แพลตฟอร์ม Phishing-as-a-Service (PhaaS) ที่เพิ่งถูกค้นพบ ชื่อว่า AnonyMousKIT สามารถขโมย Code ที่ใช้ปลดล็อกอุปกรณ์ Apple ที่ถูกขโมย และปิดฟีเจอร์ Activation Lock ได้โดยอัตโนมัติ
บริการดังกล่าวเปิดให้ใช้งานมาตั้งแต่ช่วงต้นปี 2024 และกำลังขับเคลื่อน Ecosystem ที่มีโครงสร้างสำหรับซื้อขาย iPhone ที่ถูกขโมย, ขโมย Apple ID, เข้าถึงข้อมูลสำรองบน iCloud และ Credential ที่จัดเก็บอยู่ใน Keychain
นักวิจัยจากแพลตฟอร์ม Threat Intelligence อย่าง SOCRadar อาศัยช่องโหว่จากการที่ผู้ให้บริการใช้ Bare Relative Path เพื่อรวบรวมข้อมูลเกี่ยวกับวิธีการทำงานของบริการ, operators และ Infrastructure ที่เกี่ยวข้อง
SOCRadar พบว่า AnonyMousKIT เชื่อมโยงกับ Domain จำนวน 506 แห่ง และเป็นส่วนหนึ่งของธุรกิจขนาดใหญ่ที่มี Storefront Brand จำนวน 168 แบรนด์ ทำหน้าที่เป็น Reseller
นักวิจัยสามารถกู้คืนบันทึกการโทรที่เกิดขึ้นกับเหยื่อจำนวน 200 สาย ระหว่างเดือนสิงหาคม 2025 ถึงพฤษภาคม 2026 โดยใช้ Transcript ของการโต้ตอบที่แตกต่างกัน 55 รูปแบบ ซึ่งดำเนินการโดย Voice AI Agent ภายใต้ Persona จำนวน 5 รูปแบบ
SOCRadar ระบุว่า การโทรแต่ละครั้งมีต้นทุนสำหรับผู้ดำเนินการประมาณ 0.10 ดอลลาร์สหรัฐ และประมาณ 90% ของสายโทรศัพท์ทั้งหมดถูกโทรไปยังเหยื่อในบราซิล
การขโมย Code สำหรับปลดล็อกอุปกรณ์
ฟีเจอร์ Activation Lock ของ Apple จะเปิดใช้งานโดยอัตโนมัติเมื่อเปิดใช้บริการติดตาม Find My และจะเชื่อมโยงอุปกรณ์ iPhone เข้ากับ Apple Account ของเจ้าของ
แม้ iPhone ที่ถูกขโมยจะถูก Factory Reset แล้ว แต่อุปกรณ์ก็ยังคงเชื่อมโยงกับ Account ของเจ้าของเดิม และจำเป็นต้องใช้ Authorization Code ที่ถูกต้องระหว่างการตั้งค่าอุปกรณ์ครั้งแรก จึงจะสามารถนำกลับมาใช้งานได้
ด้วยระบบป้องกันดังกล่าว iPhone ที่ถูกขโมยจำนวนมากจึงถูกนำไปขายเป็นอะไหล่ อย่างไรก็ตาม หากสามารถปลดล็อกอุปกรณ์ได้ มูลค่าของเครื่องจะเพิ่มขึ้นอย่างมาก โดยเฉพาะในกรณีที่สามารถกู้คืนข้อมูลสำคัญของเจ้าของเครื่องได้ด้วย
AnonyMousKIT สามารถดึงข้อมูลของอุปกรณ์ที่ถูกขโมย เช่น ข้อมูลติดต่อของเจ้าของที่ระบุไว้ผ่านฟีเจอร์ Lost Mode จากนั้นนำข้อมูลดังกล่าวมาใช้ติดต่อเจ้าของผ่าน Email, SMS, WhatsApp หรือการโทรศัพท์
ข้อความ Phishing จะปลอมแปลงเป็น Apple และอ้างว่าอุปกรณ์ที่สูญหายถูกค้นพบแล้ว พร้อมระบุรายละเอียด Model และ IMEI ที่ถูกต้อง เพื่อทำให้ Email ดูน่าเชื่อถือ
จากนั้น Email จะนำเหยื่อไปยังหน้า Find My หรือ Apple ปลอม ซึ่งระบบจะขอให้เหยื่อกรอก Device Passcode, Apple Account Credential และ Code สำหรับ Two-Factor Authentication
ในบางกรณีที่ SOCRadar ตรวจสอบพบ Voice AI Agent ซึ่งใช้ Persona ในชื่อ “Alice from Apple Support” จะแจ้งเหยื่อว่ามีบุคคลที่พยายามปลดล็อกโทรศัพท์ และได้นำอุปกรณ์ไปที่ Apple Store ก่อนที่ทางร้านจะเก็บอุปกรณ์ดังกล่าวไว้
จากนั้น AI Agent จะขอให้เหยื่อยืนยันความเป็นเจ้าของด้วยการบอก Passcode ให้กับ AI Agent ทางโทรศัพท์ ก่อนจะนำเหยื่อไปยังหน้า Phishing
เมื่อ Threat Actor ได้ Code เหล่านี้แล้ว พวกเขาสามารถเข้าถึงข้อมูลส่วนตัวของเหยื่อ, Factory Reset อุปกรณ์ และนำอุปกรณ์ออกจากแอป Find My ก่อนนำไปขายต่อ
SOCRadar เตือนว่า Apple ID ที่ถูก Compromise อาจทำให้ผู้โจมตีสามารถเข้าถึงข้อมูลสำรองบน iCloud, Password ใน Keychain, Email สำหรับการทำงาน และข้อมูล Corporate อื่น ๆ ที่จัดเก็บอยู่บนอุปกรณ์ Apple ส่วนตัวหรืออุปกรณ์ที่องค์กรเป็นผู้จัดหาให้
นักวิจัยพบว่า Email จากแพลตฟอร์มดังกล่าวมีส่วนน้อยที่ถูกส่งไปยังหน่วยงานภาครัฐ และองค์กรภาคธุรกิจ
SOCRadar รายงานว่า Campaign ที่ขับเคลื่อนโดย AnonyMousKIT มีเป้าหมายในหลายประเทศทั่วโลก แต่พบการกระจุกตัวมากกว่าใน แอฟริกาใต้, อินโดนีเซีย, อิตาลี, อินเดีย, เคนยา และบราซิล
ที่มา : bleepingcomputer
You must be logged in to post a comment.