การอัปเดตความปลอดภัยของ Android ประจำเดือนกุมภาพันธ์ 2025 ได้แก้ไขช่องโหว่ 48 รายการ รวมถึงช่องโหว่ Zero-day ใน Kernel ที่กำลังถูกใช้ในการโจมตี

(more…)

หลังจากโปรแกรมเมอร์ชาวรัสเซียถูกควบคุมตัวโดย Federal Security Service (FSB) ของรัสเซียเป็นเวลา 15 วัน และโทรศัพท์ของเขาถูกยึดไป เมื่อโทรศัพท์ถูกส่งคืน พบว่าได้มีการติดตั้งสปายแวร์ตัวใหม่ลงในอุปกรณ์ของเขาอย่างลับ ๆ (more…)

พบแอปพลิเคชันของมัลแวร์ SpyLoan ชุดใหม่จำนวน 15 แอปพลิเคชันบน Google Play โดยมียอดดาวน์โหลดไปแล้วกว่า 8 ล้านครั้ง ซึ่งมุ่งเป้าหมายไปที่ผู้ใช้งานในภูมิภาคอเมริกาใต้, เอเชียตะวันออกเฉียงใต้ และแอฟริกาเป็นหลัก (more…)

Google ได้เพิ่มฟีเจอร์ใหม่เพื่อป้องกันการหลอกลวงโดยการใช้ AI ที่คอยตรวจสอบบทสนทนาทางโทรศัพท์บนอุปกรณ์ Google Pixel เพื่อจับรูปแบบการสนทนา และจะมีสัญญาณเตือนว่าผู้โทรอาจเป็นมิจฉาชีพ (more…)

Google Play ซึ่งเป็น Official store อย่างเป็นทางการสำหรับ Android ได้เผยแพร่แอปพลิเคชันที่เป็นอันตรายมากกว่า 200 รายการในช่วงเวลาหนึ่งปี โดยมียอดดาวน์โหลดรวมเกือบ 8 ล้านครั้ง

ข้อมูลถูกเก็บรวบรวมระหว่างเดือนมิถุนายน 2023 ถึงเมษายน 2024 โดยนักวิจัยด้านข่าวกรองภัยคุกคามจาก Zscaler ซึ่งได้ระบุ และวิเคราะห์มัลแวร์หลายกลุ่มทั้งบน Google Play และแพลตฟอร์มร้านค้าอื่น ๆ

ภัยคุกคามที่นักวิจัยค้นพบบ่อยที่สุดใน App Store อย่างเป็นทางการของ Android ได้แก่

Joker (38.2%) : มัลแวร์ขโมยข้อมูล และดักจับข้อความ SMS ซึ่งสมัครสมาชิกบริการพรีเมียมโดยไม่ให้เหยื่อรู้ตัว
Adware (35.9%) : แอปพลิเคชันที่ใช้แบนด์วิธอินเทอร์เน็ต และแบตเตอรี่เพื่อโหลดโฆษณาเบื้องหน้า หรือโฆษณาที่มองไม่เห็นในพื้นหลัง เพื่อทำให้เกิดการแสดงโฆษณาที่เป็นการหลอกลวง
Facestealer (14.7%) : มัลแวร์ขโมยข้อมูลบัญชี Facebook โดยซ้อนแบบฟอร์มฟิชชิงบนแอปโซเชียลมีเดีย
Coper (3.7%) : มัลแวร์ขโมยข้อมูล และดักจับข้อความ SMS ที่ยังสามารถบันทึกการกดแป้นพิมพ์ และแสดงหน้าเว็บฟิชชิงซ้อนทับได้
Loanly Installer (2.3%)
Harly (1.4%) : โทรจันที่สมัครสมาชิกบริการพรีเมียมให้กับเหยื่อ
Anatsa (0.9%) : Anatsa หรือที่เรียกว่า Teabot เป็นโทรจันด้านการเงินที่โจมตีแอปพลิเคชันธนาคารกว่า 650 แอปทั่วโลก

เมื่อต้นปีที่ผ่านมาในเดือนพฤษภาคม นักวิจัยกลุ่มเดียวกันได้แจ้งเตือนเกี่ยวกับแอปพลิเคชันที่เป็นอันตรายกว่า 90 รายการบน Google Play ซึ่งมียอดดาวน์โหลดถึง 5.5 ล้านครั้ง

