Group-IB พบโทรจันธนาคาร Mirax บนแอนดรอยด์ล่อผ่านแอปสตรีมมิงคุณภาพต่ำ — ยึดมือถือทางไกลแล้วโอนเงินจากแอปธนาคารจริงของเหยื่อ ติดเชื้อหลายพันเครื่อง

สรุปสั้น

Mirax คือ โทรจันธนาคารบนแอนดรอยด์แบบให้เช่า ที่ผู้พัฒนาใช้ชื่อ MiraxBot โฆษณาขายในฟอรัมอาชญากรรมภาษารัสเซียตั้งแต่ธันวาคม 2568 และให้เฉพาะพันธมิตรที่ผ่านการคัดเลือก บริษัท Group-IB เผยแพร่ผลสืบสวนเมื่อ 5 พฤศจิกายน 2569 ว่าแคมเปญที่ใช้ Mirax ยังดำเนินอยู่ ผู้โจมตีล่อเหยื่อผ่านแอปสตรีมมิงคุณภาพต่ำบน Google Play ที่มีโฆษณาและลิงก์วิดีโอพาไปดาวน์โหลดตัวติดตั้งจากนอกสโตร์ เมื่อติดตั้งแล้ว Mirax ปลอมเป็น Google Play Services และเร่งให้ผู้ใช้เปิดสิทธิ์ Accessibility ซึ่งเป็นสิทธิ์ที่ให้แอปอ่านหน้าจอและกดแทนผู้ใช้ได้

จุดที่ทำให้ Mirax อันตรายกว่าโทรจันทั่วไป คือ ผู้โจมตีไม่ได้แค่ขโมยรหัสผ่านไปใช้ทีหลัง แต่เปิดแอปธนาคารตัวจริงบนมือถือของเหยื่อแล้วโอนเงินเอง ธุรกรรมจึงมาจากเครื่องและเซสชันจริงของลูกค้า ทำให้ระบบตรวจความน่าเชื่อถือของอุปกรณ์ของธนาคารจับได้ยาก Group-IB ยืนยันการติดเชื้อหลายพันเครื่องในลูกค้าธนาคารย่านตะวันออกกลาง ตุรกี และแอฟริกา (META) ความเสียหายประเมินระดับหลายล้านดอลลาร์ ผู้ใช้ควรปฏิเสธคำขอสิทธิ์ Accessibility จากแอปบันเทิงทุกกรณี

รายละเอียดข่าว

เว็บไซต์ GBHackers รายงานเมื่อวันที่ 6 พฤศจิกายน 2569 โดยอ้างรายงานของ Group-IB ว่านักวิจัยโยงการติดเชื้อเข้าด้วยกันจากแท็กแคมเปญ aquafina และ aquafina_all ที่ฝังในตัวอย่างมัลแวร์หลายตัวที่ติดต่อเซิร์ฟเวอร์สั่งการ (C2) หลายเครื่อง คำตอบจากเซิร์ฟเวอร์เผยว่าค่าตั้งเป้าหมายครอบคลุมแอปธนาคารและกระเป๋าเงินในภูมิภาคกว่า 20 แอป รวมถึงกระดานเทรดคริปโต การติดเชื้อพุ่งสูงช่วงเทศกาลอีดและปลายเดือนกรกฎาคม ตัวล่อที่ยืนยันได้ตัวหนึ่ง คือ แอปชื่อ “TikTok 18+” ซึ่งเป็นแอปผู้ใหญ่ที่ไม่เกี่ยวกับ TikTok

นักวิจัยพบการโอนเงินข้ามประเทศไปยังบัญชีที่สงสัยว่าเป็นบัญชีม้า รวมถึงบัญชีในอินเดีย และยังตามรอยต่อ ข้อจำกัดของหลักฐาน คือ Group-IB ไม่ได้ยืนยันว่าตัว Mirax เองเผยแพร่ผ่าน Google Play โดยตรง หลักฐานชี้เพียงว่าแอปสตรีมมิงบนสโตร์พาผู้ใช้ไปดาวน์โหลด dropper จากภายนอก และตัวเลขความเสียหายที่ยืนยันได้เป็นเพียงส่วนหนึ่งของผลกระทบทั้งหมด

วิธีการโจมตี

ล่อจากแอปสตรีมมิงไปยังไฟล์นอกสโตร์ — แอปสตรีมมิงที่มีชื่อเสียงต่ำบน Google Play ใส่โฆษณาและลิงก์วิดีโอที่พาผู้ใช้ไปดาวน์โหลด dropper ภายนอก วิธีนี้เลี่ยงการตรวจของ Google Play เพราะมัลแวร์ตัวจริงไม่ได้อยู่บนสโตร์

ปลอมเป็นบริการของระบบ แล้วขอสิทธิ์ควบคุมเครื่อง — เพย์โหลดปลอมชื่อเป็น Google Play Services โดยสลับตัวอักษรละตินหนึ่งตัวเป็นตัวซีริลลิกที่หน้าตาเหมือนกัน แล้วกดดันให้ผู้ใช้เปิดสิทธิ์ Accessibility เมื่อได้สิทธิ์ Mirax ใช้ keylogger ดัก SMS และการแจ้งเตือน แสดงหน้าล็อกอินปลอมทับแอปจริง (overlay) และแชร์หน้าจอ เพื่อเก็บรหัสผ่านและรหัสยืนยัน มันยังขโมยรหัสปลดล็อกหน้าจอแล้วใช้ปลดล็อกเครื่องเองตอนเจ้าของไม่อยู่

