Android

Group-IB เปิดเผยเทคนิคใหม่ของกลุ่ม GoldFactory ที่ใช้ฟีเจอร์ Work Profile ของแอนดรอยด์โคลนแอปธนาคารของเหยื่อไปไว้ในโปรไฟล์แยกที่สัญญาณตรวจจับมัลแวร์ตามไปไม่ถึง นักวิจัยพบอุปกรณ์ที่ถูกเจาะราว 1,469 เครื่องและการล็อกอินที่อาจถูกบุกรุก 1,281 ครั้งในอินโดนีเซียระหว่างเดือนกุมภาพันธ์ถึงกรกฎาคม คิดเป็นความเสียหายประมาณ 1 ล้านดอลลาร์ เครื่องมือหลักคือโทรจันธนาคาร Gigabud ที่ติดตั้งแอปโคลนชื่อ Vwork ตามมาภายในไม่กี่นาที ตัวอย่างมัลแวร์ที่รองรับ Vwork ยังเล็งเป้าไทย ลาว และฟิลิปปินส์ด้วย

บริษัท Bitdefender พบว่าคนร้ายใช้โครงการ Early Access ของ Google Play ปล่อยแอปหลอกลวงนับพันตัว ทั้งเกมคาสิโนปลอม แอปแจกรางวัล และแอปอรรถประโยชน์ที่ละเมิดเครื่องหมายการค้า จุดสำคัญคือแอปในโครงการนี้ผู้ใช้ให้ดาวหรือเขียนรีวิวสาธารณะไม่ได้ สัญญาณเตือนแรกสุดจึงหายไปทั้งหมด ตัวอย่างที่พบคือเกมเลียนแบบ Grand Theft Auto ที่มียอดดาวน์โหลดเกิน 1 ล้านครั้งโดยไม่มีรีวิวสักรายการ และแอปเหล่านี้ถูกโปรโมตผ่าน TikTok และ Facebook ด้วยโฆษณาที่ใช้ดีปเฟกคนดัง

บริษัทด้านความปลอดภัย Calif สร้างเวิร์มที่ยึดบัญชี WeChat ได้ด้วยสายเรียกเข้าเพียงสายเดียว โดยเป้าหมายไม่ต้องกดรับหรือแตะเครื่องเลย เงื่อนไขเดียวคือผู้โทรต้องอยู่ในรายชื่อผู้ติดต่อของเหยื่อก่อน ซึ่งทำให้บัญชีที่ถูกยึดแล้วกลายเป็นฐานแพร่ต่อไปยังผู้ติดต่อรายอื่นได้เอง นักวิจัยแจ้ง Tencent เมื่อเดือนกรกฎาคมและระบุว่าบริษัทปิดกั้นการโจมตีนี้ให้ผู้ใช้ทุกคนแล้ว แต่ยังไม่มีหมายเลข CVE ไม่มีประกาศจาก Tencent และยังไม่มีการเปิดเผยว่าเวอร์ชันใดได้รับผลกระทบบ้าง

บริษัท ThreatFabric เปิดเผยรายละเอียดโทรจันธนาคารบนแอนดรอยด์ตัวใหม่ชื่อ StreamRat ที่ถูกโปรโมตผ่านโฆษณาแอปดูทีวีปลอมบนแพลตฟอร์มของ Meta โดยเจาะกลุ่มผู้ใช้ที่พูดภาษาสเปนและเข้าถึงบัญชีในสหภาพยุโรปราว 570,950 บัญชี ตัวติดตั้งขอเป็นแอปหน้าโฮมและขอเปิด VPN ที่ตัดเน็ตของแอปอื่นระหว่างติดตั้งเพื่อลดโอกาสถูกตรวจสอบ เมื่อเหยื่อให้สิทธิ์ Accessibility ผู้ควบคุมจะดักแป้นพิมพ์ ซ้อนหน้าจอขโมยรหัส และสั่งงานเครื่องจากระยะไกลได้

บริษัท ThreatFabric เปิดเผยมัลแวร์แอนดรอยด์ตัวใหม่ชื่อ Manic ที่ผสมความสามารถของโทรจันธนาคารเข้ากับสปายแวร์ เฝ้าติดตามแอปเป้าหมาย 169 รายการทั้งธนาคาร กระเป๋าคริปโท แอปยืนยันตัวตนของรัฐ และแอปสื่อสารสายทหาร จุดที่ไม่เคยพบมาก่อนคือกลไกส่งต่อข้อมูลแบบ mesh ที่ให้เครื่องติดเชื้อซึ่งไม่มีอินเทอร์เน็ตฝากข้อมูลผ่านเครื่องติดเชื้ออีกเครื่องที่อยู่ใกล้กันผ่าน Wi-Fi Direct บลูทูท หรือ BLE ต่อได้สูงสุดสี่ทอด เท่ากับการตัดเน็ตไม่ได้หยุดการรั่วไหลของข้อมูลอีกต่อไป