แม้ว่า Google จะมีระบบรักษาความปลอดภัยเพื่อตรวจจับแอปพลิเคชันที่เป็นอันตราย แต่ผู้ไม่หวังดียังคงมีวิธีการบางอย่างในการหลีกเลี่ยงกระบวนการตรวจสอบ ในรายงานเมื่อปีที่แล้ว ทีมความปลอดภัยของ Google Cloud ได้อธิบายถึง 'versioning' ซึ่งเป็นวิธีที่มัลแวร์ถูกส่งผ่านการอัปเดตแอปพลิเคชัน หรือโหลดจากเซิร์ฟเวอร์ที่ผู้ไม่หวังดีควบคุมอยู่

ไม่ว่าวิธีการใดจะถูกใช้ในการแพร่กระจายมัลแวร์ผ่าน Google Play แคมเปญบางรายการก็ประสบความสำเร็จมากกว่ารายการอื่น ๆ แม้ว่ารายงานของ Zscaler จะเน้นไปที่มัลแวร์บน Android ที่พบได้บ่อย แต่ก็มีนักวิจัยคนอื่น ๆ ที่ค้นพบแคมเปญที่ใช้ Google Play ในการกระจายมัลแวร์ไปยังผู้ใช้นับล้านเช่นกัน

ในกรณีหนึ่ง มัลแวร์ Necro loader สำหรับ Android ถูกดาวน์โหลด 11 ล้านครั้งผ่านแอปพลิเคชันสองรายการที่เผยแพร่บน Official store อย่างเป็นทางการ

ในอีกกรณีหนึ่ง มัลแวร์ Goldoson บน Android ถูกตรวจพบในแอปพลิเคชันทางการจำนวน 60 รายการ ซึ่งมียอดดาวน์โหลดรวมกันถึง 100 ล้านครั้ง

เมื่อปีที่แล้ว มัลแวร์ SpyLoan ถูกพบในแอปพลิเคชันบน Google Play ที่ถูกดาวน์โหลดมากกว่า 12 ล้านครั้ง

เกือบครึ่งหนึ่งของแอปพลิเคชันที่เป็นอันตรายที่ Zscaler ThreatLabz ค้นพบถูกเผยแพร่อยู่บน Google Play ภายใต้หมวดหมู่เครื่องมือ, การปรับแต่ง, การถ่ายภาพ, ประสิทธิภาพการทำงาน และไลฟ์สไตล์

ในด้านการบล็อกมัลแวร์ที่พยายามในปีนี้ Zscaler รายงานว่ามีแนวโน้มที่ลดลงโดยรวม ตามที่วัดจากจำนวนธุรกรรมที่ถูกบล็อก

โดยเฉลี่ยแล้ว ThreatLabz บันทึกการบล็อกที่ 1.7 ล้านครั้งต่อเดือน โดยมีการบล็อกทั้งหมด 20 ล้านครั้งตลอดระยะเวลาการวิเคราะห์ โดยภัยคุกคามที่พบบ่อยที่สุด ได้แก่ Vultur, Hydra, Ermac, Anatsa, Coper, และ Nexus

รายงานภัยคุกคามบนมือถือของ Zscaler ยังแสดงให้เห็นว่ามีการติดมัลแวร์ spyware เพิ่มขึ้นอย่างมีนัยสำคัญ ซึ่งส่วนใหญ่เกิดจากกลุ่มมัลแวร์ SpyLoan, SpinOK, และ SpyNote ในปีที่ผ่านมา บริษัทได้บันทึกการบล็อกกิจกรรม spyware จำนวน 232,000 ครั้ง

ประเทศที่ถูกโจมตีจากมัลแวร์บนมือถือมากที่สุดในปีที่ผ่านมา ได้แก่ อินเดีย และสหรัฐอเมริกา ตามด้วยแคนาดา, แอฟริกาใต้ และเนเธอร์แลนด์

ตามรายงาน มัลแวร์บนมือถือมุ่งเป้าไปที่ภาคการศึกษาเป็นหลัก โดยมีจำนวนธุรกรรมที่ถูกบล็อกเพิ่มขึ้น 136.8% ในขณะที่ภาคบริการมีการเพิ่มขึ้น 40.9% และภาคเคมี และการทำเหมืองมีการเพิ่มขึ้น 24% ส่วนภาคอื่น ๆ ทั้งหมดแสดงให้เห็นถึงแนวโน้มการลดลง

เพื่อลดโอกาสในการติดมัลแวร์จาก Google Play ผู้ใช้งานควรอ่านความคิดเห็นของผู้อื่น เพื่อดูปัญหาที่มีการรายงาน และตรวจสอบผู้เผยแพร่แอปพลิเคชัน

