Android Banking Trojan

Android Banking Trojan

ในยุคที่ "ดิจิทัล" เข้ามามีบทบาทสำคัญ สมาร์ทโฟนแทบจะกลายเป็นปัจจัยที่ 5 ในการดำรงชีวิตไปแล้ว

เมื่อคุณมีเวลาว่าง คุณชอบดูวิดีโอหรือคลิปตลกๆ บนโลกออนไลน์หรือเปล่า?

ปัจจุบันนี้มีแอพพลิเคชั่นสำหรับการดูคลิปเรียกเสียงหัวเราะให้เลือกดาวน์โหลดใน Google Play Store อยู่มากมาย แต่โปรดระวัง! เพราะนักวิจัยด้านความมั่นคงปลอดภัยได้ตรวจพบรูปแบบใหม่ของ Trojan Banking บนระบบปฏิบัติการ Android แฝงอยู่ในแอพพลิเคชั่นที่มีชื่อแตกต่างกัน เช่น Funny Videos 2017

ผู้เชี่ยวชาญได้สำรวจและวิเคราะห์แอพพลิเคชั่นวิดีโอตลกที่ได้มีถูกติดตั้งตั้งแต่ 1,000 ถึง 5,000 ครั้ง และพบว่าแอพพลิเคชั่นจะทำตัวเหมือนแอพพลิเคชั่นวิดีโออื่นๆ ทั่วไปบน Play Store แต่เบื้องหลังกลับพุ่งเป้าโจมตีไปที่แอพพลิเคชั่นของธนาคารต่างๆ ทั่วโลก

โทรจันที่เพิ่งค้นพบนี้ทำงานคล้ายกับ Malware Banking (BankBOT) แต่ก็มีสองสิ่งที่แตกต่างออกไป นั่นก็คือความสามารถในการกำหนดเป้าหมายเหยื่อ และการใช้เครื่องมือ DexProtector ป่วนชุดคำสั่งของแอพพลิเคชั่น

ซึ่ง Trojan Banking ตัวนี้ พุ่งเป้าไปที่ธนาคารกว่า 400 แห่งทั่วโลก ได้แก่ ธนาคารซิตี้แบงก์, ไอเอ็นจี และธนาคารดัตช์บางแห่งเช่น ABN, Rabobank, ASN, Regiobank และ Binck เป็นต้น

 

BankBot คืออะไร?

BankBot คือมัลแวร์ Android Banking สามารถเลือกเป้าหมายแอพพลิเคชั่นนับร้อยรายการบน Google Play ทำหน้าที่ขโมยข้อมูลด้านการธนาคารของผู้ใช้ Android และรายละเอียดบัตรชำระเงิน

แต่ละแอพพลิเคชั่นที่ติดเชื้อ BankBot จะถูกจำลองหน้ากากการเข้าใช้งานของแอพพลิเคชั่นนั้นๆ (Phishing) เพื่อขโมยข้อมูลประจำตัวของลูกค้าและรายละเอียดบัตรชำระเงินของผู้ใช้

สำหรับการทำงานของมัลแวร์ Android Banking Trojan นี้ ก็คล้ายกับ BankBot อื่นๆ คือเมื่อคุณติดตั้งแล้วและขณะกำลังเปิดดูวีดีโอตลกๆ อยู่นั้น เจ้ามัลแวร์ตัวร้ายจะทำงานอยู่ข้างหลังไปด้วยโดยแอพพลิเคชั่นจะดัก SMS และแฝงโฆษณาซ้อนทับเพื่อขโมยข้อมูลธนาคาร

Google Play Store ได้ทำการลบแอพพลิเคชั่นตัวนี้ไปแล้วหลังได้รับการร้องเรียน แม้ว่าทาง Play Store จะได้ทำการลบแอพพลิเคชั่นตัวนี้ไปแล้วนั้น ก็ไม่ได้หมายความว่าใน Google Play Store จะไม่มีแอพพลิเคชั่นอื่นที่ถูกฝังมัลแวร์ในลักษณะเดียวกันนี้เหลืออยู่ ผู้เขียนขอฝากข้อเตือนใจไว้สักหน่อยเรื่องการโหลดแอปพลิเคชันของฟรีทั้งหลายใน Play Store เรื่องแรกคือต้องศึกษาแอพพลิเคชั่นที่ต้องการจะติดตั้งให้ดี ดูรีวิวจากแหล่งอื่นๆ และอีกเรื่องก็คือต้องดูแหล่งที่มาหรือบริษัทที่พัฒนาแอพพลิเคชั่นนั้นๆ ว่าเชื่อถือได้หรือไม่ ข้อสุดท้ายก็คือการหาแอนตี้ไวรัสดีๆ สักตัวลงไว้หน่อยเป็นเรื่องที่สำคัญมากทีเดียว

 

