สรุปสั้น
CyberDakait คือ ชื่อที่บริษัท Group-IB ใช้เรียกปฏิบัติการมัลแวร์แอนดรอยด์หวังผลทางการเงินที่เล็งลูกค้าธนาคารในอินเดียมาตั้งแต่เดือนกรกฎาคม 2568 รายงานล่าสุดพบเครื่องถูกยึดอย่างน้อย 17,960 เครื่อง และข้อความ SMS ถูกดักไปแล้ว 7,611,443 ข้อความ ผู้โจมตีเริ่มจากโทรหรือส่งข้อความแอบอ้างเป็นพนักงานธนาคาร อ้างว่าเหยื่อถูกสมัครแผนคุ้มครองบัตรเครดิตและกำลังจะถูกเก็บเงิน แล้วพาไปเว็บฟิชชิงที่บอกว่าต้องติดตั้งแอปเพื่อยกเลิก แอปนั้นขโมยข้อมูลบัตร รหัสเข้าธนาคารออนไลน์ ดัก OTP เปิดให้ควบคุมเครื่องจากระยะไกล และแอบขุดเหรียญ Monero ไปพร้อมกัน
แคมเปญนี้ใช้มัลแวร์ถึง 7 ตระกูลที่เขียนต่างกัน แต่ Group-IB จัดไว้ในกลุ่มเดียวกันเพราะใช้วิธีแพร่กระจาย โครงสร้างฟิชชิง และเป้าหมายทางการเงินซ้อนทับกัน มัลแวร์สวมรอยธนาคารอินเดีย 11 แห่งและโครงการของรัฐ 2 โครงการ ข้อมูลที่ถูกขโมยยังรวมเลขประจำตัวผู้เสียภาษี PAN และเลขประจำตัว Aadhaar ทำให้ความเสี่ยงลามจากการถูกโอนเงินไปสู่การสวมรอยตัวตน ผู้ใช้ควรติดตั้งแอปธนาคารจากช่องทางทางการเท่านั้น และติดต่อธนาคารทันทีหากเคยติดตั้งแอปตามคำบอกของผู้โทร
รายละเอียดข่าว
เว็บไซต์ GBHackers รายงานเมื่อวันที่ 29 ตุลาคม 2569 ว่า Group-IB เผยแพร่ผลวิเคราะห์ CyberDakait (บล็อกลงวันที่ 28 ตุลาคม 2569 เขียนโดยนางสาว Mahima นักวิเคราะห์ข่าวกรองไซเบอร์ และนาย Ngo Thanh Van นักวิเคราะห์มัลแวร์) มัลแวร์ 7 ตระกูลที่เป็นโครงหลักของแคมเปญ ได้แก่ cyb3rx, appkjl, godz, d-passive, d-shine, GhostBat และ tenxen Group-IB แยกจัดประเภทไว้คนละตระกูลเพราะช่องทาง C2 โครงสร้างฐานข้อมูล รูปแบบข้อความ Telegram และชื่อคำสั่งแตกต่างกัน และสรุปว่าน่าจะมาจากหลายโปรเจกต์ย่อย ไม่ใช่ซอร์สโค้ดชุดเดียว แต่ใช้กลยุทธ์ปฏิบัติการร่วมกัน
ไทม์ไลน์ตามรายงาน เริ่มจากผู้เสียหายในอินเดียร้องเรียนกลลวง “Credit Card Protection Plan” ตั้งแต่ราวมกราคม 2568 ก่อนที่ Group-IB จะเห็นการเล็งภาคการเงินอินเดียอย่างเป็นระบบตั้งแต่กรกฎาคม 2568 ตัวอย่างข้อความเช็กอินของมัลแวร์ที่พบลงวันที่ช่วงมกราคม-กุมภาพันธ์ 2569 และหลังรายงานต่อ GitHub บัญชีกับ repository ของผู้โจมตีถูกปิดไปแล้ว ในเคสที่มีการแจ้งความ ผู้เสียหายรวมกันสูญเงินกว่า 30,500 ดอลลาร์สหรัฐ
แบรนด์ที่ถูกสวมรอยมีธนาคาร 11 แห่งกับโครงการรัฐ 2 โครงการ แต่รายงานระบุชื่อในเนื้อหาไม่กี่ราย ได้แก่ ธนาคาร IDFC และ PNB (จาก API path ในมัลแวร์) และโครงการเงินช่วยเหลือเกษตรกร PM-KISAN (จากประเภทข้อมูล pm_kisan_details)