ผู้ใช้งานควรตรวจสอบสิทธิ์ที่แอปพลิเคชันร้องขอในระหว่างการติดตั้ง และยกเลิกการใช้งานหากแอปพลิเคชันต้องการสิทธิ์ที่ไม่ตรงกับการใช้งาน

ที่มา : bleepingcomputer

เมื่อสุดสัปดาห์ที่ผ่านมา Google ได้ลบแอป Android security ของ Kaspersky ออกจาก Google Play Store และปิดใช้งานบัญชีนักพัฒนาของบริษัทรัสเซีย

ผู้ใช้รายงานในสัปดาห์ที่ผ่านมาว่าผลิตภัณฑ์ของ Kaspersky (รวมถึง Kaspersky Endpoint Security และ VPN & Antivirus by Kaspersky) ไม่มีให้ใช้บริการบน Google Play อีกต่อไปแล้ว รวมไปถึงในสหรัฐอเมริกา และภูมิภาคอื่น ๆ ของโลก (more…)

ตั้งแต่เดือนพฤษภาคม 2024 นักวิเคราะห์ของ Group-IB ได้ตรวจพบแอปพลิเคชันมือถือปลอมจำนวนมากที่ปลอมเป็นแพลตฟอร์มการซื้อขายในหลายภูมิภาค แอปพลิเคชันทั้งหมดนี้ได้รับการพัฒนาสำหรับแพลตฟอร์ม Android โดยใช้เฟรมเวิร์กการพัฒนาข้ามแพลตฟอร์มเดียวกัน หนึ่งในแอปพลิเคชันที่พบถูกปล่อยให้ดาวน์โหลดได้ผ่าน Google Play store อย่างเป็นทางการ ขณะที่แอปพลิเคชันที่คล้ายกันซึ่งมุ่งเป้าไปที่อุปกรณ์ iOS ก็ถูกพบในเวลาต่อมา โดยแตกต่างจากโทรจันบนมือถือทั่วไป เช่น GoldPickaxe ซึ่งนักวิเคราะห์ของ Group-IB พบครั้งแรกในเดือนกุมภาพันธ์ 2024 แอปพลิเคชันที่น่าสงสัยเหล่านี้โดยทั่วไปไม่พบคุณสมบัติที่เป็นอันตราย โดยผู้ไม่หวังดีได้สร้างส่วนหน้าของแพลตฟอร์มการซื้อขายที่ถูกลิขสิทธิ์เพื่อหลอกลวงเหยื่อ

แม้ว่าเทคนิคการหลอกลวงประเภทนี้ ซึ่งตอนนี้รู้จักกันในชื่อ "pig butchering" จะไม่ใช่เรื่องใหม่ แต่กลยุทธ์ และเทคนิคที่ใช้โดยผู้ไม่หวังดียังคงมีการพัฒนาอย่างต่อเนื่อง

Pig Butchering เป็นคำที่ใช้เพื่ออธิบายการหลอกลวงที่ซับซ้อน ซึ่งผู้ไม่หวังดีจะหลอกเหยื่อให้เข้ามามีส่วนร่วมในแผนการลงทุนปลอม โดยส่วนใหญ่จะเกี่ยวกับสกุลเงินดิจิทัล หรือเครื่องมือทางการเงินอื่น ๆ ชื่อของการหลอกลวงนี้อ้างอิงถึงการเลี้ยงสุกรให้เติบโตขึ้นก่อนการขาย ซึ่งเป็นสัญลักษณ์ของการที่ผู้ไม่หวังดีสร้างความไว้วางใจ และดึงดูดการลงทุนจากเหยื่อก่อนที่จะลงมือทำการหลอกลวง

การหลอกลวงเหล่านี้ส่วนใหญ่เริ่มต้นด้วยเทคนิค social engineering เช่น การพบปะในแอปหาคู่, แพลตฟอร์มโซเชียลมีเดีย หรือผ่านทางโทรศัพท์ ผู้ไม่หวังดีส่วนใหญ่จะใช้เวลาหลายสัปดาห์จนไปถึงหลายเดือนในการสร้างความไว้วางใจจากเหยื่อ โดยจะแกล้งทำเป็นที่ปรึกษาด้านการซื้อขาย หรือการลงทุน เมื่อเหยื่อลงทุนเงินจำนวนมากเพียงพอแล้ว ผู้ไม่หวังดีก็จะขโมยเงินออกไป โดยไม่หลงเหลือร่องรอยอะไรไว้เลย

