เมื่อสุดสัปดาห์ที่ผ่านมา Google ได้ลบแอป Android security ของ Kaspersky ออกจาก Google Play Store และปิดใช้งานบัญชีนักพัฒนาของบริษัทรัสเซีย

ผู้ใช้รายงานในสัปดาห์ที่ผ่านมาว่าผลิตภัณฑ์ของ Kaspersky (รวมถึง Kaspersky Endpoint Security และ VPN & Antivirus by Kaspersky) ไม่มีให้ใช้บริการบน Google Play อีกต่อไปแล้ว รวมไปถึงในสหรัฐอเมริกา และภูมิภาคอื่น ๆ ของโลก (more…)

ตั้งแต่เดือนพฤษภาคม 2024 นักวิเคราะห์ของ Group-IB ได้ตรวจพบแอปพลิเคชันมือถือปลอมจำนวนมากที่ปลอมเป็นแพลตฟอร์มการซื้อขายในหลายภูมิภาค แอปพลิเคชันทั้งหมดนี้ได้รับการพัฒนาสำหรับแพลตฟอร์ม Android โดยใช้เฟรมเวิร์กการพัฒนาข้ามแพลตฟอร์มเดียวกัน หนึ่งในแอปพลิเคชันที่พบถูกปล่อยให้ดาวน์โหลดได้ผ่าน Google Play store อย่างเป็นทางการ ขณะที่แอปพลิเคชันที่คล้ายกันซึ่งมุ่งเป้าไปที่อุปกรณ์ iOS ก็ถูกพบในเวลาต่อมา โดยแตกต่างจากโทรจันบนมือถือทั่วไป เช่น GoldPickaxe ซึ่งนักวิเคราะห์ของ Group-IB พบครั้งแรกในเดือนกุมภาพันธ์ 2024 แอปพลิเคชันที่น่าสงสัยเหล่านี้โดยทั่วไปไม่พบคุณสมบัติที่เป็นอันตราย โดยผู้ไม่หวังดีได้สร้างส่วนหน้าของแพลตฟอร์มการซื้อขายที่ถูกลิขสิทธิ์เพื่อหลอกลวงเหยื่อ

แม้ว่าเทคนิคการหลอกลวงประเภทนี้ ซึ่งตอนนี้รู้จักกันในชื่อ "pig butchering" จะไม่ใช่เรื่องใหม่ แต่กลยุทธ์ และเทคนิคที่ใช้โดยผู้ไม่หวังดียังคงมีการพัฒนาอย่างต่อเนื่อง

Pig Butchering เป็นคำที่ใช้เพื่ออธิบายการหลอกลวงที่ซับซ้อน ซึ่งผู้ไม่หวังดีจะหลอกเหยื่อให้เข้ามามีส่วนร่วมในแผนการลงทุนปลอม โดยส่วนใหญ่จะเกี่ยวกับสกุลเงินดิจิทัล หรือเครื่องมือทางการเงินอื่น ๆ ชื่อของการหลอกลวงนี้อ้างอิงถึงการเลี้ยงสุกรให้เติบโตขึ้นก่อนการขาย ซึ่งเป็นสัญลักษณ์ของการที่ผู้ไม่หวังดีสร้างความไว้วางใจ และดึงดูดการลงทุนจากเหยื่อก่อนที่จะลงมือทำการหลอกลวง

การหลอกลวงเหล่านี้ส่วนใหญ่เริ่มต้นด้วยเทคนิค social engineering เช่น การพบปะในแอปหาคู่, แพลตฟอร์มโซเชียลมีเดีย หรือผ่านทางโทรศัพท์ ผู้ไม่หวังดีส่วนใหญ่จะใช้เวลาหลายสัปดาห์จนไปถึงหลายเดือนในการสร้างความไว้วางใจจากเหยื่อ โดยจะแกล้งทำเป็นที่ปรึกษาด้านการซื้อขาย หรือการลงทุน เมื่อเหยื่อลงทุนเงินจำนวนมากเพียงพอแล้ว ผู้ไม่หวังดีก็จะขโมยเงินออกไป โดยไม่หลงเหลือร่องรอยอะไรไว้เลย