ตัวเลขเหยื่อมาจาก 2 แหล่ง Group-IB นับได้ 2,364 UUID อุปกรณ์ที่ไม่ซ้ำจากการแจ้งเตือนการติดตั้ง 2,805 ครั้ง โดยแยกการติดตั้งซ้ำออกไม่นับเป็นเหยื่อใหม่ และพบอีก 15,596 เครื่องจากฐานข้อมูล Firebase ของผู้โจมตีที่เปิดโล่ง รวมเป็น 17,960 เครื่อง ข้อความที่ถูกดักมีทั้ง OTP การแจ้งเตือนธุรกรรม และข้อความเกี่ยวกับบัญชีอื่น ๆ
Group-IB ยังรวม GhostGrab เข้ากับ GhostBat เวอร์ชันเก่า และติดตามเป็นตระกูลเดียว ก่อนหน้านี้บริษัท Cyble เคยรายงานว่า GhostBat แพร่ผ่านแอปขนส่งปลอม ส่วนบริษัท CYFIRMA เคยอธิบาย GhostGrab ว่าใช้ WebView ธีมธนาคาร ส่งข้อมูลออกผ่าน Firebase ดัก SMS และแอบขุดเหรียญ ด้านบริษัท Seqrite เคยบันทึก d-miner ที่ดาวน์โหลดไลบรารี native เข้ารหัสมาขุด Monero ขณะหน้าจอล็อก
ข้อจำกัดของหลักฐาน คือ Group-IB ระบุชัดว่ายังไม่มีการระบุตัวกลุ่มผู้ก่อเหตุอย่างเป็นทางการ และไม่ระบุภาษาหรือที่ตั้งของผู้ปฏิบัติการ สิ่งที่พบมีเพียงสภาพแวดล้อมการพัฒนา คือ ผู้พัฒนาคอมไพล์ payload บนมือถือแอนดรอยด์ด้วย AIDE, MT Manager, Acode และ Apktool M ส่วนรายงานของ Cyble, CYFIRMA และ Seqrite เป็นบริบทเชิงเทคนิค ไม่ได้ยืนยันอิสระว่ามัลแวร์เหล่านั้นเป็นส่วนหนึ่งของ CyberDakait
วิธีการโจมตี
ล่อด้วยสายโทรปลอมจากธนาคาร — ผู้โจมตีโทร ส่ง SMS หรือข้อความ WhatsApp อ้างว่าเหยื่อถูกเปิดใช้แผน Credit Card Protection Plan และขู่ว่าจะถูกหักเงินราว 5-150 ดอลลาร์สหรัฐ หลายกรณีเกิดภายใน 24 ชั่วโมงหลังเหยื่อได้รับบัตรใหม่ ซึ่งชี้ว่าผู้โจมตีอาจรู้จังหวะการออกบัตร จากนั้นส่งลิงก์ไปเว็บฟิชชิงธีมธนาคารที่บอกว่าการยกเลิกต้องติดตั้งแอปแอนดรอยด์ ไฟล์ APK ถูกวางไว้บน GitHub เพื่ออาศัยชื่อเสียงของแพลตฟอร์มให้ดูน่าเชื่อ
ติดตั้งเป็นขั้น ๆ ด้วยหน้าอัปเดตปลอม — แอปแรกทำหน้าที่เป็น dropper (ตัวปล่อยมัลแวร์ชั้นถัดไป) แสดงหน้าอัปเดต Google Play ปลอมเพื่อให้เหยื่อติดตั้ง payload ตัวที่สอง และขอให้ปิด battery optimization เพื่อให้บริการเบื้องหลังรันต่อได้แม้ Android จะจำกัดการทำงานเบื้องหลัง payload ถูกส่งแบบเข้ารหัส AES/CBC/PKCS5Padding และคงอยู่ด้วย wake lock เล่นเสียงเงียบ และ foreground service
เก็บข้อมูลทีละขั้น — หน้าฟิชชิงค่อย ๆ ขอเลขบัตร วันหมดอายุ CVV รหัสธนาคารออนไลน์ ค่า card grid ข้อมูลตัวตน และรูปถ่าย เมื่อรวมกับ OTP ที่ดักได้ ผู้โจมตีจึงมีข้อมูลครบสำหรับทำธุรกรรมหรือยึดบัญชี
