พบมัลแวร์ Sharkbot ระบาดบน Google Play

นักวิจัยด้านความปลอดภัยจากบริษัท Check Point Research ได้รายงานการค้นพบมัลแวร์ตัวใหม่ที่แพร่ระบาดอยู่บน Google Play โดยแฝงตัวอยู่ในแอปพลิเคชันที่ปลอมแปลงเป็นแอปป้องกันไวรัส 

มัลแวร์ตัวดังกล่าวมีชื่อว่า Sharkbot แฝงตัวอยู่ในแอปพลิเคชันป้องกันไวรัส จากผู้พัฒนา 3 ราย คือ Zbynek Adamcik, Adelmio Pagnotto และ Bingo Like Inc. มีรายชื่อแอปพลิเคชันดังต่อไปนี้

• Atom Clean-Booster, Antivirus
• Antivirus, Super Cleaner
• Alpha Antivirus, Cleaner
• Powerful Cleaner, Antivirus
• Center Security - Antivirus
• Center Security - Antivirus (ชื่อเหมือนตัวบน แต่คนละปก)

ภาพจาก https://research.checkpoint.com/2022/google-is-on-guard-sharks-shall-not-pass/

แอปพลิเคชันเหล่านี้มียอดดาวน์โหลดไปติดตั้งใช้งานแล้วประมาณ 15,000 ครั้ง แม้ว่าในขณะนี้ ทาง Google ได้ทำการลบแอปพลิเคชันทั้ง 6 ตัว ออกไปจากเซิร์ฟเวอร์ของ Google Play แล้ว แต่ตามเว็บไซต์ 3^rd-Party ที่ให้บริการ Sideloading ยังมีให้ดาวน์โหลดอยู่

สำหรับรูปแบบการโจมตี เมื่อผู้ใช้งานดาวน์โหลดแอปพลิเคชันดังกล่าวไปติดตั้งบนตัวอุปกรณ์ แล้วเปิดใช้งาน จะมีให้ผู้ใช้งานทำการลงทะเบียนข้อมูลส่วนตัวก่อนเริ่มใช้งาน แต่ในความเป็นจริง ข้อมูลส่วนตัว และข้อมูลธุรกรรมทางการเงินของผู้ใช้จะถูกส่งไปยังเซิร์ฟเวอร์ของแฮกเกอร์แทน นอกจากนี้ มันยังมีความสามารถในการโจรกรรมข้อมูลอีกหลายรูปแบบ อย่างเช่น การหยุดทำงานโดยอัตโนมัติ แล้วปิดตัวมันเอง เมื่อมันพบว่าถูกเรียกใช้งานในระบบ Sandbox

จากการตรวจสอบของนักวิจัยด้านความปลอดภัยพบว่า Sharkbot มีการเลือกโจมตีผู้ใช้งานโดยอ้างอิงจากภูมิประเทศ โดยมันจะไม่โจมตีผู้ใช้งานที่อาศัยอยู่ในประเทศจีน, อินเดีย, โรมาเนีย, รัสเซีย, ยูเครน และสาธารณรัฐเบลารุส

ความแปลกอีกอย่างหนึ่งของ Sharbot คือมันมีการใช้เทคนิค Domain Generation Algorithm (DGA) ซึ่งเป็นอัลกอริทึมที่ใช้ในการสร้างชื่อโดเมนจำนวนมากขึ้นมาภายในช่วงเวลาสั้น ๆ ซึ่งเป็นเทคนิคที่ Botnet นิยมใช้งานกัน แต่ไม่ค่อยพบในมัลแวร์บนแพลตฟอร์มระบบปฏิบัติการ Android มากนัก

ในตัว Sharkbot จะมีชุดคำสั่งอยู่ทั้งหมด 22 ชุดคำสั่ง ที่ใช้ในการจารกรรม หรือล่อลวงผู้ใช้งานระบบปฏิบัติการ Android อย่างเช่น การขออนุญาตส่งข้อความ SMS, ลบแอปพลิเคชัน, ส่งข้อมูลผู้ติดต่อไปยังเซิร์ฟเวอร์, ปิดระบบจัดการแบตเตอรี่ เพื่อให้ Sharkbot สามารถทำงานอยู่ในเบื้องหลังได้ตลอดเวลา ฯลฯ

Sharkbot ถูกค้นพบเป็นครั้งแรกเมื่อวันที่ 25 กุมภาพันธ์ ค.ศ. 2022 (พ.ศ. 2565) โดยมีแอปพลิเคชัน 4 ตัวที่ถูกค้นพบ หลังจากนั้นในวันที่ 9 ของเดือนถัดมา ทาง Google ก็ได้ลบมันออกจากระบบ แต่วันที่ 15 มีนาคม ค.ศ. 2022 (พ.ศ. 2565) ก็ได้มีการค้นพบแอปพลิเคชันที่เป็นพาหะมัลแวร์เพิ่มเติมอีก 2 ตัว ซึ่งก็ได้ถูกทาง Google ลบออกไปในวันที่ 27 ของเดือนเดียวกัน

ผู้ที่ใช้งานระบบปฏิบัติการ Android อยู่ หากตรวจสอบแล้วพบว่ามีแอปพลิเคชันที่อยู่ภายในรายชื่อติดตั้งอยู่ภายในเครื่อง แนะนำให้รีบลบแอปพลิเคชันดังกล่าวออกทันที และทำการเปลี่ยนรหัสผ่านของบัญชีต่าง ๆ ให้เรียบร้อย