การหลอกลวงส่วนใหญ่จะจบลงด้วยการที่เหยื่อสูญเสียเงินการลงทุนเริ่มต้น และในบางกรณีก็ถูกกดดันให้จ่ายค่าธรรมเนียม หรือภาษีเพิ่มเติม ซึ่งเป็นเพียงการพยายามในการเรียกเอาเงินของเหยื่อเพิ่มเติม วิธีการนี้ได้รับการอธิบายอย่างชัดเจนจากเหยื่อในฟอรัมเฉพาะทางต่าง ๆ

ในขณะที่วิธีการของ Pig Butchering จะได้รับการบันทึกไว้อย่างกว้างขวาง การวิจัยล่าสุดของ Group-IB ได้ตรวจพบเหยื่อในภูมิภาคเอเชียแปซิฟิก, ยุโรป และตะวันออกกลาง รวมถึงแอฟริกา ซึ่งขอบเขตที่แท้จริงอาจกว้างกว่านี้มาก ในการวิจัยนี้เราจะมุ่งเน้นไปที่แคมเปญ Pig Butchering ที่มุ่งเป้าไปที่ผู้ใช้ Apple iOS

Infection chain

ในระหว่างการตรวจสอบ นักวิจัยไม่สามารถระบุวิธีการที่แน่ชัดที่ผู้ไม่หวังดีใช้ในการมุ่งเป้าไปยังบุคคลที่อาจเป็นเหยื่อได้ อย่างไรก็ตาม มีแนวโน้มว่าพวกเขาใช้เทคนิค social engineering ตามที่ได้แจ้งไว้ก่อนหน้านี้

เราได้ค้นพบสองวิธีในการหลอกลวง ในเบื้องต้นผู้ไม่หวังดีจะใช้วิธีการอัปโหลดแอปพลิเคชัน iOS ปลอมไปยัง Apple Store อย่างเป็นทางการได้สำเร็จ ทำให้สามารถใช้ประโยชน์จากความไว้วางใจที่ผู้ใช้มีต่อระบบของ Apple ความไว้วางใจนี้ทำให้เหยื่อไม่ระมัดระวังตัว ทำให้เสี่ยงต่อการถูกหลอกมากยิ่งขึ้น

แอปพลิเคชันปลอมยังคงอยู่ใน Apple App Store เป็นเวลาหลายสัปดาห์ก่อนที่จะถูกลบออก โดยหลังจากถูกลบออก ผู้ไม่หวังดีได้เปลี่ยนไปเผยแพร่แอปพลิเคชันผ่านเว็บไซต์ฟิชชิงแทน โดยสามารถดาวน์โหลดได้ทั้ง Android และ iOS สำหรับผู้ใช้ iOS การกดปุ่มดาวน์โหลดจะทำให้ไฟล์ .plist ถูกดาวน์โหลด ซึ่งจะแจ้งเตือนขอให้ iOS อนุญาตติดตั้งแอปพลิเคชัน อย่างไรก็ตาม หลังจากดาวน์โหลดเสร็จสิ้น แอปพลิเคชันจะไม่สามารถเปิดใช้งานได้ทันที โดยเหยื่อจะได้รับคำแนะนำจากผู้ไม่หวังดีให้ Trust developer profile ของบริษัท เมื่อขั้นตอนนี้เสร็จสิ้น แอปพลิเคชันปลอมจะสามารถทำงานได้ปกติ

คำอธิบายของแอปพลิเคชันอ้างว่าออกแบบมาเพื่อสูตรคณิตศาสตร์พีชคณิต และการคำนวณปริมาตรกราฟิก 3 มิติ อย่างไรก็ตามเมื่อเหยื่อเปิดแอปพลิเคชันขึ้นมา จะพบกับหน้าล็อกอินเพื่อที่จะลงทะเบียนในแอปพลิเคชันที่เหยื่อต้องกรอกรหัสเชิญ วิธีการนี้แสดงให้เห็นว่าผู้ไม่หวังดีไม่ได้ดำเนินการเป็นจำนวนมาก แต่มุ่งเป้าไปที่บุคคลเฉพาะเจาะจงแทน

เมื่อผู้ใช้ลงทะเบียนกับแอปพลิเคชันปลอมแล้ว ผู้ใช้จะถูกหลอกให้ดำเนินการหลายขั้นตอน ขั้นตอนแรกผู้ใช้จะถูกขอให้อัปโหลดเอกสารประจำตัว เช่น บัตรประจำตัวประชาชน หรือพาสปอร์ต จากนั้นผู้ใช้จะถูกขอให้ระบุข้อมูลส่วนตัว ตามด้วยรายละเอียดที่เกี่ยวข้องกับงาน หลังจากที่ยอมรับข้อกำหนด และเงื่อนไข และการเปิดเผยข้อมูลแล้ว ผู้ใช้จะได้รับคำแนะนำให้เติมเงินเข้าบัญชีของตน เมื่อลงทุนเสร็จสิ้น ผู้ไม่หวังดีจะเข้าควบคุม และให้คำแนะนำเพิ่มเติม ซึ่งส่งผลให้เกิดการขโมยเงินของเหยื่อไปในที่สุด