ควบคุมเครื่องและขุดเหรียญ — dropper ดึง RAT และ/หรือโมดูลขุดเหรียญ d-miner ที่ใช้ XMRig และคุมผ่าน Firebase โดย d-miner ขุด Monero เฉพาะตอนหน้าจอล็อก และหยุดเมื่อผู้ใช้ปลดล็อก เพื่อไม่ให้เครื่องช้าหรือร้อนจนผิดสังเกต mining pool ที่ใช้ คือ pool.fud2026[.]com:9000 และ pool-proxy.fud2026[.]com:9000
ความสามารถร่วมของ 7 ตระกูล — ทุกตระกูลดักและส่งต่อ SMS สั่งโอนสาย (call forwarding) และขโมยข้อมูลผ่านหน้าฟิชชิงซ้อน แต่ต่างกันที่ช่องทาง ดังนี้
| ตระกูล | ช่องทางเช็กอิน/สั่งการ | ช่องทางส่ง SMS ออก | จุดเด่น |
|---|---|---|---|
| cyb3rx | Telegram (เช็กอิน) + เซิร์ฟเวอร์ (C2) | บอต Telegram | สั่ง USSD/ส่ง SMS ได้ · api_base_url เปลี่ยนตามธีมธนาคาร · มีแอปแผงควบคุมหลุดบน GitHub |
| appkjl | เซิร์ฟเวอร์ | POST /api/add_sms.php | คำสั่ง scsms, fcall, forwarding |
| godz | Firebase | บอต Telegram | เช็กอินส่งรุ่น/ชื่อ/serial เครื่อง |
| d-passive | Firebase | Firebase | เก็บข้อมูลเครื่องละเอียด รวมสถานะ root และ IP |
| d-shine | เซิร์ฟเวอร์ | POST /message.php | ชุดคำสั่งน้อยที่สุด |
| GhostBat (GhostGrab) | Telegram + Firebase | Firebase | ตระกูลเดียวที่มีคำสั่ง keylogger |
| tenxen | Firebase | Firebase | ใช้ Firebase ล้วน เน้นคำสั่งโอนสาย |
แผงควบคุมที่หลุด — APK แผงควบคุมของ cyb3rx ที่อยู่บน GitHub เผยให้เห็นแดชบอร์ดที่ดึงข้อมูลฟิชชิงตามประเภท (เช่น pm_kisan_details, idfc_banking_flow) ดู SMS และการแจ้งเตือน เปิดปิดการส่งต่อ SMS สั่งโอนสาย ลบเครื่อง และส่ง SMS จากเครื่องเหยื่อได้
ผลกระทบ
ผู้ได้รับผลกระทบคือลูกค้าธนาคารอินเดียที่ใช้แอนดรอยด์ อย่างน้อย 17,960 เครื่อง ความเสียหายมี 2 ชั้น ชั้นแรก คือ การโอนเงินและยึดบัญชีธนาคารจากข้อมูลบัตรกับ OTP ที่ถูกขโมย ชั้นที่สอง คือ การสวมรอยตัวตนในระยะยาว เพราะ PAN และ Aadhaar เป็นเลขที่ใช้ยืนยันตัวตนกับธนาคารและหน่วยงานรัฐ เปลี่ยนไม่ได้ง่ายเหมือนรหัสผ่าน
แคมเปญนี้เป็นอีกตัวอย่างของโทรจันธนาคารแอนดรอยด์ที่เริ่มจากการโทรหลอก ไม่ใช่ช่องโหว่ ลักษณะเดียวกับที่เห็นใน RatHat (2026/09/228 ) จุดที่ต่างคือการผสมการขุดเหรียญเข้าไป ทำให้ผู้โจมตีได้กำไรจากเครื่องเหยื่อต่อแม้จะยังไม่ได้เงินจากบัญชี
คำแนะนำ