การหลอกลวงส่วนใหญ่จะจบลงด้วยการที่เหยื่อสูญเสียเงินการลงทุนเริ่มต้น และในบางกรณีก็ถูกกดดันให้จ่ายค่าธรรมเนียม หรือภาษีเพิ่มเติม ซึ่งเป็นเพียงการพยายามในการเรียกเอาเงินของเหยื่อเพิ่มเติม วิธีการนี้ได้รับการอธิบายอย่างชัดเจนจากเหยื่อในฟอรัมเฉพาะทางต่าง ๆ

ในขณะที่วิธีการของ Pig Butchering จะได้รับการบันทึกไว้อย่างกว้างขวาง การวิจัยล่าสุดของ Group-IB ได้ตรวจพบเหยื่อในภูมิภาคเอเชียแปซิฟิก, ยุโรป และตะวันออกกลาง รวมถึงแอฟริกา ซึ่งขอบเขตที่แท้จริงอาจกว้างกว่านี้มาก ในการวิจัยนี้เราจะมุ่งเน้นไปที่แคมเปญ Pig Butchering ที่มุ่งเป้าไปที่ผู้ใช้ Apple iOS

Infection chain

ในระหว่างการตรวจสอบ นักวิจัยไม่สามารถระบุวิธีการที่แน่ชัดที่ผู้ไม่หวังดีใช้ในการมุ่งเป้าไปยังบุคคลที่อาจเป็นเหยื่อได้ อย่างไรก็ตาม มีแนวโน้มว่าพวกเขาใช้เทคนิค social engineering ตามที่ได้แจ้งไว้ก่อนหน้านี้

เราได้ค้นพบสองวิธีในการหลอกลวง ในเบื้องต้นผู้ไม่หวังดีจะใช้วิธีการอัปโหลดแอปพลิเคชัน iOS ปลอมไปยัง Apple Store อย่างเป็นทางการได้สำเร็จ ทำให้สามารถใช้ประโยชน์จากความไว้วางใจที่ผู้ใช้มีต่อระบบของ Apple ความไว้วางใจนี้ทำให้เหยื่อไม่ระมัดระวังตัว ทำให้เสี่ยงต่อการถูกหลอกมากยิ่งขึ้น

แอปพลิเคชันปลอมยังคงอยู่ใน Apple App Store เป็นเวลาหลายสัปดาห์ก่อนที่จะถูกลบออก โดยหลังจากถูกลบออก ผู้ไม่หวังดีได้เปลี่ยนไปเผยแพร่แอปพลิเคชันผ่านเว็บไซต์ฟิชชิงแทน โดยสามารถดาวน์โหลดได้ทั้ง Android และ iOS สำหรับผู้ใช้ iOS การกดปุ่มดาวน์โหลดจะทำให้ไฟล์ .plist ถูกดาวน์โหลด ซึ่งจะแจ้งเตือนขอให้ iOS อนุญาตติดตั้งแอปพลิเคชัน อย่างไรก็ตาม หลังจากดาวน์โหลดเสร็จสิ้น แอปพลิเคชันจะไม่สามารถเปิดใช้งานได้ทันที โดยเหยื่อจะได้รับคำแนะนำจากผู้ไม่หวังดีให้ Trust developer profile ของบริษัท เมื่อขั้นตอนนี้เสร็จสิ้น แอปพลิเคชันปลอมจะสามารถทำงานได้ปกติ

คำอธิบายของแอปพลิเคชันอ้างว่าออกแบบมาเพื่อสูตรคณิตศาสตร์พีชคณิต และการคำนวณปริมาตรกราฟิก 3 มิติ อย่างไรก็ตามเมื่อเหยื่อเปิดแอปพลิเคชันขึ้นมา จะพบกับหน้าล็อกอินเพื่อที่จะลงทะเบียนในแอปพลิเคชันที่เหยื่อต้องกรอกรหัสเชิญ วิธีการนี้แสดงให้เห็นว่าผู้ไม่หวังดีไม่ได้ดำเนินการเป็นจำนวนมาก แต่มุ่งเป้าไปที่บุคคลเฉพาะเจาะจงแทน