รายละเอียดทางเทคนิค

แอปพลิเคชันสำหรับ iOS และ Android มีความแตกต่างกันเพียงเล็กน้อย เนื่องจากฟังก์ชันการทำงานหลักใช้ระบบเว็บ และให้บริการผ่าน URL เว็บแอปพลิเคชันสร้างขึ้นบนเฟรมเวิร์ก UniApp ซึ่งช่วยให้นักพัฒนาสามารถสร้างแอปพลิเคชันข้ามแพลตฟอร์มโดยใช้ Vue.

ตัวอย่างสปายแวร์ที่พบจะปลอมเป็นแอปพลิเคชันวิดีโอไลฟ์สด (Live Video), แอปพลิเคชันสำหรับผู้ใหญ่, แอปพลิเคชันคืนเงิน และแอปพลิเคชันออกแบบ และตกแต่งภายใน โดยมีการใช้ไอคอนดังนี้

มีการระบุ URL ที่เป็นอันตรายสองรายการที่ทำการแพร่กระจายสปายแวร์

hxxps://refundkorea[.]cyou/REFUND%20KOREA.apk
hxxps://bobocam365[.]icu/downloads/pnx01.apk

ตั้งแต่มัลแวร์ถูกพบ มัลแวร์นี้ยังคงไม่ถูกตรวจพบโดยโซลูชันด้านความปลอดภัยทั้งหมด ทำให้สามารถดำเนินการได้อย่างลับ ๆ นอกจากนี้ CRIL ได้แจ้งว่ามีตัวอย่างที่ไม่ซ้ำกันสี่รายการที่เชื่อมโยงกับสปายแวร์นี้ ซึ่งทั้งหมดมีอัตราการถูกตรวจจับเป็นศูนย์จากโซลูชันแอนตี้ไวรัสหลัก ๆ

ตัวอย่างสปายแวร์ทั้งหมดที่ถูกระบุไว้ ถูกพบว่ามีการเชื่อมต่อกับ C2 Server เดียวกัน ซึ่งโฮสต์อยู่บน Amazon S3 bucket : hxxps://phone-books[.]s3.ap-northeast-2.amazonaws.

ภูมิภาคเอเชียกลาง กำลังตกเป็นเป้าหมายของแคมเปญที่เป็นอันตรายใหม่ที่แพร่กระจายมัลแวร์บน Android ชื่อ “Ajina.

ตั้งแต่ปี 2021 ประเทศอินเดียต้องเผชิญกับภัยคุกคามทางไซเบอร์ที่เกี่ยวข้องกับมัลแวร์บน Android ที่มุ่งเป้าหมายไปที่ลูกค้าธนาคาร

ผู้ไม่หวังดีได้เริ่มแพร่กระจายมัลแวร์ในช่วงแรกผ่านการส่งข้อความ SMS ที่มีลิงก์ฟิชชิ่ง ซึ่งให้ผู้ใช้ดำเนินการดาวน์โหลดแอปพลิเคชันปลอมที่เป็นอันตรายบน Android โดยมีหัวข้อเกี่ยวกับ คะแนนรางวัลบัตรเครดิต และการอัปเดต KYC

ในปี 2021 CRIL เน้นย้ำถึงแคมเปญการโจมตีนี้ ซึ่งมุ่งเป้าหมายไปที่ผู้ใช้งานธนาคารในประเทศอินเดีย โดยใช้มัลแวร์ขโมยข้อมูลบน Android จากนั้นเมื่อไม่นานมานี้ CRIL พบการเพิ่มขึ้นของแคมเปญฟิชชิ่งนี้ โดยผู้ไม่หวังดีได้พัฒนาวิธีการให้ครอบคลุมยิ่งขึ้น โดยการการเพิ่มหัวข้อที่เกี่ยวกับการชำระค่าสาธารณูปโภค และโครงการของรัฐบาล นอกจากนี้ยังมีการเปลี่ยนแปลงจากการส่งข้อความฟิชชิ่งผ่าน SMS มาเป็นการใช้ข้อความใน WhatsApp แทน

(more…)