มีข้อมูลนักวิจัยของแคสเปอร์สกี้ ได้ตรวจจับแอปพลิคชั่นโทรจันที่คุกคามผู้ใช้งานด้วยการโฆณาและติดตั้งแอปพลิเคชั่นออนไลน์ช้อปปิ้งเองเสร็จสรรพ โดยวิธีนี้สามารถหลอกได้ทั้งผู้ใช้งานและเจ้าของโฆษณาเลยทีเดียว แอปร้ายนี้จะมุ่งไปที่แอปสโตร์และลงข้อมูลรีวิวต่างๆ โดยใช้ชื่อของผู้ใช้โดยที่เจ้าของไม่รู้ตัว!!!
เราจะได้ว่า ร้านค้ามากมายกำลังจัดโปรโมชั่นลดราคากันต่อเนื่อง และเคยไหมที่เราจะซื้อของออนไลน์ในร้านนั้น ๆ จากเว็บใดเว็บหนึ่ง ก็ต้องดูริวิวสินค้าก่อน เพื่อให้มั่นใจว่าเราจะได้สินค้านั้นจริง ๆ และไม่ถูกหลอก แต่มันเรื่องมันยุ่งขึ้น เมื่อสิ่งที่เห็นออนไลน์นั้นเชื่อไม่ได้ เพราะมีแอปพลิคชั่นโทรจันที่ปั่นเรตติ้งให้แอปช้อปปิ้ง แถมติดตั้งและแพร่กระจายโฆษณาจำนวนมากจนก่อให้เกิดความรำคาญ
โทรจันคืออะไร ? ให้ลองนึกถึงม้าไม้เมืองทรอย ที่ทหารเข้าไปแอบในม้าแล้วแอบออกมาจากม้าตอนกลางคืนเพื่อบุกเมือง โทรจันก็เช่นกัน ไวรัสจะเข้าไปแอบอยู่ในแอพใดแอพหนึ่ง เมื่อเราโหลดมา แอนตี้ไวรัสจะให้ผ่านเพราะไม่สามารถตรวจเจอไวรัสได้ เมื่อเราติดตั้งแอป มันจะเริ่มทำงานและแพร่กระจาย
ในเรื่องของโทรจันปั่นรีวิว นักวิจัยสังเกตุเห็นลักษณะการใช้ Google Accessibility Service และการทำงานแบบคลุมเครือของโทรจัน “ช้อปเปอร์” (Shopper) โดยปกติแล้ว เซอร์วิซนี้จะมีฟีเจอร์ที่ออกแบบมาเพื่อช่วยเหลือผู้พิการ ให้ผู้ใช้สามารถตั้งค่าเสียงเพื่ออ่านเนื้อหาของแอปและมียูสเซอร์อินเทอร์เฟซที่โต้ตอบได้อย่างอัตโนมัติ แต่ผู้ร้ายไซเบอร์กลับใช้ฟีเจอร์นี้เพื่อก่อภัยคุกคามแก่เจ้าของดีไวซ์
เมื่อมัลแวร์ได้รับสิทธิให้ใช้เซอร์วิซนี้ก็จะสามารถเข้าถึงแอปพลิเคชั่นและระบบต่าง ๆ ได้อย่างไม่จำกัด มัลแวร์จะสามารถแคปหน้าจอ กดปุ่ม และเลียนแบบท่าทางของผู้ใช้งานได้ นักวิจัยยังไม่ทราบแน่ชัดว่าแอปพลิเคชั่นนี้แพร่กระจายได้อย่างไรแต่คาดว่าอาจเป็นการดาวน์โหลดจากโฆษณาปลอมหรือแอปสโตร์เธิร์ดปาร์ตี้ แอปนี้จะปลอมตัวเป็นซิสเต็มแอปพลิเคชั่นและใช้ไอคอนชื่อ ConfigAPKs เพื่อหลบซ่อนตัว หลังจากที่ปลดล็อกหน้าจอแล้ว แอปจะเปิดตัวเอง เก็บข้อมูลเกี่ยวกับเหยื่อเจ้าของดีไวซ์ และส่งไปยังเซิร์ฟเวอร์ของผู้ร้าย เซิร์ฟเวอร์จะส่งคำสั่งกลับมายังแอปพลิเคชั่น ซึ่งสามารถดำเนินการต่างๆ ได้แก่
