Banking-Trojan

Group-IB เปิดโปง CyberDakait แคมเปญมัลแวร์แอนดรอยด์ที่เล็งลูกค้าธนาคารอินเดียตั้งแต่ ก.ค. 2568 พบเครื่องถูกยึดอย่างน้อย 17,960 เครื่องและ SMS ถูกดัก 7,611,443 ข้อความ ผู้โจมตีโทรแอบอ้างเป็นธนาคารให้ยกเลิกแผนคุ้มครองบัตรเครดิต แล้วพาไปติดตั้ง APK จาก GitHub ที่ขโมยข้อมูลบัตร รหัส OTP และแอบขุด Monero มัลแวร์ 7 ตระกูลสวมรอยธนาคาร 11 แห่งกับโครงการรัฐ 2 โครงการ และเก็บข้อมูล PAN กับ Aadhaar ด้วย ผู้ใช้ควรติดตั้งแอปธนาคารจากช่องทางทางการเท่านั้นและตรวจแอปที่ขอสิทธิ์ SMS

ThreatFabric พบ Hirudo โทรจันธนาคารแอนดรอยด์ที่ถอนแอปธนาคารของจริงออกแล้วติดตั้งฉบับดัดแปลงชื่อและเวอร์ชันเดียวกันแทน แอปปลอมฝังเอนจิน hook ที่ส่งใบรับรองของธนาคารจริงกลับ ซ่อนบริการ Accessibility ของมัลแวร์ ปิด FLAG_SECURE และส่งต่อคำขอ Play Integrity ให้เซิร์ฟเวอร์ผู้โจมตีตอบ มัลแวร์เตรียมแอปปลอมไว้ 8 แอปของธนาคารอินโดนีเซีย 7 แห่ง และโค้ดมีเป้าขโมยรหัสในจีน อินเดีย เม็กซิโก โมร็อกโก และไทย Hirudo ยังดูหน้าจอสดและเปิดกล้องของเหยื่อได้

บริษัท ThreatFabric เปิดเผยโทรจันธนาคารแอนดรอยด์ตัวใหม่ชื่อ Hirudo ที่ถอนแอปธนาคารของจริงแล้วติดตั้งแอปที่ถูกดัดแปลงแทน แอปปลอมฝัง hooking engine หลอกการตรวจลายเซ็น การตรวจ accessibility การบันทึกหน้าจอ และ Play Integrity จากภายในแอป พบแอปแทนที่สำหรับธนาคารอินโดนีเซีย 8 แอป ส่วนการขโมยข้อมูลล็อกอินครอบคลุมอินโดนีเซีย จีน อินเดีย เม็กซิโก โมร็อกโก และไทย มัลแวร์แพร่ผ่านแอปช้อปปิ้ง ดูวิดีโอ และละครสั้นที่โฆษณาบนแพลตฟอร์มของ Meta

บริษัท Google ประกาศว่าใน Android 17 เมื่อเปิดโหมด Advanced Protection ระบบจะจำกัดสิทธิ์ AccessibilityService ให้เฉพาะแอปที่ผ่านการรับรองในหมวด Accessibility Tools เท่านั้น API นี้เป็นช่องทางหลักที่โทรจันธนาคารและสปายแวร์ใช้อ่านหน้าจอ ดักการพิมพ์ ครอบหน้าล็อกอินปลอม และสั่งโอนเงินแทนผู้ใช้ Android 17 ยังเพิ่ม Intrusion Logging สำหรับงานพิสูจน์หลักฐาน การป้องกันผ่าน USB การปิด WebGPU และการล็อกเครื่องเมื่อยืนยันตัวตนผิดซ้ำ ฟีเจอร์ทั้งหมดทำงานเฉพาะผู้ที่เปิด Advanced Protection

บริษัท Cleafy เปิดโปงคอนโซลควบคุมเบื้องหลังมัลแวร์ธนาคารบนแอนดรอยด์ RatHat ที่ทำงานแบบ malware-as-a-service พบใช้งานเกือบ 100 ชุดตั้งแต่เมษายน 2026 คอนโซลรุ่นล่าสุดสั่ง Gemini ประเมินยอดเงินในบัญชีของเหยื่อจากข้อความ แล้วจัดกลุ่มเป็นเหยื่อมูลค่าสูงและปานกลางเพื่อเลือกเป้าที่คุ้มค่า คอนโซลยังเป็นเครื่องมือ build ที่สร้างและเซ็นแอปมุ่งร้าย เผยแพร่ขึ้น Amazon S3 อัตโนมัติ และ rebuild ใหม่ตามเวลาเพื่อหลบการตรวจด้วย hash ต่อยอดจากรายงานของ Zimperium ที่เปิดโปงฝั่งมัลแวร์ในเครื่องก่อนหน้านี้