เมื่อผู้ใช้ลงทะเบียนกับแอปพลิเคชันปลอมแล้ว ผู้ใช้จะถูกหลอกให้ดำเนินการหลายขั้นตอน ขั้นตอนแรกผู้ใช้จะถูกขอให้อัปโหลดเอกสารประจำตัว เช่น บัตรประจำตัวประชาชน หรือพาสปอร์ต จากนั้นผู้ใช้จะถูกขอให้ระบุข้อมูลส่วนตัว ตามด้วยรายละเอียดที่เกี่ยวข้องกับงาน หลังจากที่ยอมรับข้อกำหนด และเงื่อนไข และการเปิดเผยข้อมูลแล้ว ผู้ใช้จะได้รับคำแนะนำให้เติมเงินเข้าบัญชีของตน เมื่อลงทุนเสร็จสิ้น ผู้ไม่หวังดีจะเข้าควบคุม และให้คำแนะนำเพิ่มเติม ซึ่งส่งผลให้เกิดการขโมยเงินของเหยื่อไปในที่สุด

รายละเอียดทางเทคนิค

แอปพลิเคชันสำหรับ iOS และ Android มีความแตกต่างกันเพียงเล็กน้อย เนื่องจากฟังก์ชันการทำงานหลักใช้ระบบเว็บ และให้บริการผ่าน URL เว็บแอปพลิเคชันสร้างขึ้นบนเฟรมเวิร์ก UniApp ซึ่งช่วยให้นักพัฒนาสามารถสร้างแอปพลิเคชันข้ามแพลตฟอร์มโดยใช้ Vue.

ตัวอย่างสปายแวร์ที่พบจะปลอมเป็นแอปพลิเคชันวิดีโอไลฟ์สด (Live Video), แอปพลิเคชันสำหรับผู้ใหญ่, แอปพลิเคชันคืนเงิน และแอปพลิเคชันออกแบบ และตกแต่งภายใน โดยมีการใช้ไอคอนดังนี้

มีการระบุ URL ที่เป็นอันตรายสองรายการที่ทำการแพร่กระจายสปายแวร์

hxxps://refundkorea[.]cyou/REFUND%20KOREA.apk
hxxps://bobocam365[.]icu/downloads/pnx01.apk

ตั้งแต่มัลแวร์ถูกพบ มัลแวร์นี้ยังคงไม่ถูกตรวจพบโดยโซลูชันด้านความปลอดภัยทั้งหมด ทำให้สามารถดำเนินการได้อย่างลับ ๆ นอกจากนี้ CRIL ได้แจ้งว่ามีตัวอย่างที่ไม่ซ้ำกันสี่รายการที่เชื่อมโยงกับสปายแวร์นี้ ซึ่งทั้งหมดมีอัตราการถูกตรวจจับเป็นศูนย์จากโซลูชันแอนตี้ไวรัสหลัก ๆ

ตัวอย่างสปายแวร์ทั้งหมดที่ถูกระบุไว้ ถูกพบว่ามีการเชื่อมต่อกับ C2 Server เดียวกัน ซึ่งโฮสต์อยู่บน Amazon S3 bucket : hxxps://phone-books[.]s3.ap-northeast-2.amazonaws.

ภูมิภาคเอเชียกลาง กำลังตกเป็นเป้าหมายของแคมเปญที่เป็นอันตรายใหม่ที่แพร่กระจายมัลแวร์บน Android ชื่อ “Ajina.

ตั้งแต่ปี 2021 ประเทศอินเดียต้องเผชิญกับภัยคุกคามทางไซเบอร์ที่เกี่ยวข้องกับมัลแวร์บน Android ที่มุ่งเป้าหมายไปที่ลูกค้าธนาคาร

ผู้ไม่หวังดีได้เริ่มแพร่กระจายมัลแวร์ในช่วงแรกผ่านการส่งข้อความ SMS ที่มีลิงก์ฟิชชิ่ง ซึ่งให้ผู้ใช้ดำเนินการดาวน์โหลดแอปพลิเคชันปลอมที่เป็นอันตรายบน Android โดยมีหัวข้อเกี่ยวกับ คะแนนรางวัลบัตรเครดิต และการอัปเดต KYC

ในปี 2021 CRIL เน้นย้ำถึงแคมเปญการโจมตีนี้ ซึ่งมุ่งเป้าหมายไปที่ผู้ใช้งานธนาคารในประเทศอินเดีย โดยใช้มัลแวร์ขโมยข้อมูลบน Android จากนั้นเมื่อไม่นานมานี้ CRIL พบการเพิ่มขึ้นของแคมเปญฟิชชิ่งนี้ โดยผู้ไม่หวังดีได้พัฒนาวิธีการให้ครอบคลุมยิ่งขึ้น โดยการการเพิ่มหัวข้อที่เกี่ยวกับการชำระค่าสาธารณูปโภค และโครงการของรัฐบาล นอกจากนี้ยังมีการเปลี่ยนแปลงจากการส่งข้อความฟิชชิ่งผ่าน SMS มาเป็นการใช้ข้อความใน WhatsApp แทน

