มัลแวร์ RAT บน Android ใช้งาน Watchdog Services
พบมัลแวร์ RAT บน Android ใช้งาน Watchdog Services และ Boot Receivers เพื่อหลบเลี่ยงการถูกปิดตอนรีบูต
จากรายงานโดยเว็บไซต์ Cyber Security News ได้กล่าวถึงการตรวจพบมัลแวร์ประเภท RAT ตัวใหม่ชื่อว่า Octagon ซึ่งกำลังระบาดอยู่ในประเทศบาห์เรน ด้วยการเนียนปลอมตัวหลอกเป็นบริการแจ้งเตือนภัย (Alert Service) ของทางรัฐ ซึ่งเป็นการฉวยจังหวะจากช่วงเวลาตึงเครียดจากวิกฤติตะวันออกกลาง หลอกให้เหยื่อเข้าสู่หน้าเว็บไซต ์ Phishing เพื่อดาวน์โหลดแอปพลิเคชัน (ปลอม) ดังกล่าวที่ไม่ได้มีอยู่ในแอปสโตร์อย่างเป็นทางการของระบบ Android อย่าง Google Play Store ซึ่งหน้าเพจปลอมนั้นถ้าเปิดผ่านทางมือถือจะมีการจัดหน้าเพจจนคล้ายกับ Google Play Store อย่างมากจนทำให้เหยื่อหลายรายหลงดาวน์โหลดแอปพลิเคชันเถื่อนดังกล่าวไปติดตั้งจนติดมัลแวร์ในท้ายที่สุด
สำหรับขั้นตอนของการฝังมัลแวร์ลงสู่เครื่องนั้นจะเริ่มจากไฟล์ติดตั้งที่มีชื่อว่า BH-Alert.apk ที่ก่อนติดตั้งนั้นจะมีการขอสิทธิ์ถึง 7 ขั้นตอนเพื่อเข้าถึงระบบของเหยื่อ (Permission) โดยแอปพลิเคชันแรกที่เป็นหน้าด่านนั้นจะมีการซ่อนโค้ดมัลแวร์ไว้ภายในไฟล์เข้ารหัสชื่อว่า ZfChs.ttf ซึ่งตัวไฟล์นั้นจะถูกถอดรหัส (Decryption) บนเครื่องเมื่อถึงเวลาที่ต้องใช้งาน ทำให้เครื่องมือสแกนมัลแวร์ไม่สามารถเห็นโค้ดดังกล่าวได้ หลังจากนั้นตัวแอปพลิเคชันตัวแรกก็จะทำการติดตั้งแอปพลิเคชันตัวลูกที่มีชื่อว่า OctagonPanel แล้วทำการสร้างไฟล์โค้ดขึ้นมาขณะที่เครื่องทำงาน (Runtime) โดยบริการ (Service) ของมัลแวร์ตัวนี้จะทำงานอยู่ในฉากหลัง (Background) ซึ่งในส่วนนี้นั้น ตัวบริการเฝ้าระวัง หรือ Watchdog Services จะคอยทำงานเพื่อตรวจสอบกันและกัน แล้วทำการเปิดมัลแวร์ขึ้นมาใหม่ในทันทีถ้ามีการสั่งหยุดทำงาน ซึ่งเป็นการป้องกันการหยุดทำงานในชั้นแรก และถ้ามีการสั่งรีบูทเครื่องก็ไม่สามารถหยุดการทำงานของมัลแวร์ได้ เพราะ Boot Receivers จะทำการเปิดมัลแวร์ขึ้นมาใหม่ทันทีเช่นเดียวกัน นอกจากนั้นตัวมัลแวร์ยังได้มีการสร้างบัญชี Android ปลอม ชื่อ OctagonPanel แล้วทำการตั้งเวลาทำงาน (Task Scheduling) ให้ซิงค์ (Synchronization) ใหม่ทุก ๆ 30 นาที เรียกได้ว่าเป็นการสร้างความคงทนบนระบบ (Persistence) ได้อย่างชาญฉลาด
หลังจากที่มัลแวร์ฝังลงเครื่องและจัดการเรื่องต่าง ๆ ข้างต้นได้อย่างสมบูรณ์แล้ว มัลแวร์ก็จะทำการขอสิทธิ์ในการใช้งานโหมดช่วยเหลือผู้ใช้งานที่พิการ หรือ Accessibility Mode เพื่อใช้ในการขโมยหมายเลขปลดล็อกหน้าจอ, รหัสผ่าน, และข้อมูลอ่อนไหวอื่น ๆ ที่ผู้ใช้งานพิมพ์ลงไป ทำให้แฮกเกอร์สามารถเข้าควบคุมเครื่องของเหยื่อได้อยากสมบูรณ์ และการใช้งานการติดต่อผ่านเครือข่ายส่วนบุคคลเสมือน