Content Cr: DestinationOne Counselor

Photo Cr: Gramamcruley / The Hacker News

ตัวอย่างเอกสาร CAR Report

ตัวอย่าง: เอกสาร CAR Report

โดยทั่วไปแล้ว เมื่อเสร็จสิ้นการตรวจประเมิน (Audit) ตามเกณฑ์ข้อกำหนดของ ISO แล้ว ผู้ตรวจประเมินจะต้องแจ้งสิ่งที่ตรวจพบว่าผิดเงื่อนไข (Non-conformation: NC) หรือเป็นข้อสังเกต (Observation) โดยระบุไว้ในแบบฟอร์มรายงานคำร้องขอให้แก้ไข (Corrective Action Request: CAR)

ซึ่งในโพสต์นี้ ทีมงาน DestinationOne จึงได้นำตัวอย่างเอกสาร CAR Report ดังกล่าวมาให้ทุกท่านได้พิจารณากันครับ

Note: DestinationOne ขอสงวนสิทธิ์ของตัวอย่างเอกสารนี้ โดยอนุญาตให้นำไปใช้เพื่อประโยชน์เชิงวิชาการหรือเพื่อการประยุกต์ใช้ภายใน องค์กรเท่านั้น ห้ามนำไปใช้ ดัดแปลง หรือแอบอ้างเพื่อการหาประโยชน์เชิงการค้าโดยเด็ดขาด.

Lifecycle ของการโจมตีทางไซเบอร์

Lifecycle ของการโจมตีทางไซเบอร์

สมัยนี้การโจมตีทางไซเบอร์เกิดขึ้นบ่อยและง่ายยิ่งกว่าการดักปล้นซุ่มยิงเสียอีก ถ้าเราสามารถป้องกันได้ก็ย่อมจะดีที่สุด แต่เรื่องนี้ขึ้นอยู่กับปัจจัยหลายสิ่ง ซึ่งบางอย่างก็อยู่เหนือการควบคุม

ดังนั้น จึงเป็นการไม่เสียหายถ้าเราจะมาลองเรียนรู้ วงจรชีวิต (Lifecycle) ของการโจมตีทางไซเบอร์เอาไว้ เพื่อให้เข้าใจธรรมชาติของมัน

ผู้เชี่ยวชาญด้านความมั่นคงปลอดภัยจากหลายสถาบันมีคำแนะนำที่ตรงกันว่า หากเราสามารถตรวจพบการโจมตีนั้นได้ตั้งแต่ช่วงเริ่มต้นของวงจร ก็จะทำให้เราสามารถจัดการกับมันได้ง่ายขึ้น และลดผลกระทบความเสียหายลง

Lifecycle 6 ขั้นของการโจมตีทางไซเบอร์

ขั้นที่ 1: Reconnaissance – เป็นขั้นตอนที่แฮ็กเกอร์จะประเมินเพื่อคัดเลือกเหยื่อผู้โชคร้าย ซึ่งมักจะเป็นผู้ที่มีจุดอ่อนและคุ้มค่าแก่การโจมตี เช่น สถาบันทางการเงิน, หน่วยงานราชการ ฯลฯ จากนั้นก็จะวางแผนเลือกใช้อาวุธที่เหมาะสมในการโจมตี เช่น Phishing, Zero Day Exploit, Social Engineering ฯลฯ

ขั้นที่ 2: Initial Compromise – เป็นขั้นตอนที่แฮ็กเกอร์เริ่มลักลอบเจาะเข้าสู่ระบบเครือข่ายภายในของเหยื่อ

ขั้นที่ 3: Command & Control – แฮ็กเกอร์จะดำเนินการติดตั้งมัลแวร์เพื่อให้สามารถสอดแนมและควบคุมระบบได้จากระยะไกล

ขั้นที่ 4: Lateral Movement – แฮ็กเกอร์จะเริ่มขยายขอบข่ายการโจมตีจากจุดที่เริ่มติดเชื้อมัลแวร์ เพื่อค้นหาระบบหรือบัญชีผู้ใช้งานที่มีความสำคัญระดับสูงต่อไป

ขั้นที่ 5: Target attainment – เมื่อมาถึงขั้นตอนนี้ แฮ็คเกอร์มักจะสามารถเข้าถึงระบบเครือข่ายภายในได้จากหลายจุด จนสามารถเข้าใจถึงโครงสร้างไอทีของเหยื่อ และเข้าถึงข้อมูลต่างๆ ได้

ขั้นที่ 6: Exfiltration, Corruption, and Disruption – ขั้นตอนสุดท้ายคือการบรรลุความพยายามในการโจมตี เป็นเวลาที่แฮ็กเกอร์ได้มาซึ่งสิ่งที่ตั้งเป้าหมายไว้ ในขณะที่เหยื่อต้องประสบกับความหายนะ เช่น การโจรกรรมข้อมูลลับ, การขัดขวางการทำงานของระบบ, การทำให้ธุรกิจต้องเกิดหยุดชะงัก ฯลฯ

Source: HelpNetSecurity.com

Content Cr: DestinationOne Counselor

Photo Cr: 123RF.com