บริษัท Zimperium เปิดเผยว่า ToxicPanda เวอร์ชัน 2.0 เพิ่มคำสั่งควบคุมระยะไกลเป็น 167 รายการ และขยายเป้าจาก 16 แอปธนาคารเป็น 349 สถาบันการเงินใน 16 ประเทศ มัลแวร์เพิ่มกลไกดูดรหัส PIN จากแอปธนาคารและคริปโตกว่า 140 ตัว พร้อมสั่งเปิด Wireless debugging ผ่าน ADB โดยอัตโนมัติเพื่อยกระดับสิทธิ์ ขณะที่ IBM Trusteer รายงานแคมเปญ GoldDigger ที่ปลอมเป็นแอปสายการบินและร้านค้าจนระบาดหนักในแอฟริกาใต้และอังกฤษ ทั้งสองตระกูลอาศัย accessibility service ทำธุรกรรมฉ้อโกงจากเครื่องของเหยื่อโดยตรง

นักวิจัยจาก SSD Secure Disclosure เผยแพร่ห่วงโซ่การโจมตีสองขั้นที่ยึดสิทธิ์ระดับเคอร์เนลของ Android ได้เต็มรูปแบบผ่านสายวิดีโอ VoLTE บนอุปกรณ์ที่ใช้เฟิร์มแวร์โมเด็มของ Unisoc ต้นเหตุคือหน่วยความจำกายภาพที่โปรเซสเซอร์โมเด็มกับโปรเซสเซอร์แอปพลิเคชันใช้ร่วมกันโดยไม่มีเส้นแบ่งระดับฮาร์ดแวร์ ยืนยันแล้วบน Motorola E13 และ Xiaomi Redmi A5 ที่ติดตั้งแพตช์แล้ว นักวิจัยระบุว่าติดต่อผู้ผลิตหลายช่องทางแต่ไม่ได้รับการตอบกลับ และยังไม่มีเลข CVE หรือแพตช์ใด ๆ

Unit 42 ของบริษัท Palo Alto Networks พบบ็อตเน็ต Kimwolf/AISURU เวอร์ชันใหม่ที่เพิ่มการยิง DDoS แบบ HTTP/2 พร้อมสร้างลายนิ้วมือเบราว์เซอร์ครบชุด ทำให้ทราฟฟิกโจมตีแยกจากการท่องเว็บจริงได้ยาก เวอร์ชันนี้ยังย้ายที่อยู่เซิร์ฟเวอร์สั่งการไปผูกกับชื่อโดเมน ENS บนอีเทอเรียม พร้อมสำรองด้วยบริการซ่อนตัวบน Tor และตัดโมดูลสแกนกับเจาะช่องโหว่ออกทั้งหมด ช่องทางแพร่กระจายหลักยังคงเป็นพอร์ต ADB 5555 ที่เปิดทิ้งไว้บนกล่องแอนดรอยด์ทีวี

นักวิจัยพบโหลดเดอร์ประสงค์ร้ายหลายตัวที่โฮสต์อยู่บน Google Play โดยตรง ทำหน้าที่ปูทางให้มัลแวร์ธนาคารบนแอนดรอยด์ชื่อ Anatsa แอปที่ดูมีประโยชน์อย่างโปรแกรมอ่าน PDF จะแสดงหน้าต่างอัปเดตปลอมหลังเปิดใช้งาน แล้วใช้การอัปเดตนั้นเป็นเส้นทางติดตั้งมัลแวร์ตัวจริง ตัวอย่างที่ชื่อ Cleanova ส่งข้อมูลที่เก็บจาก SDK ไปยังเซิร์ฟเวอร์สั่งการเพื่อคัดกรองว่าจะส่งเพย์โหลดกลับมาหรือไม่ ทำให้การตรวจคัดกรองของร้านแอปทำได้ยากขึ้น

นักวิเคราะห์ของบริษัท Picus Security เปิดเผยปฏิบัติการล่าสุดของกลุ่มจารกรรม Patchwork หรือ Dropping Elephant ที่สร้างเส้นทางโจมตีแยกกันสองสายสำหรับ Windows และ Android ฝั่ง Windows เริ่มจากไฟล์ทางลัดชื่อ GRES3001.lnk ที่ทำให้ดูเหมือนเอกสาร PDF สัญญาพลังงาน เมื่อเปิดจะเรียก PowerShell แอบดาวน์โหลดส่วนประกอบเพิ่ม พร้อมตั้งงานตามเวลาชื่อ GoogleErrorReport ส่วนฝั่ง Android ใช้บทสนทนาแนวชู้สาวหลอกให้ย้ายไปติดตั้งแอปแชตที่ถูกฝังโค้ด ซึ่งบันทึกเสียงรอบตัวและสายสนทนาได้