พบมัลแวร์ WindRelay บน Android
พบมัลแวร์ WindRelay บน Android สามารถช่วยให้แฮกเกอร์แอบนำเอาบัตรเครดิตคุณไปใช้งานได้
จากรายงานโดยเว็บไซต์ BigGo Finance ได้กล่าวถึงการที่ทางทีมวิจัยจาก Group-IB บริษัทผู้เชี่ยวชาญด้านการพัฒนาโซลูชันรักษาความปลอดภัยไซเบอร์จากประเทศสิงคโปร์ ได้ตรวจพบแคมเปญใหม่ของมัลแวร์แบบรีเลย์สัญญาณระยะใกล้ หรือ NFC (Near-Field Communication) Relay ของมัลแวร์ที่มีชื่อว่า WindRelay ซึ่งเป็นมัลแวร์ที่มีความสามารถในการขโมยข้อมูลของบัตรเครดิตด้วยการหลอกให้เหยื่อทำการสแกนบัตรเครดิตผ่านทางระบบ NFC ของโทรศัพท์มือถือ เพื่อส่งข้อมูลกลับไปยังเครื่องของแฮกเกอร์นำเอาบัตรไปใช้งาน ณ จุดบริการขาย (PoS หรือ Point-of-Sale) โดยมุ่งเน้นการโจมตีไปยังกลุ่มผู้ใช้งานโทรศัพท์มือถือบนระบบปฏิบัติการ Android ซึ่งมัลแวร์ตัวนี้เคยถูกตรวจพบครั้งแรกในช่วงเดือนสิงหาคม ค.ศ. 2025 (พ.ศ. 2568) โดยตัวอย่างของมัลแวร์ตัวนี้ได้ถูกอัปโหลดขึ้นบนเว็บไซต์สำหรับตรวจสอบไวรัสคอมพิวเตอร์ชื่อดังอย่าง Virus Total ในช่วงระยะเวลาระหว่างเดือนพฤศจิกายน ค.ศ. 2025 (พ.ศ. 2568) ถึงเดือนกรกฎาคมปีนี้เป็นจำนวนมากถึง 23 ตัวอย่าง ซึ่งทุกตัวนั้นมีหน้าจอการใช้งาน (User Interface) สำหรับใช้หลอกลวงเหยื่อที่แตกต่างกันสำหรับเหยื่อแต่ละราย แสดงให้เห็นถึงความสามารถในการปรับแต่งมัลแวร์ให้เหมาะกับเหยื่อแต่ละราย
สำหรับแคมเปญในครั้งนี้มีความร้ายกาจกว่าเดิม เพราะเป็นแคมเปญที่ใช้มัลแวร์ดังกล่าวควบคู่กับมัลแวร์สำหรับเข้าควบคุมเครื่องของเหยื่อจากระยะไกล หรือ RAT (Remote Access Trojan) ชื่อ SpyNote ซึ่งมัลแวร์ตัวนี้มีความสามารถในการเข้าถึงโหมดช่วยเหลือผู้ใช้งานที่พิการ (Accesibility Mode) ทำให้แฮกเกอร์สามารถแอบเข้าเปิดโหมด NFC ให้ทำงานได้อย่างเงียบเชียบ โดยที่หน้าจอนั้นไม่มีการแสดงผลอะไรให้เหยื่อรู้ตัว
โดยการโจมตีของแคมเปญนี้จะเริ่มขึ้นด้วยการหลอกลวงแบบ Phishing สไตล์คอลเซ็นเตอร์ (Call Center) ด้วยการให้มิจฉาชีพทำการโทรหาเหยื่อโดยอ้างว่าเป็นเจ้าหน้าที่ธนาคาร แล้วอ้างว่า ระบบจ่ายเงินของบัตรเครดิตที่เหยื่อใช้อยู่นั้นมีปัญหา แล้วระหว่างที่คุยสายอยู่นั้นทางมิจฉาชีพจะเร่งทำการหว่านล้อมให้เหยื่อทำการติดตั้งแอปพลิเคชันในรูปแบบไฟล์ APK ที่ถูกตั้งตามชื่อจริงของเหยื่อเพื่อแก้ปัญหาดังกล่าว แต่แท้จริงแล้วไฟล์ที่ติดตั้งนั้นเป็นมัลแวร์ SpyNote ที่หลังจากที่ตัวมัลแวร์ถูกติดลงเครื่องแล้ว มัลแวร์ตัวนี้จะทำหน้าที่ในการดึงเอามัลแวร์ WindRelay ลงมาติดตั้งบนเครื่องของเหยื่ออีกที จากนั้นจึงทำการหลอกให้เหยื่อทำการแตะบัตรเครดิตลงบนเครื่องโดยอ้างว่าเป็นการยืนยันตัวตน พร้อมทั้งให้เหยื่อทำการกรอกรหัส PIN ของบัตร โดยข้อมูลเหล่านี้จะถูกส่งกลับไปยังเครื่องของแฮกเกอร์ให้แฮกเกอร์สามารถใช้งานบัตรดังกล่าวได้ในทันที ซึ่งการทำงานของมัลแวร์ WindRelay จะเป็นการทำงานด้วยการใช้องค์ประกอบ (Components) 2 ตัว นั่นคือ ตัวอ่านบัตรที่ติดตั้งบนเครื่องของเหยื่อ และตัวจำลองบัตร (Emulator) ที่อยู่บนเครื่องของแฮกเกอร์ปลายทาง ซึ่งทั้ง 2 ตัวนี้จะทำการสื่อสารผ่านทางโครงสร้างพื้นฐานสำหรับการควบคุมและสั่งการ (C2 หรือ Command and Control Infrastructure) ผ่านทางช่องทาง WebSocket ในการส่งคำสั่ง (Command) และตอบกลับ (Response) ในรูปแบบ EMV APDU
แคมเปญครั้งนี้ ทางทีมวิจัยได้เผยว่า มีการตรวจพบการโจมตีที่ประสบความสำเร็จจำนวนมากมายหลายครั้งในแถบทวีปยุโรป โดยการโจมตีนั้นทำได้สำเร็จในช่วงระยะเวลาของการโทรคุยกันระหว่างเหยื่อกับมิจฉาชีพในระยะเวลา 13 นาที ซึ่งในบางกรณีนี้ไปไกลถึงการใช้งานมัลแวร์ RAT ดังกล่าวเพื่อเข้าถึงแอปพลิเคชันธนาคารของเหยื่อแล้วทำการกู้ยืมเงินภายใต้ชื่อของเหยื่อโดยที่เหยื่อไม่ทันรู้ตัวเลยทีเดียว
จากประสบการณ์ของผมในการป้องกันมัลแวร์บนโทรศัพท์ Android ผมได้เรียนรู้ว่าการรับมือมัลแวร์แบบ WindRelay นั้นต้องเริ่มจากความระมัดระวังขั้นสูงสุดในการติดตั้งแอปพลิเคชันทุกครั้ง โดยเฉพาะแอปที่มาจากแหล่งที่ไม่น่าเชื่อถือ เช่น ไฟล์ APK ที่ดาวน์โหลดนอก Google Play Store รวมถึงการไม่เชื่อสายโทรเข้าอ้างเป็นเจ้าหน้าที่ธนาคารโดยเด็ดขาด WindRelay นับว่าเป็นมัลแวร์ที่ล้ำหน้า เนื่องจากใช้ประโยชน์จากระบบ NFC ของโทรศัพท์เพื่อขโมยข้อมูลบัตรเครดิต ด้วยวิธีการหลอกลวงผู้ใช้ให้สแกนบัตรผ่านเครื่องมือที่แฮกเกอร์ควบคุม ซึ่งทำให้ข้อมูลบัตรและรหัส PIN ตกอยู่ในมือมิจฉาชีพทันที นอกจากนั้น การใช้มัลแวร์ SpyNote เพื่อเข้าควบคุมเครื่องระยะไกล ยังทำให้แฮกเกอร์สามารถเปิดโหมด NFC เงียบ ๆ โดยที่หน้าจอไม่มีการแจ้งเตือนให้ผู้ใช้เห็น ถือว่าเป็นภัยคุกคามที่ซับซ้อนและยากต่อการตรวจจับ การโจมตีรูปแบบนี้เริ่มจากการโทรศัพท์หลอกลวงหรือ phishing call ให้เหยื่อติดตั้งแอปที่ตั้งชื่อตามชื่อจริงของเหยื่อ เพื่อสร้างความน่าเชื่อถือ เมื่อแอปถูกติดตั้ง มัลแวร์ SpyNote จะดาวน์โหลด WindRelay ลงเครื่อง และเริ่มกระบวนการขโมยข้อมูลทันที เพื่อป้องกันตัวเอง ผมแนะนำให้ผู้ใช้เปิดใช้งานการป้องกันในโทรศัพท์ เช่น การตั้งค่าให้อุปกรณ์ไม่อนุญาตให้ติดตั้งจากแหล่งที่ไม่รู้จัก และใช้แอปแอนตี้ไวรัสที่ได้รับการรีวิวดี นอกจากนี้ อย่าเผลอกดลิงก์หรือดาวน์โหลดไฟล์ที่ได้รับจากการติดต่อที่ไม่ได้รับการตรวจสอบ รวมถึงไม่ควรให้ข้อมูลบัตรเครดิตหรือ PIN กับใครทางโทรศัพท์หรือช่องทางออนไลน์โดยไม่มีความมั่นใจอย่างแท้จริง ในที่สุด การติดตามข่าวสารด้านความปลอดภัยไซเบอร์อย่างสม่ำเสมอก็เป็นสิ่งจำเป็น เพราะมัลแวร์ใหม่ ๆ แบบ WindRelay มักพัฒนาเทคนิคการโจมตีให้หลบเลี่ยงมาตรการรักษาความปลอดภัยอยู่เสมอ การเรียนรู้และตื่นตัวต่อภัยไซเบอร์จึงช่วยลดความเสี่ยงที่จะตกเป็นเหยื่อได้อย่างมาก