โอนเงินจากเครื่องของเหยื่อเอง — ผู้โจมตีเปิดแอปธนาคารตัวจริงแล้วทำธุรกรรมจากระยะไกล ธนาคารเห็นว่าคำสั่งมาจากอุปกรณ์และเซสชันที่ลูกค้าใช้ประจำ การตรวจแบบดูว่าเป็นเครื่องเดิมหรือไม่จึงไม่ช่วย

แยกความสามารถออกจากเป้าหมาย — หน้า overlay และรายชื่อแอปเป้าหมายถูกส่งมาหลังติดตั้ง ตัวอย่างไฟล์เดียวกันจึงเล็งธนาคารต่างกันได้โดยไม่ต้องออก APK ใหม่ การวิเคราะห์ไฟล์อย่างเดียวจึงบอกเป้าหมายได้ไม่ครบ

ซ่อนตัวและเปลี่ยนมือถือเป็นพร็อกซี — Mirax คุยกับ C2 ผ่าน WebSocket 2 ช่อง แยกคำสั่งกับข้อมูลที่ขโมย ใช้ DNS-over-HTTPS เป็นค่าเริ่มต้นจนล็อก DNS ของผู้ให้บริการมองไม่เห็น สุ่มชื่อแพ็กเกจ ซ่อนไอคอน กันการถอนติดตั้ง และแสดงหน้าจอ “กำลังอัปเดต” ปลอมระหว่างทำงาน โมดูล SOCKS5 ที่เพิ่มเมื่อกุมภาพันธ์ 2569 ยังเปลี่ยนมือถือที่ติดเชื้อเป็นพร็อกซีที่อยู่อาศัยให้คนอื่นเช่าใช้

ผลกระทบ

ผู้ที่โดนโดยตรง คือ ลูกค้าธนาคารรายย่อยในย่าน META หลายพันราย ที่เงินในบัญชีถูกโอนออกโดยตรง และอาจเสียรหัสปลดล็อกเครื่องกับข้อมูลแอปกระเป๋าเงินคริปโตด้วย ส่วนธนาคารเจอปัญหาที่ใหญ่กว่า เพราะธุรกรรมที่ผู้โจมตีทำดูเหมือนลูกค้าทำเองทุกอย่าง ทั้งเครื่อง เซสชัน และรหัสยืนยัน ซึ่งทำให้การปฏิเสธความรับผิดชอบและการคืนเงินซับซ้อนขึ้น

การที่ Mirax ขายแบบให้เช่า มีตัวสร้างมัลแวร์และแผงจัดการ บอกว่าแคมเปญลักษณะนี้ทำซ้ำได้ในภูมิภาคอื่นเพียงเปลี่ยนค่าตั้งเป้าหมาย นอกจากนี้มือถือที่ติดเชื้อยังถูกใช้เป็นพร็อกซีให้ผู้โจมตีรายอื่นซ่อนตัว เจ้าของเครื่องจึงอาจกลายเป็นทางผ่านของอาชญากรรมอื่นโดยไม่รู้ตัว

คำแนะนำ

• ผู้ใช้มือถือ — ทำทันที: ปฏิเสธคำขอสิทธิ์ Accessibility จากแอปบันเทิง แอปสตรีมมิง หรือแอปที่อ้างว่าเป็นบริการของระบบ เพราะแอปจริงอย่าง Google Play Services ไม่ขอสิทธิ์นี้แบบนั้น
• ผู้ใช้มือถือ: อย่าติดตั้งไฟล์ APK ที่มาจากโฆษณาหรือลิงก์ในแอปอื่น และปิดการติดตั้งแอปจากแหล่งที่ไม่รู้จัก
• ผู้ใช้มือถือ — ตรวจว่าโดนแล้วหรือยัง: เปิดการตั้งค่า Accessibility ดูว่ามีแอปที่ไม่รู้จักหรือแอปชื่อซ้ำกับบริการระบบได้สิทธิ์หรือไม่
• ถ้าสงสัยว่าติด: ติดต่อธนาคารให้ระงับธุรกรรมทันที แล้วล้างเครื่องและเปลี่ยนรหัสธนาคารกับรหัสปลดล็อกจากอุปกรณ์อื่น
• ธนาคาร: นำสัญญาณการควบคุมทางไกล การแชร์หน้าจอ และการใช้ Accessibility ระหว่างเซสชันมาประกอบการตัดสินธุรกรรม แล้วพักธุรกรรมที่น่าสงสัยไว้ยืนยันกับลูกค้า
• ทีม SOC/ธนาคาร: นำค่า hash และชื่อแพ็กเกจในตาราง IoCs ไปค้นหาในระบบตรวจจับภัยบนมือถือ

Indicators of Compromise (IoCs)

ชื่อแพ็กเกจและค่า SHA-1 ของตัวอย่าง Mirax ตามที่ต้นฉบับเผยแพร่ (Group-IB ให้รายการเพิ่มเติมในรายงานเต็ม)

แหล่งอ้างอิง

• Hackers Use Fake Streaming Apps to Spread Mirax Android Malware and Steal Bank Accounts — GBHackers
• Mirax: Android device takeover RAT — Group-IB