PIN สำหรับชำระเงิน แล้วส่งข้อมูลกลับไปยังผู้ควบคุม จุดที่ต่างจากมัลแวร์ธนาคารทั่วไปคือ YuanKong ไม่ได้ขอสิทธิ์อ่าน SMS รายชื่อติดต่อ ประวัติการโทร กล้อง หรือไมโครโฟนเลย แต่อาศัยฟีเจอร์ Accessibility และการควบคุมหน้าจอของแอนดรอยด์เพื่อดูว่าผู้ใช้ทำอะไรในแอป ซึ่งรวมถึงแอปธนาคารและแอปชำระเงินของจริง ความสามารถหลักมีทั้งจับภาพหน้าจอ แตะและปัดหน้าจอจากระยะไกล อ่านคลิปบอร์ดและการแจ้งเตือน ส่งไฟล์ และเก็บตำแหน่งที่ตั้ง

อีกเทคนิคที่น่ากังวลคือมัลแวร์ใช้สิทธิ์ Accessibility เปิด Wireless Debugging เอง อ่านรหัสจับคู่ที่แสดงบนหน้าจอ แล้วจับคู่กับบริการ Android Debug Bridge (ADB) ในเครื่อง ทำให้ได้ session ระดับ shell ไว้ให้สิทธิ์ตัวเองและรันสคริปต์คงอยู่ นักวิจัยตรวจพบ dropper 110 ตัวและ payload ลูก 57 ตัวที่เซ็นด้วยใบรับรอง YuanKong เดียวกัน และโยงได้กับบัญชีผู้ควบคุม 42 บัญชี ซึ่งบ่งชี้ว่าเป็นบริการควบคุมเครื่องระยะไกลที่ผู้ควบคุมหลายรายใช้ร่วมกัน ส่วนวิธีที่ใช้ล่อให้เหยื่อติดตั้งและจำนวนเครื่องที่ติดเชื้อยังไม่ทราบ

รายละเอียดข่าว

เว็บไซต์ Cyber Security News รายงานเมื่อวันที่ 16 ตุลาคม 2569 ว่า STAR Labs ระบุตัวและวิเคราะห์ YuanKong จากการแกะไฟล์แอปและโค้ดแอนดรอยด์ การตรวจสอบครอบคลุม dropper 110 ตัวและ payload ลูกที่ต่างกัน 57 ตัว ทั้งหมดเซ็นด้วยใบรับรอง YuanKong เดียวกัน แต่ฝังข้อมูลบัญชีผู้ควบคุมต่างกัน นักวิจัยไล่ได้ 42 บัญชีผู้ควบคุม เพราะรหัสบัญชีและข้อมูลการลงทะเบียนถูกคอมไพล์ลงในแอปและส่งกลับไปในรายงานกิจกรรมของอุปกรณ์ จึงเชื่อมแต่ละ build กับบัญชีได้โดยไม่ต้องเข้าถึงแผงควบคุมของผู้ให้บริการ

ตัวอย่างที่วิเคราะห์ไม่ได้ขอสิทธิ์ SMS รายชื่อติดต่อ ประวัติการโทร กล้อง หรือไมโครโฟน ความเสี่ยงจึงมาจากสิ่งที่มันอ่านและทำได้ผ่านหน้าจอและ Accessibility เป็นหลัก นักวิจัยเตือนว่าแนวทางนี้ทำให้ข้อมูลอ่อนไหวรั่วได้ แม้ผู้ใช้จะกำลังใช้งานแอปของจริงอยู่ก็ตาม

STAR Labs ระบุชัดว่าการวิเคราะห์ตัวอย่างไม่ได้ยืนยันว่าเหยื่อถูกล่อให้ติดตั้งแอปด้วยวิธีใดหรือมีโทรศัพท์ติดเชื้อกี่เครื่อง และชี้ว่าสัญญาณที่ใช้ระบุตระกูลมัลแวร์ได้แม่นกว่าชื่อแพ็กเกจหรือแบรนด์แอปที่เปลี่ยนไปเรื่อย ๆ คือใบรับรองที่ใช้เซ็นร่วมกันและชุดโฮสต์ C2 ชุดเดียวกัน

วิธีการโจมตี

แอปแรกทำหน้าที่เป็น dropper ที่ซ่อนแอปลูกไว้ข้างใน แล้วแกะ payload ออกมาติดตั้ง ตัวอย่างที่วิเคราะห์เป็นตัวโหลดชื่อแพ็กเกจ com.system.loader.va363d031 ซึ่งเก็บกุญแจถอดรหัสและค่า IV ไว้ในไฟล์คอนฟิกข้างข้อมูลที่เข้ารหัส (รูปแบบ SVLT-XOR-v2) และใช้แค่ XOR แทนการเข้ารหัสที่แข็งแรง นักวิจัยจึงกู้แอปลูกออกมาจาก dropper ได้โดยไม่ต้องติดต่อเซิร์ฟเวอร์ของผู้ควบคุม แอปลูกที่ได้ (net.echorelay.app คลาส com.remote.control.RemoteControlApp) ระบุตัวเองว่า YuanKong และเชื่อมต่อ C2 ผ่าน Socket.IO บน WebSocket ข้อความเป็น JSON แบบมีชนิด และพึ่ง TLS เพียงชั้นเดียว ไม่มีการเข้ารหัสข้อความซ้อนอีกชั้น เซิร์ฟเวอร์ส่งคำสั่งและรับข้อมูลที่เก็บได้ เช่น ภาพหน้าจอและไฟล์