(more…)

นักวิจัยจาก ESET แจ้งเตือนแคมเปญการโจมตีของกลุ่ม Arid Viper ที่มุ่งเป้าหมายไปที่ผู้ใช้งาน Android ซึ่งแคมเปญเหล่านี้จะแพร่กระจายมัลแวร์ผ่านเว็บไซต์ที่เหยื่อสามารถดาวน์โหลด และติดตั้งแอปพลิเคชัน Android ได้ด้วยตนเอง

สามแอปพลิเคชันที่ให้บริการบนเว็บไซต์เหล่านี้เป็นแอปพลิเคชันที่ถูกต้อง แต่ถูกเพิ่มโค้ดที่เป็นอันตรายซึ่งเรียกว่า "AridSpy" ซึ่งมีวัตถุประสงค์เพื่อการสอดแนมผู้ใช้งาน

AridSpy ถูกพบครั้งแรกโดย Zimperium ในปี 2021 ในช่วงเวลานั้นมัลแวร์ยังมีเพียงขั้นตอนเดียว โดยมีโค้ดที่เป็นอันตรายทั้งหมดอยู่ในแอปพลิเคชันที่ถูกฝังโทรจันเข้าไป

ถัดมาในครั้งที่สอง นักวิจัยจาก ESET พบการใช้งานในปี 2022 (และต่อมาถูกวิเคราะห์โดย 360 Beacon Labs ในเดือนธันวาคม 2022) โดยผู้ไม่หวังดีได้มุ่งเป้าไปที่งาน FIFA World Cup ในกาตาร์ โดยแคมเปญนี้ใช้แอปพลิเคชัน Kora442 ที่มี AridSpy ฝังอยู่ โดยปลอมเป็นหนึ่งในแอป Kora หลายแอป เช่นเดียวกับตัวอย่างที่วิเคราะห์โดย Zimperium มัลแวร์ยังคงมีเพียงขั้นตอนเดียวในขณะนั้น

ในเดือนมีนาคม 2023 ทีมนักวิจัยจาก 360 Beacon Labs ได้วิเคราะห์แคมเปญ Android อีกหนึ่งแคมเปญที่ดำเนินการโดยกลุ่ม Arid Viper และพบความเชื่อมโยงระหว่างแคมเปญ Kora442 กับกลุ่ม Arid Viper โดยอ้างอิงจากการใช้ไฟล์ myScript.

Antidot เป็น Banking Trojan บน Android ที่กำลังปลอมตัวเป็นแอปพลิเคชัน "Google Play Update" โดยมุ่งเป้าไปที่ผู้ใช้ Android ในหลายภูมิภาค และใช้เทคนิค VNC (Virtual Network Computing) และ Overlay เพื่อเก็บรวบรวมข้อมูลที่สำคัญของผู้ใช้

ในเดือนเมษายนที่ผ่านมา ทาง Cyble Research and Intelligence Labs (CRIL) ได้เผยแพร่การวิเคราะห์รายละเอียดเกี่ยวกับ Android Banking Trojan ตัวใหม่ที่ชื่อ "Brokewell" ซึ่งถูกสร้างขึ้นโดยนักพัฒนามัลแวร์ชื่อ "Baron Samedit" ซึ่งโทรจันนี้มีความสามารในการเข้าควบคุมอุปกรณ์ได้อย่างสมบูรณ์

เมื่อไม่นานมานี้ ได้พบ Android Banking Trojan ตัวใหม่อีกหนึ่งตัวที่ชื่อว่า "Antidot" ซึ่งถูกพบครั้งแรกในวันที่ 6 May 2024 (a6f6e6fb44626f8e609b3ccb6cbf73318baf01d08ef84720706b205f2864b116) โดยโทรจันตัวนี้ใช้การโจมตีแบบ Overlay เป็นวิธีการหลัก เพื่อเก็บรวบรวมข้อมูลที่สำคัญของผู้ใช้