บริษัท Group-IB เปิดโปง RemControl โทรจันธนาคารบนแอนดรอยด์ที่ซ่อนหลังหน้าดาวน์โหลดแอปดูทีวีปลอมเลียนแบบ Google Play เมื่อเหยื่อเปิดแอปธนาคาร มัลแวร์จะครอบหน้าจอปลอมทับเพื่อหลอกเอา PIN รหัสธนาคารและวันหมดอายุบัตร พบหน้าฟิชชิงตรงกับสถาบันการเงินกว่า 30 แห่งในยุโรป ตะวันออกกลางและแคนาดา จุดเด่นคือหลักฐานว่ามีการใช้ผู้ช่วย AI ช่วยพัฒนาแพลตฟอร์มอาชญากรรมภายใต้คำอธิบายที่บิดเบือน

Group-IB เปิดเผยเทคนิคใหม่ของกลุ่ม GoldFactory ที่ใช้ฟีเจอร์ Work Profile ของแอนดรอยด์โคลนแอปธนาคารของเหยื่อไปไว้ในโปรไฟล์แยกที่สัญญาณตรวจจับมัลแวร์ตามไปไม่ถึง นักวิจัยพบอุปกรณ์ที่ถูกเจาะราว 1,469 เครื่องและการล็อกอินที่อาจถูกบุกรุก 1,281 ครั้งในอินโดนีเซียระหว่างเดือนกุมภาพันธ์ถึงกรกฎาคม คิดเป็นความเสียหายประมาณ 1 ล้านดอลลาร์ เครื่องมือหลักคือโทรจันธนาคาร Gigabud ที่ติดตั้งแอปโคลนชื่อ Vwork ตามมาภายในไม่กี่นาที ตัวอย่างมัลแวร์ที่รองรับ Vwork ยังเล็งเป้าไทย ลาว และฟิลิปปินส์ด้วย

นักวิจัยของบริษัท Group-IB เปิดเผยเฟรมเวิร์กมัลแวร์ภาษา Python บนวินโดวส์ชื่อ BraZetsu ที่กลุ่ม Exilware ใช้ป้อนสินค้าให้ตลาดมืด Infected Marketplace ซึ่งขายสิทธิ์เข้าถึงเครื่องที่ถูกเจาะโดยเริ่มฝากเงินราว 5.80 ดอลลาร์ จุดต่างจากอินโฟสตีลเลอร์ทั่วไปคือมัลแวร์ใช้ AI ประเมินมูลค่าเชิงพาณิชย์ของเครื่องเพื่อจัดหมวดและตั้งราคาโดยอัตโนมัติ อีกทั้งยังค้นไฟล์โอนเงินรูปแบบ CNAB ของบราซิลและประวัติเบราว์เซอร์ ผู้ซื้อสามารถสั่งรันมัลแวร์ของตัวเองบนเครื่องที่ซื้อได้ทันที

บริษัท ThreatFabric เปิดเผยรายละเอียดโทรจันธนาคารบนแอนดรอยด์ตัวใหม่ชื่อ StreamRat ที่ถูกโปรโมตผ่านโฆษณาแอปดูทีวีปลอมบนแพลตฟอร์มของ Meta โดยเจาะกลุ่มผู้ใช้ที่พูดภาษาสเปนและเข้าถึงบัญชีในสหภาพยุโรปราว 570,950 บัญชี ตัวติดตั้งขอเป็นแอปหน้าโฮมและขอเปิด VPN ที่ตัดเน็ตของแอปอื่นระหว่างติดตั้งเพื่อลดโอกาสถูกตรวจสอบ เมื่อเหยื่อให้สิทธิ์ Accessibility ผู้ควบคุมจะดักแป้นพิมพ์ ซ้อนหน้าจอขโมยรหัส และสั่งงานเครื่องจากระยะไกลได้

หน่วยวิจัยภัยคุกคามของบริษัท Acronis เตือนว่าโทรจันธนาคาร Grandoreiro ยังเคลื่อนไหวต่อเนื่องและแคมเปญล่าสุดเทน้ำหนักการโจมตีไปที่ประเทศเม็กซิโก ตัวอย่างรุ่นใหม่อาศัยการโหลด DLL ผ่านโปรแกรมหาไฟล์ซ้ำที่ถูกกฎหมายเพื่อให้โค้ดอันตรายทำงานกลมกลืนกับซอฟต์แวร์ปกติ พร้อมชุดตรวจจับสภาพแวดล้อมวิเคราะห์ที่ทำงานก่อนติดต่อเซิร์ฟเวอร์สั่งการ รายงานฉบับเดียวกันยังกล่าวถึงมัลแวร์แอนดรอยด์ Manic และ ToxicPanda 2.0 ที่เว็บไซต์เคยรายงานไปแล้ว