- ห้ามติดตั้งแอปตามคำบอกของผู้โทร — ธนาคารไม่ให้ลูกค้าติดตั้ง APK เพื่อยกเลิกบริการ ติดตั้งแอปธนาคารจาก Google Play ของผู้พัฒนาที่ยืนยันแล้วเท่านั้น และวางสายแล้วโทรกลับเบอร์ทางการเอง
- ติดต่อธนาคารทันทีหากเคยติดตั้ง — อายัดบัตร เปลี่ยนรหัสธนาคารออนไลน์จากเครื่องอื่น และแจ้งว่า OTP อาจถูกดัก
- ห้ามบอกเลขบัตร CVV หรือค่า card grid เว้นแต่เป็นธุรกรรมที่เริ่มเองกับปลายทางที่เชื่อถือได้
- ตรวจเครื่องหาร่องรอย — แอปที่มีสิทธิ์ Accessibility Service หรือสิทธิ์อ่าน/ส่ง SMS โดยไม่จำเป็น แอปที่ขอปิด battery optimization หน้าจออัปเดต Google Play ที่ไม่ได้มาจาก Play Store และเครื่องร้อนหรือแบตหมดเร็วผิดปกติขณะล็อกจอ
- เปิด Google Play Protect และปิดการติดตั้งแอปจากแหล่งที่ไม่รู้จักในเบราว์เซอร์หรือแอปแชต
- ฝั่งองค์กรที่มี MDM — บล็อกการ sideload APK บนเครื่องที่เข้าถึงข้อมูลองค์กร และบล็อกโดเมน/IP ในตาราง IoC ด้านล่างที่ proxy หรือ DNS
Indicators of Compromise (IoCs)
หมายเหตุ: โดเมนและ IP ถูก defang แล้ว (เช่น
[.]) เพื่อป้องกันการคลิกโดยไม่ตั้งใจ
| ประเภท | Indicator |
|---|---|
| โดเมนฟิชชิง | 81service[.]icu |
| โดเมนฟิชชิง | 81service[.]in |
| โดเมนฟิชชิง | Imanagec[.]online |
| โดเมนฟิชชิง | applypointguides[.]in |
| IP ของ C2 | 64.89.163[.]3 |
| IP ของ C2 | 78.159.156[.]74 |
| IP ของ C2 | 144.31.244[.]184 |
| IP ของ C2 | 46.151.182[.]28 |
| IP/โครงสร้าง C2 | 64.89.163[.]4 · ws://64.89[.]163.3:8082 |
| โดเมน C2/อัปเดตปลอม | fud2026[.]com · accessor[.]fud2026.com · aptabase[.]fud2026.xyz:8443 · install-update[.]xyz · app2-update2[.]site · update-app[.]online |
| Mining pool | pool.fud2026[.]com:9000 · pool-proxy.fud2026[.]com:9000 |
| โดเมนฟิชชิง (เพิ่มเติม) | cancelcardprotection[.]online · cancelcpservice[.]in · cancelmyservice[.]in · cancelservice[.]in · cardforex[.]icu · cardplan[.]online · cardprotections[.]in · cardsprotection[.]in · cardsprotection[.]online · careidf[.]online · carep[.]online · cpmanaged[.]in · cppmanage[.]in · deactivatecpplan[.]in · deactivatecpservice[.]in |
| โดเมนฟิชชิง (เพิ่มเติม) | hdmanage[.]online · icppuser[.]in · icppuser[.]online · icservice[.]online · icuser[.]online · idcare[.]in · idfcare[.]in · idmanagecp[.]online · idservice[.]in · imobile[.]services · imobilelite[.]in · imobileservices[.]online · indeemanage[.]in · indemanage[.]in · indiuser[.]com · inducare[.]online |