มัลแวร์ตัวนี้มีคุณสมบัติหลายอย่าง เช่น

VNC : การควบคุมอุปกรณ์จากระยะไกล
Keylogging : การบันทึกการกดแป้นพิมพ์
Overlay attack : การสร้างหน้าต่างปลอมซ้อนทับเพื่อขโมยข้อมูล
Screen recording : การบันทึกหน้าจอ
Call forwarding : การส่งต่อสายโทรศัพท์
Collecting contacts and SMSs : การเก็บรวบรวมรายชื่อผู้ติดต่อ และข้อความ SMS
Performing USSD requests : การส่งคำสั่ง USSD
Locking and unlocking the device : การล็อก และปลดล็อกอุปกรณ์

Antidot ได้ชื่อนี้เนื่องจากการพบสตริง “Antidot” ภายในโค้ดต้นฉบับ ซึ่งใช้สำหรับการบันทึกข้อมูลข้ามคลาสต่าง ๆ มัลแวร์นี้ใช้การเข้ารหัสแบบกำหนดเองเพื่อทำให้สตริงต่าง ๆ ไม่สามารถอ่านได้ รวมถึงการตั้งชื่อคลาสให้เป็นอักษรที่ไม่สามารถเข้าใจได้ ทำให้การวิเคราะห์มีความยากมากขึ้น

โดยมัลแวร์จะปลอมแปลงเป็นแอปพลิเคชัน "Google Play update" โดยแสดงหน้าการอัปเดต Google Play ปลอมเมื่อทำการติดตั้ง หน้าการอัปเดตปลอมนี้ถูกสร้างขึ้นในหลายภาษา เช่น ภาษาเยอรมัน, ฝรั่งเศส, สเปน, รัสเซีย, โปรตุเกส , โรมาเนีย, และอังกฤษ ซึ่งมุ่งเป้าไปที่ผู้ใช้ Android ในภูมิภาคที่ใช้ภาษาต่าง ๆ เหล่านี้

รายละเอียดทางเทคนิค

ตามที่ได้ระบุไว้ก่อนหน้านี้ หลังจากที่ติดตั้งมัลแวร์แล้ว มัลแวร์จะแสดงหน้าอัปเดตปลอมที่มีปุ่ม "ดำเนินการต่อ" ซึ่งจะเปลี่ยนเส้นทางผู้ใช้ไปยังการตั้งค่าการเข้าถึง (Accessibility settings) เช่นเดียวกันกับ Banking Trojans ตัวอื่น ๆ

Command and Control server communication

ในเบื้องหลัง มัลแวร์จะเริ่มการสื่อสารกับ C2 Server "hxxp://46[.]228.205.159:5055/" นอกจากการเชื่อมต่อด้วย HTTP แล้ว Antidot ยังเริ่มการสื่อสารผ่าน WebSocket โดยใช้ไลบรารี socket.

พบ Android Trojan ตัวใหม่ชื่อ SoumniBot ในกลุ่มผู้ใช้ที่ตกเป็นเป้าหมายในเกาหลีใต้ โดยการใช้จุดอ่อนในขั้นตอนการแยก และวิเคราะห์ไฟล์ Manifest ในระบบปฏิบัติการ Android (more…)

สำนักงานขนส่ง และการสื่อสารของฟินแลนด์ (Traficom) แจ้งเตือนเกี่ยวกับแคมเปญมัลแวร์บน Android ที่กำลังพยายามเข้าถึงบัญชีธนาคารออนไลน์ของเหยื่อ (more…)

ในเดือนตุลาคม 2023 นักวิจัยจาก Group-IB ได้เผยแพร่รายงานเกี่ยวกับโทรจันบน Android ที่เป็นที่ไม่รู้จักมาก่อน Link ซึ่งมุ่งเป้าโจมตีไปที่ธนาคาร และสถาบันการเงินมากกว่า 50 แห่งในเวียดนาม และตั้งชื่อว่า GoldDigger โดยหลังจากการค้นพบโทรจันดังกล่าวในครั้งแรก นักวิจัยได้ทำการติดตามภัยคุกคามดังกล่าวอย่างต่อเนื่อง และพบกลุ่ม Banking Trojans ที่มุ่งเป้าไปที่ภูมิภาคเอเชียแปซิฟิก โดยมุ่งเน้นเป็นพิเศษไปที่สองประเทศคือไทยกับเวียดนาม แต่ก็มีสัญญาณใหม่ ๆ ที่แสดงให้เห็นว่าพื้นที่การโจมตีอาจขยายออกไป ซึ่ง Group-IB มีการส่งการแจ้งเตือนไปยังหน่วยงานที่เป็นเป้าหมายในการโจมตีแล้ว (more…)