ระวังมัลแวร์ดูดเงินตัวใหม่จากจีน Datzbro มุ่งหลอกลวงคนชราผ่านกลุ่ม Facebook อ้างตนเป็นผู้จัดทัวร์สูงวัย

เมื่อพูดถึงเป้าหมายระดับต้น ๆ ของแฮกเกอร์ และมัลแวร์ประเภทขโมยเงินจากบัญชีธนาคาร หรือ Banking Trojan นั้นคงจะหนีไม่พ้นกลุ่มคนชรา ซึ่งในไทยเองนั้นแฮกเกอร์ก็มาพร้อมกับกลยุทธ์มากมายในการหลอกลวงคนชราให้หลงเชื่อติดตั้งมัลแวร์ แต่กับกรณีเดียวกันในต่างประเทศนั้น แฮกเกอร์ได้มีการใช้กลยุทธ์ที่แตกต่างออกไปนิดหน่อย

จากรายงานโดยเว็บไซต์ The Hacker News ได้กล่าวถึงการที่ทางทีมวิจัยจาก ThreatFabric บริษัทผู้เชี่ยวชาญด้านระบบรักษาความปลอดภัยบนโทรศัพท์มือถือ ได้ตรวจพบแคมเปญในการแพร่กระจายมัลแวร์ประเภท Banking Trojan หลังจากที่ผู้ใช้งานชาวออสเตรเลียได้รายงานกับทางบริษัทว่า มีการตรวจพบเหล่านักหลอกลวงออนไลน์ หรือ Scammer นั้นเป็นผู้จัดการกลุ่มหลอกลวงบน Facebook (Facebook Group) ซึ่งกลุ่มต่าง ๆ เหล่านี้จะหลอกลวงว่าเป็นกลุ่มในการจัดการท่องเที่ยวสำหรับผู้สูงวัย โดยมีการมุ่งเน้นกลุ่มเหยื่อจากหลากพื้นที่ ไม่ว่าจะเป็น สิงคโปร์, มาเลเซีย, แคนาดา, แอฟริกาใต้ และสหราชอาณาจักร ซึ่งจากรายชื่อแล้วพบว่าส่วนมากเป็นประเทศที่ใช้งานภาษาอังกฤษเป็นหลัก

ในส่วนของพฤติกรรมของกลุ่มเหยื่อเป้าหมายนั้น อาชญากรไซเบอร์ในแคมเปญนี้ได้เพ่งเล็งไปยังกลุ่มผู้สูงอายุที่มีความชื่อนชอบในการท่องเที่ยว และหากิจกรรมนอกบ้าน โดยมักชอบค้นหากิจกรรมบน Facebook เพื่อที่จะได้ไปพบปะสังสรรค์กับเพื่อนใหม่ ๆ ซึ่งสำหรับกลุ่มปลอมที่นักหลอกลวงสร้างขึ้นมาเพื่อจับกลุ่มเหยื่อเหล่านี้นั้นมักจะมีการใช้คอนเทนต์ที่ถูกสร้างขึ้นจาก AI (AI-Generated Content) และอวดอ้างว่า เหล่าผู้ดูแล และทางกลุ่มนั้น มีการจัดกิจกรรมสำหรับเหล่าผู้สูงอายุมากมายหลายกิจกรรม เพื่อหลอกให้เหยื่อเชื่อใจและเข้ามาติดกับดัก

หลังจากที่มีเหยื่อเข้ามาสนใจ และสอบถามแล้ว ทางมิจฉาชีพก็จะเข้ามาทักเหยื่อทางข้อความ Facebook Messenger หรือ WhatsApp เพื่อหลอกให้เหยื่อทำการดาวน์โหลดไฟล์ติดตั้งแอปพลิเคชันในรูปแบบไฟล์ APK ทำให้สันนิษฐานว่ามุ่งเน้นการโจมตีไปยังกลุ่มผู้ใช้งานระบบ Android จากลิงก์หลอกลวง เช่น "download.seniorgroupapps[.]com" โดยหลอกลวงว่าการติดตั้งแอปพลิเคชันดังกล่าวนั้น จะเป็นการติดตั้งแอปพลิเคชันสำหรับการสื่อสารกันภายในกลุ่ม และจำเป็นในการใช้งานในการลงทะเบียนอีเวนต์ต่าง ๆ ทางทีมวิจัยหลังจากที่ได้เข้าทำการตรวจสอบเว็บไซต์ดังกล่าว ยังพบอีกว่ามีการวางปุ่มสำหรับดาวน์โหลดสำหรับเวอร์ชันบน iOS อีกด้วย ทำให้คาดว่าทางแฮกเกอร์อาจจะมุ่งการโจมตีไปยังผู้ใช้งานทั้งระบบ Android และ iOS โดยสำหรับลิงก์ดาวน์โหลดของเวอร์ชัน iOS นั้นยังคงเป็นลิงก์แบบชั่วคราว หรือ Placeholder ทำให้คาดหวังได้ว่า เวอร์ชันแบบ iOS จะถูกปล่อยออกมาให้เหยื่อดาวน์โหลดเร็ว ๆ นี้