การดักรหัสผ่านและ PIN ทำได้หลายทาง YuanKong อ่านข้อความจากเหตุการณ์ Accessibility รวมถึงการเปลี่ยนแปลงในช่องกรอก และไล่ดู accessibility tree ของหน้าจอเพื่อหาช่องรหัสผ่าน นอกจากนี้ยังมีแป้นตัวเลขปลอมแบบ overlay ที่ทุกการแตะจะส่งตัวเลขจริงเข้าบัฟเฟอร์ของมัลแวร์ ขณะที่หน้าจอแสดงเป็นจุดปิดบังตามปกติ สำหรับแป้นตัวเลขของจริงบางแบบ มัลแวร์จะจับตำแหน่งปุ่มแต่ละตัวแล้วคำนวณจากพิกัดการแตะว่าเหยื่อกดเลขอะไร ส่วนการขโมย PIN ชำระเงิน ผู้ควบคุมสามารถส่งหน้าเว็บมาแสดงทับแอปชำระเงินที่เลือกไว้ ถ้าเหยื่อกรอก PIN ในหน้าปลอมนั้น YuanKong จะบันทึกค่าและส่งไปยัง C2

ด้านการคงอยู่ มัลแวร์ใช้ Accessibility เปิด Wireless Debugging อ่านรายละเอียดการจับคู่ที่แสดงบนเครื่อง แล้วจับคู่กับบริการ ADB ในเครื่องเอง ทำให้ได้ session ระดับผู้ใช้ shell ของแอนดรอยด์ (ไม่ใช่ root) ไว้ให้สิทธิ์ตัวเองและติดตั้ง daemon ที่คอยรันแอปให้ทำงานต่อ ผู้ควบคุมยังสั่งคลิก ปัด เปิดแอป และล็อกหน้าจอได้จากระยะไกล มัลแวร์ซ่อนไอคอนตัวเอง ใช้บริการหลายตัวที่คอยสั่งรีสตาร์ตกันเอง ต้านการถอนการติดตั้ง และเก็บข้อมูลที่ขโมยเข้าคิวไว้ส่งทีหลังเมื่อการเชื่อมต่อขาด เทคนิคใช้ Wireless Debugging ลักษณะนี้เคยพบมาแล้วในมัลแวร์อย่าง RedHook และ RatHat

ผลกระทบ

YuanKong แสดงให้เห็นว่ามัลแวร์ธนาคารบนแอนดรอยด์ไม่จำเป็นต้องขอสิทธิ์ที่ดูน่าสงสัยอย่าง SMS อีกแล้ว แค่ได้สิทธิ์ Accessibility ก็พอจะเห็นทุกอย่างที่ผู้ใช้พิมพ์และกดบนหน้าจอ รวมถึง PIN ที่ใช้ยืนยันการโอนเงินในแอปของจริง การตรวจสอบรายการสิทธิ์ของแอปแบบเดิมจึงจับได้ยากขึ้น ส่วนการได้ shell ผ่าน ADB ทำให้มัลแวร์ให้สิทธิ์ตัวเองเพิ่มและอยู่รอดในเครื่องได้นานแม้ไม่มีช่องโหว่ระดับ root

โมเดลแบบบริการที่ผู้ควบคุม 42 บัญชีใช้ระบบเดียวกันหมายความว่าแคมเปญอาจกระจายไปหลายกลุ่มเป้าหมายพร้อมกันโดยใช้แบรนด์แอปต่างกัน ข้อจำกัดที่ต้องระวังคือรายงานนี้ยังไม่ระบุประเทศหรือธนาคารที่ตกเป็นเป้า และยังไม่ทราบช่องทางที่ใช้ล่อเหยื่อ

คำแนะนำ

• ผู้ใช้ไม่ควรติดตั้งไฟล์ APK จากลิงก์หรือเว็บไซต์ที่ไม่รู้จัก และตรวจสอบเป็นระยะว่าแอปใดได้สิทธิ์ Accessibility โดยเฉพาะแอปที่ไม่มีเหตุผลต้องใช้
• ปิด Developer options และ Wireless Debugging เมื่อไม่ได้ใช้งาน และระวังแอปที่ขอให้เปิดฟีเจอร์เหล่านี้
• หากสงสัยว่าเครื่องติดเชื้อ ให้ติดต่อธนาคารผ่านเบอร์ทางการ และเปลี่ยนรหัสผ่านธนาคารจากอุปกรณ์อื่นที่เชื่อถือได้
• ทีมความปลอดภัยและผู้ดูแล MDM ควรค้นหาใบรับรอง SHA-256 ของ YuanKong โดเมนและ IP C2 ในตาราง IoCs การเปิด Wireless Debugging ที่ผิดปกติ บริการ Accessibility ที่ไม่รู้จัก และพฤติกรรมควบคุมเครื่องจากระยะไกล โดยยืนยันกับบริบทของสภาพแวดล้อมตัวเองก่อนดำเนินการ
• ธนาคารและผู้ให้บริการชำระเงินควรตรวจจับ overlay และบริการ Accessibility ที่ทำงานอยู่ขณะเปิดแอป เพื่อเตือนหรือจำกัดธุรกรรมที่มีความเสี่ยง

Indicators of Compromise (IoCs)

indicator ทั้งหมด defang แล้ว ([.]) ก่อนนำไปใช้ในระบบ threat intelligence ต้องแปลงกลับ

แหล่งอ้างอิง

• YuanKong RAT: the Android remote control service that stamps its operators’ names into every build — STAR Labs
• New YuanKong Android RAT Hijacks Phones to Steal Banking PINs and Passwords — Cyber Security News