- ใช้แอคเคาท์กูเกิ้ลหรือเฟซบุ๊กของเจ้าของเครื่องเพื่อลงทะเบียนใช้งานแอปช้อปปิ้งหรือแอปบันเทิงอื่นๆ เช่น AliExpress, Lazada, Zalora, Shein, Joom, Likee และ Alibaba
- เขียนรีวิวต่างๆ ใน Google Play ในชื่อเจ้าของเครื่อง
- ตรวจสอบสิทธิการใช้งาน Accessibility Service ถ้ายังไม่ได้รับสิทธิก็จะส่งพิชชิ่งคำขอใช้งาน
- ปิด Google Play Protect ซึ่งเป็นฟีเจอร์ตรวจสอบความปลอดภัยของแอปใน Google Play Store ก่อนจะถูกดาวน์โหลด
- เปิดลิ้งก์ที่ได้จากเซิร์ฟเวอร์ในวินโดว์ล่องหนและซ่อนตัวเองจากแอปเมนูได้
- เปิดโฆษณาเองได้หลังจากปลดล็อกหน้าจอดีไวซ์ และสร้างโฆษณาในแอปเมนู
- ดาวน์โหลดและติดตั้งแอปพลิเคชั่นจากตลาด Apkpure[.]com
- เปิดและดาวน์โหลดแอปพลิชั่นจาก Google Play
สัดส่วนของเหยื่อที่ถูก Trojan-Dropper.AndroidOS.Shopper.a โจมตีมากที่สุดช่วงเดือนตุลาคม – พฤศจิกายน 2019 คือรัสเซีย อยู่ที่ 28.46% ตามด้วยบราซิล 18.70% และอินเดีย 14.23%
อิกอร์ โกโลวิน นักวิเคราะห์มัลแวร์ของแคสเปอร์สกี้ กล่าวว่า “ถึงแม้ว่าอันตรายของแอปร้ายนี้จำกัดอยู่ที่โฆษณาที่ไม่ต้องการ รีวิวปลอม และเรตติ้งปลอมที่ใช้ชื่อของเหยื่อโดยไม่รู้ตัว แต่ก็ไม่มีอะไรรับรองได้ว่าผู้ร้ายที่สร้างแอปนี้จะไม่เพิ่มหรือเปลี่ยนเป้าหมายไปอย่างอื่น แอปนี้พุ่งเป้าไปที่ร้านค้า แต่มีความสามารถในการกระจายข้อมูลลวงไปยังแอคเคาท์โซเชียลมีเดียของเหยื่อ และแพลตฟอร์มอื่นๆ เช่น สามารถแชร์วิดีโอบนเพจส่วนตัว และปล่อยข้อมูลลวงต่างๆ สู่อินเทอร์เน็ต”
ผลิตภัณฑ์ของแคสเปอร์สกี้สามารถตรวจจับและสกัดมัลแวร์ช้อปเปอร์ได้ Trojan-Dropper.AndroidOS.Shopper. ท่านสามารถอ่านข้อมูลเพิ่มเติมได้ที่ Securelist.com
คำแนะนำเพื่อลดความเสี่ยงในการถูกมัลแวร์ลักษณะนี้โจมตี
- ระวังแอปที่ขอเข้าใช้ Accessibility Service โดยไม่จำเป็น
- ตรวจสอบการอนุญาตสิทธิแอปพลิเคชั่นต่างๆ อย่างสม่ำเสมอ
- อย่าติดตั้งแอปจากแหล่งที่ไม่น่าเชื่อถือ และตั้งค่าบล็อกการติดตั้งแอปจากแหล่งที่ไม่รู้จัก
- ใช้โซลูชั่นเพื่อความปลอดภัยสำหรับโมบาย อย่างเช่น Kaspersky Internet Security for Android ที่สามารถช่วยระบุคำขอที่อาจเป็นอันตรายหรือคำขอที่ส่งจากแอปพลิเคชั่นที่น่าสงสัย และอธิบายความเสี่ยงที่เกิดจากคำขอแต่ละประเภท