| โดเมนฟิชชิง (เพิ่มเติม) | managebworld[.]com · managecare[.]in · managecare[.]online · managecp[.]co[.]in · managecp[.]com · manageici[.]com · manageinsurances[.]online · manageprotection[.]in · manageprotectionplan[.]in · manageprotections[.]com · myicuser[.]in · myinsuranceservice[.]in · mypnhelp[.]online · mypolicyservice[.]in |
| โดเมนฟิชชิง (เพิ่มเติม) | pmanage[.]online · pncare[.]online · policydeactivate[.]in · protectcc[.]online · protectionmanage[.]online · secureici[.]online · servicecpp[.]in · servicecpp[.]com · serviceic[.]in · serviceic[.]com · serviceici[.]in · serviceidf[.]in · serviceidf[.]online · servicescard[.]online · serviceshelp[.]online |
| GitHub Pages ฟิชชิง | hamzaansari1612-ux[.]github[.]io · rohansingh253641-spec[.]github[.]io · suraj527526-cmyk[.]github[.]io |
| ชื่อแพ็กเกจ (d-passive) | d-passive.ExampleAdmin · d-passive.TradeSignals |
SHA-256 ของ APK (บางส่วน — รายการเต็ม 33 ค่าดูที่รายงาน Group-IB)
| ตระกูล | SHA-256 |
|---|---|
| godz | 9e7cdafcb473d28e134f87d758839265e97b03cf260a186d0e21e1de8aeb7fa8 |
| godz | 1b9052d85e12573b4f64f6a47f64803007b19990def1bc62a865de00149a825e |
| GhostBat | 43b217184f7765c699fd887fe22c07c7656483dc088e0214587a4890b2b6aee6 |
| GhostBat | 34b75b78b6c575c8a9e71f712be9d90aa35a3a04b48839f86282678107f7876d |
| d-passive | 1bfaaa9aed67552a2c368df3f264ef6878a4e7b43468546db77f095517b15b56 |
| d-passive | 04b35b0c199ef8a13d6ac18dfc6df2ea66a8ed5b6e464dc3a7db0839093882bd |
| tenxen | d72335c0cbbcef002274c1a5087702ed4a91d91a79279104aaf111a33984ae5f |
| tenxen | 4a17171155997754ad735b460be67e344c5939d9cff498ce1d95bf554b93fc1b |
| d-shine | 3b6c2dcba751d1ea05b83fd609e13423dff575705920a1c835ff0d5f92403ffc |
| appkjl | 555e0506979e0b26e4318c0f7dfff0e3dc5c81bb7e3925f2cadd1bdeb843570f |
| cyb3rx | 0ad853b29a7b3677488018061b109bba59b1a518c8f33b48de31ec532be69856 |
| cyb3rx | 1e60421e83a317cfbfce980fefa926a847964bcc7b047908db65161148d0f624 |
| cyb3rx | 2fbde057c22b6cb517116d6c797c3474de2f4d3bda09037a9f043a6ad843982f |