หรือ VPN (Virtual Private Network) ซึ่งฉากหน้านั้นเป็นการหลอกลวงเหยื่อว่าเป็นการใช้งานเพื่อความปลอดภัยของข้อมูล แท้จริงนั้นเป็นการใช้งานอุโมงค์ (Tunnel) ทั้งยังช่วยให้แฮกเกอร์สามารถดักจับข้อมูลอ่อนไหวได้อย่างง่ายดาย โดยแอปพลิเคชันอื่น ๆ ที่มัลแวร์ไม่ต้องการนั้นจะถูกบรรจุไว้บนรายชื่อยกเว้น ทำให้ข้อมูลของแอปพลิเคชันเหล่านั้นทำงานผ่านทางช่องทางปกติจนไม่มีข้อผิดสังเกต
ไม่เพียงเท่านั้น ตัวมัลแวร์ยังสามารถดักเก็บข้อความสั้น (SMS หรือ Short Message Service), รายชื่อผู้ติดต่อ, บันทึกการโทรเข้าออก, ข้อมูลการตั้งค่าต่าง ๆ ทั้งยังสามารถแอบบันทึกภาพหน้าจอ (Screenshot) ทั้งยังสามารถใช้การซ้อนหน้าจอ (Overlay Attacks) เพื่อทับหน้าจอแอปพลิเคชันที่ต้องการเก็บข้อมูล ช่วยให้สามารถขโมยรหัสต่าง ๆ ของเหยื่อได้ในอีกทางหนึ่ง
จากประสบการณ์การใช้งานสมาร์ทโฟน Android หลายปี ผมเคยได้รับข้อมูลเกี่ยวกับมัลแวร์ RAT ที่พยายามฝังตัวในเครื่องผ่านแอปปลอมที่ไม่ได้มาจาก Google Play Store ซึ่งมักจะหลอกล่อให้ผู้ใช้ติดตั้งด้วยวิธีการที่ทำให้ดูน่าเชื่อถือ เช่น ปลอมเป็นบริการสำคัญของรัฐบาลหรือแอปความปลอดภัย เช่นเดียวกับมัลแวร์ Octagon ที่กำลังระบาดในบาห์เรนและใช้เทคนิค Watchdog Services ในการตรวจสอบกันและกันเพื่อป้องกันไม่ให้ถูกบังคับปิด สิ่งที่น่ากังวลมากคือการที่ Octagon ใช้ Boot Receivers เพื่อเริ่มทำงานทุกครั้งที่รีบูตเครื่อง และยังมีการสร้างบัญชี Android ปลอมเพื่อซิงค์ข้อมูลตลอดเวลา ซึ่งแสดงถึงการวางแผนอย่างรัดกุมเพื่อคงทนบนอุปกรณ์ ทำให้ผู้ใช้แทบไม่รู้ตัวเลยว่ากำลังถูกสอดแนมโดยมัลแวร์ ที่ผมเจอทั่วไปอีกอย่างคือแอปเหล่านี้จะขอสิทธิ์เข้าถึงระบบในระดับสูง เช่น Accessibility Mode ซึ่งโดยปกติช่วยให้คนพิการใช้โทรศัพท์ได้ง่ายขึ้น แต่กลับถูกใช้ในการขโมยรหัสผ่าน หมายเลขปลดล็อก และข้อมูลการใช้งานอื่น ๆ ที่พิมพ์ลงบนเครื่อง การสื่อสารผ่าน VPN ปลอมก็สร้างความมั่นใจผิด ๆ ว่าข้อมูลจะปลอดภัย ทั้งที่จริงแล้วข้อมูลถูกดักจับไปโดยแฮกเกอร์ ดังนั้นผมแนะนำให้ผู้ใช้ Android ระมัดระวังมากขึ้น โดยติดตั้งแอปเฉพาะจาก Play Store เท่านั้น และตรวจสอบสิทธิ์ที่แอปขอใช้งานอย่างละเอียด ถ้ายังจำเป็นต้องใช้แอปจากแหล่งอื่น ควรสแกนหาไวรัสและตรวจสอบความน่าเชื่อถือก่อนทุกครั้ง นอกจากนี้ควรตั้งค่าความปลอดภัยในเครื่องอย่างเหมาะสม เช่น เปิดการอัปเดตแพตช์ความปลอดภัยล่าสุด และติดตั้งแอปแอนตี้ไวรัส เพื่อเสริมเกราะป้องกันไม่ให้ตกเป็นเหยื่อของมัลแวร์เหล่านี้ได้ง่าย ๆ สุดท้าย ผมคิดว่าความรู้และความตื่นตัวของผู้ใช้งานคือสิ่งที่สำคัญที่สุดที่จะช่วยรับมือกับภัยคุกคามไซเบอร์ที่ซับซ้อนและแฝงตัวอยู่ในแอปพลิเคชันเหล่านี้ได้จริงๆ