ในการฝังตัวของมัลแวร์นั้นจะเกิดขึ้นหลังจากที่เหยื่อทำการดาวน์โหลด และกดติดตั้งมัลแวร์ดังกล่าวลงบนเครื่อง ซึ่งแฮกเกอร์นั้นจะใช้เครื่องมืออย่าง Zombinder เป็นเครื่องมือในการมัดรวมมัลแวร์ กับตัวแอปพลิเคชันปลอมเข้าด้วยกันเพื่อเลี่ยงระบบตรวจจับที่อยู่บนเครื่องของเหยื่อ ซึ่งในส่วนของประสิทธิภาพของมัลแวร์ Datzbro นั้นเรียกว่าร้ายกาจเลยทีเดียว เพราะมีความสามารถในการลักลอบบันทึกภาพบนเครื่องของเหยื่อ, แอบบันทึกเสียงของเหยื่อ, การเข้าถึงไฟล์ และรูปภาพต่าง ๆ บนเครื่อง และที่สำคัญสุดคือ ระบบการหลอกขโมยข้อมูลอ่อนไหว ที่มีการใช้งานหลากหลายเทคนิคผ่านการควบคุมจากแฮกเกอร์ทางระยะไกล เช่น การใช้วิธีการซ้อนหน้าจอเพื่อหลอกเอารหัสผ่าน (Overlay Attack), การดักจับการพิมพ์ (Keylogging), ไปจนถึงการเข้าถึงโหมดช่วยเหลือผู้พิการ (Accessibility Mode) เพื่อเข้าควบคุมเครื่องของเหยื่อ

สำหรับรายชื่อแอปพลิเคชันที่ทางทีมวิจัยตรวจพบว่ามีมัลแวร์ฝังอยู่นั้น มีดังนี้

• Senior Group (twzlibwr.rlrkvsdw.bcfwgozi)
• Lively Years (orgLivelyYears.browses646)
• ActiveSenior (com.forest481.security)
• DanceWave (inedpnok.kfxuvnie.mggfqzhl)
• 作业帮 (io.mobile.Itool）
• 麻豆传媒 (fsxhibqhbh.hlyzqkd.aois
• 麻豆传媒 (mobi.audio.aassistant)
• 谷歌浏览器 (tvmhnrvsp.zltixkpp.mdok)
• MT管理器 (varuhphk.vadneozj.tltldo)
• MT管理器 (spvojpr.bkkhxobj.twfwf)
• 大麦 (mnamrdrefa.edldylo.zish)
• MT管理器 (io.red.studio.tracker)

นอกจากชื่อแอปพลิเคชันอันตรายดังกล่าวที่มีการใช้ภาษาจีนเป็นจำนวนมาก รวมไปถึงเครื่องมือหลายอย่างภายในตัวมัลแวร์ เช่น เครื่องมือดีบั๊ก (Debugging) ก็มีการใช้ภาษาจีนเป็นหลัก, ค่าสตริง (String) ในโค้ดต้นฉบับ (Source Code) ก็มีการใช้ภาษาจีนอยู่เป็นจำนวนมาก, หรือแม้แต่ระบบหลังบ้าน (Backend) อย่างเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) นั้นก็ทำงานผ่านแอปพลิเคชันบนเดสก์ท็อป (Desktop) ที่เป็นของจีนเช่นเดียวกัน ทำให้ทีมวิจัยค่อนข้างมั่นใจอย่างมากว่ามัลแวร์ดังกล่าวถูกสร้างขึ้นโดยกลุ่มแฮกเกอร์ และมิจฉาชีพจากจีน

ถึงมัลแวร์ดังกล่าวจะมีความร้ายแรง แต่ทาง Google ก็ยังยืนยันหนักแน่นว่า ถ้าผู้ใช้งานระบบ Android มีการเปิดระบบป้องกัน Google Play Protect ไว้ล่ะก็จะได้รับการป้องกันภัยจากตัวระบบ และปลอดภัยจากมัลแวร์ดังกล่าวอย่างแน่นอน