พบ Hirudo มัลแวร์ธนาคารตัวใหม่ ปลอมแอปแนบเนียน เจาะระบบไทยได้

พบมัลแวร์ตัวใหม่ในชื่อ Hirudo ซึ่งเป็น Remote Access Banking Trojan บนระบบปฏิบัติการ Android ที่รวมความสามารถของ Banking Trojan แบบดั้งเดิมเข้ากับ RAT (Remote Access Trojan) อย่างเต็มรูปแบบ มัลแวร์นี้สามารถขโมยข้อมูลระบุตัวตนและควบคุมโทรศัพท์ทางไกลได้แบบสดๆ ทั้งการดูหน้าจอผ่าน WebRTC การเข้าถึงกล้อง และการโต้ตอบผ่าน Android Accessibility Services

ทีมนักวิจัยจาก ThreatFabric ได้ทำการติดตามและวิเคราะห์มัลแวร์ดังกล่าว พบว่ามันถูกแพร่กระจายผ่าน Dropper ที่แฝงมากับเนื้อหาดาวน์โหลดที่ดูน่าเชื่อถือ เช่น แอปช้อปปิ้ง แอปวิดีโอสำหรับผู้ใหญ่ หรือแอปละครสั้นที่โฆษณาบนโซเชียลมีเดีย เมื่อเหยื่อหลงเชื่อติดตั้งแอปเหล่านี้ ตัว Dropper จะตรวจสอบและดำเนินการติดตั้ง Hirudo RAT ลงในเครื่องทันที

ปัจจุบัน Payload ของ Hirudo มุ่งเป้าไปที่แอปธนาคารในอินโดนีเซีย 8 แห่ง แต่รหัสภายในบ่งชี้ว่ามันถูกออกแบบมาให้รองรับการโจมตีในหลายประเทศ รวมถึงจีน อินเดีย เม็กซิโก โมร็อกโก และไทย โดยมัลแวร์จะตรวจจับแอปธนาคารเป้าหมายในเครื่อง แล้วแสดงหน้าต่างแจ้งเตือนการอัปเดตปลอมเพื่อหลอกให้ผู้ใช้ถอนการติดตั้งแอปจริง ก่อนจะดาวน์โหลดแอปเวอร์ชันดัดแปลงเฉพาะของธนาคารนั้นๆ มาติดตั้งแทนที่

แอปเวอร์ชันดัดแปลงนี้มีเอนจินการทำ Hooking เพื่อบิดเบือนการตรวจสอบความปลอดภัยภายในตัวแอปเอง ทั้งการตรวจสอบ Signature, Accessibility, การบันทึกหน้าจอ และ Play Integrity นักวิจัยระบุว่า เมื่อแอปขอตรวจสอบใบรับรองการลงนาม (signing certificate) ตัว Hook จะสลับเป็นใบรับรองของจริงเพื่อซ่อนลายเซ็นแปลกปลอม หรือเมื่อมีการตรวจสอบบริการ Accessibility มันจะส่งค่ากลับเป็นรายการว่างเปล่า ทำให้บริการที่มัลแวร์ใช้ควบคุมเครื่องกลายเป็นสิ่งที่มองไม่เห็น

Hirudo RAT ยังมีความสามารถในการขโมยข้อมูลระบุตัวตน ควบคุมอุปกรณ์แบบเรียลไทม์ผ่านกล้องหน้าและกล้องหลัง รวมถึงการรวบรวม SMS โดยสามารถสแกนย้อนหลังได้ถึง 90 วัน เพื่อค้นหาข้อความจากธนาคารหรือกระเป๋าเงินดิจิทัลตามที่กำหนดไว้

ผู้เชี่ยวชาญชี้ว่า Hirudo คือการยกระดับการโจมตีที่จงใจเปลี่ยนจากการเจาะตัวอุปกรณ์ไปเป็นการโจมตีการตรวจสอบความสมบูรณ์ของแอปโดยตรง ทำให้สัญญาณความปลอดภัยที่สร้างขึ้นภายในเครื่องไม่สามารถเชื่อถือได้เพียงอย่างเดียวอีกต่อไป

ThreatFabric ได้ให้คำแนะนำแก่สถาบันการเงิน 4 ประการเพื่อรับมือกับภัยคุกคามนี้ ได้แก่ 1. ตรวจสอบ Play Integrity ที่ฝั่งเซิร์ฟเวอร์อย่างเข้มงวด 2. ใช้การป้องกันแบบเลเยอร์ร่วมกับการวิเคราะห์พฤติกรรม 3. ไม่ใช้สัญญาณ Accessibility หรือการบันทึกหน้าจอเป็นเกณฑ์ตัดสินหลักในการบล็อกแต่ให้ใช้เป็นคะแนนความเสี่ยง และ 4. คงความเข้มงวดในการควบคุมความเสี่ยงธุรกรรมที่ฝั่ง Backend ในทุกขั้นตอนสำคัญ