มัลแวร์ TrickMo นักดูดเงินบน Android กลับมาอีกครั้ง พร้อมฟีเจอร์ใหม่ Lock Screen ปลอม หลอกขโมยรหัส PIN

มัลแวร์ดูดเงินจากบัญชีธนาคาร มักจะเป็นมัลแวร์ประเภทที่ตกเป็นข่าวอยู่อย่างสม่ำเสมอเนื่องจากก่อความเสียหายได้อย่างชัดเจน รวดเร็ว และผู้ประสบภัยแบบบุคคลทั่วไปนั้นมีจำนวนมาก ข่าวร้ายคือ มัลแวร์ประเภทนี้มักจะมีกลยุทธ์ใหม่ ๆ อย่างสม่ำเสมอ

จากรายงานโดยเว็บไซต์ Bleeping Computer ได้รายงานถึงวิธีการโจมตีแบบใหม่ของมัลแวร์ TrickMo ซึ่งเป็นมัลแวร์ประเภท Banking Trojan หรือ มัลแวร์ที่มุ่งเน้นในการขโมยเงินจากบัญชีธนาคารของเหยื่อ โดยมัลแวร์ดังกล่าวนั้นถูกตรวจพบและบันทึกเป็นลายลักษณ์อักษรครั้งแรกโดยทีมวิจัย IBM X-Force ซึ่งเป็นทีมย่อยของบริษัทด้านไอทีเก่าแก่อย่าง IBM ตั้งแต่ช่วงปี ค.ศ. 2020 (พ.ศ. 2563) แต่ได้มีรายงานว่ามีการระบาดมาตั้งแต่เดือนกันยายน ค.ศ. 2019 (พ.ศ. 2562) แล้ว ซึ่งปัจจุบันได้ถูกพัฒนาไปจนมีมากกว่า 40 สายพันธุ์ ซึ่งมีความเชื่อมโยงกับมัลแวร์นกต่อ (Dropper) กว่า 16 ตัว และเซิร์ฟเวอร์ควบคุม (C2 หรือ Command and Control) กว่า 22 แห่ง

นอกจากนั้น มัลแวร์ยังมาพร้อมฟีเจอร์ใหม่สำหรับการหลอกขโมยรหัส PIN จากโทรศัพท์มือถือของเหยื่อ นอกจากนั้นฟีเจอร์ใหม่สำหรับมัลแวร์ TrickMo รุ่นปัจจุบันนั้นยังมีความสามารถในการขโมยรหัสผ่านแบบใช้ครั้งเดียว (OTP หรือ One-Time-Password), ฟีเจอร์บันทึกหน้าจอ, ระบบส่งไฟล์กลับไปยังแฮกเกอร์, การควบคุมจากระยะไกล และฟีเจอร์อื่น ๆ อีกมากมาย ไม่เพียงเท่านั้น มัลแวร์ยังมีความสามารถในการใช้งาน Accessibility Mode (โหมดควบคุมแบบพิเศษเพื่ออำนวยความสะดวกให้ผู้ใช้งานที่พิการ) เพื่อเพิ่มสิทธิ์ในการเข้าถึงระบบของตัวมัลแวร์อีกด้วย

สำหรับฟีเจอร์ที่กำลังเป็นประเด็นอย่างฟีเจอร์การขโมยรหัส PIN นั้น ตัวมัลแวร์จะใช้หน้าล็อกหน้าจอปลอมด้วยการเปิดหน้าเพจที่ถูกเขียนขึ้นในรูปแบบ HTML ที่คล้ายคลึงกับหน้าล็อกหน้าจอซึ่งถูกโฮสต์อยู่ที่อื่น โดยหน้าล็อกหน้าจอดังกล่าวนั้นมีความสามารถในการเก็บข้อมูลทั้งแบบ PIN หรือแบบการวาดลวดลายเพื่อการปลดล็อกหน้าจอ พร้อมทั้งความสามารถในการบันทึกเลขเฉพาะของเครื่อง หรือ Android ID ในรูปแบบ PHP Scripts อีกด้วย

ภาพจาก : https://www.bleepingcomputer.com/news/security/trickmo-malware-steals-android-pins-using-fake-lock-screen/

จากรายงานโดยทีมวิจัยแห่งบริษัทผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ Zimperium ได้รายงานว่ามัลแวร์ดังกล่าวนั้นปัจจุบันได้มีการระบาดไปทั่วโลกแล้ว (รวมถึงประเทศไทยด้วย) แต่มีการระบาดอย่างหนักมาเป็นพิเศษที่ประเทศแคนาดา ตามมาด้วย UAE, ตุรกี และ เยอรมนี โดยปัจจุบันมีเหยื่อมากกว่า 13,000 รายแล้ว นอกจากนั้นทางทีมวิจัยได้รายงานว่า มัลแวร์ดังกล่าวไม่เพียงแต่มีความสามารถในการแฮกแอปพลิเคชันธนาคารได้เท่านั้น แต่ยังสามารถเข้าถึงแอปพลิเคชัน และข้อมูลบัญชีการใช้งาน VPN (Virtual Private Network), แอปพลิเคชันสตรีมมิ่ง, เว็บ eCommerce, รวมไปถึงโซเชียลมีเดีย อีกด้วย