Kaspersky เตือน มัลแวร์ SparkCat มุ่งเล่นงานทั้ง iOS และ Android เล็งขโมย Private Key คริปโต

ในรอบเดือนที่ผ่านมา คงไม่มีมัลแวร์ตัวไหนที่เป็นข่าวฮือฮาบนข่าวทั่วไปมากเท่ากับ SparkCat ที่สร้างความตกใจ หวาดวิตกให้กับผู้ใช้งาน iOS เป็นจำนวนมาก และข่าวนี้อาจทำให้ผู้ใช้งาน Android โดยเฉพาะกลุ่มนักลงทุนคริปโตเคอร์เรนซีเกิดความไม่สบายใจได้

จากรายงานโดยเว็บไซต์ Crypto.News ได้รายงานถึงการที่ทีมวิจัยจาก Kaspersky บริษัทผู้พัฒนาซอฟต์แวร์แอนตี้ไวรัสชื่อดัง ได้ออกมาเปิดเผยถึงข้อมูลเพิ่มเติมของมัลแวร์ SparkCat นอกจากมันจะมีความสามารถในการใช้ระบบตรวจจับตัวอักษรบนรูปเพื่อดึงข้อความออกมา (Optical Character Recognition หรือ OCR) แล้ว ตัวมัลแวร์ยังสามารถค้นหารูปที่อยู่ในคลังภาพ (Photo Gallery) เพื่อค้นหาภาพที่มีข้อมูลสำคัญ อย่างรหัสกู้กระเป๋าคริปโตเคอร์เรนซี (Recovery Key) และรหัสผ่านต่าง ๆ ที่อาจซ่อนอยู่ตามรูปภาพต่าง ๆ ที่เหยื่อเก็บไว้ ไม่เพียงเท่านั้น ทางทีมวิจัยยังระบุว่า SparkCat ไม่ได้มีแค่เวอร์ชัน iOS อย่างที่ข่าวส่วนใหญ่นำเสนอกัน แต่ยังมีเวอร์ชัน Android อีกด้วย

โดยข้อแตกต่างของมัลแวร์ทั้ง 2 เวอร์ชันนั้นจะต่างกันเล็กน้อยโดยในเวอร์ชัน Android นั้นจะซ่อนตัวในโมดูลสำหรับการวิเคราะห์ (Analytic Module) บน Android SDK ซึ่งหลังจากที่ติดตั้งลงบนเครื่องของเหยื่อแล้ว ตัวมัลแวร์จะทำการดึงไฟล์ตั้งค่ามาจากคลังเก็บข้อมูลดิจิทัล (Repo หรือ Repository) ที่แฮกเกอร์สร้างไว้บน GitHub และหลังจากที่มัลแวร์เริ่มทำงาน ตัวมัลแวร์จะทำการใช้งานฟีเจอร์ OCR ของ Google ML เพื่อสแกนรูปต่าง ๆ ที่อยู่ในคลังภาพว่ามีข้อมูลบนรูปไหนที่ตรงกับชุดคำ (Keywords) เกี่ยวกับรหัสกู้กระเป๋าเงินคริปโตเคอร์เรนซีที่ถูกตั้งค่าไว้บนมัลแวร์บ้าง โดยชุดคำดังกล่าวนั้นจะครอบคลุมหลายภาษาไม่ว่าจะเป็นภาษาอังกฤษ, ญี่ปุ่น, จีน, เกาหลี และภาษาอื่น ๆ ที่ใช้ในแถบยุโรป (แหล่งข่าวไม่ได้ระบุว่ามีภาษาไทยด้วยหรือไม่) หลังจากที่ตรวจพบแล้ว ตัวมัลแวร์จะทำการอัปโหลดรูปในรูปแบบไฟล์เข้ารหัสขึ้นสู่เซิร์ฟเวอร์ของแฮกเกอร์ ด้วยการส่งผ่าน Amazon Cloud Storage หรือ Rust-Based Protocol เพื่อทำให้การตรวจจับทำได้ยากยิ่งขึ้น

สำหรับเวอร์ชัน iOS นั้นจะมีรายละเอียดต่างกันเล็กน้อย โดยจะเป็นการแพร่กระจายผ่าน Framework (โครงร่างโค้ด) สำหรับการพัฒนาแอปพลิเคชันบน iOS ที่มีชื่อเสียงอย่างเช่น GZIP, Googleappsdk, หรือ Stat โดยมัลแวร์ดังกล่าวจะถูกเขียนขึ้นบนภาษา Objective-C และมีการเพิ่มโค้ดตีรวนเพื่อให้ระบบความปลอดภัยตรวจจับได้ยาก (Obfuscation) ด้วยเครื่องมืออย่าง HikariLLVM ทั้งยังมีการเชื่อมต่อกับ Google ML เพื่อใช้งานเครื่องมือ OCR ในการตรวจจับข้อความบนรูปภาพ

ถึงแม้จากข้อมูลทั้งหมดแล้ว จะเห็นว่าตัวมัลแวร์จะมุ่งเน้นไปยังกลุ่มนักพัฒนาแอปพลิเคชันที่มีการลงทุนบนเหรียญคริปโตเคอร์เรนซีเป็นหลัก แต่ผู้ใช้งานทั่วไปก็ต้องไม่ประมาท ต้องระมัดระวังจากการดาวน์โหลดแอปพลิเคชันจากนอกแอปสโตร์มาติดตั้ง เพราะนอกจากจะเพิ่มความปลอดภัยจากการติดมัลแวร์ตัวนี้แล้ว ยังสามารถเลี่ยงภัยมัลแวร์ตัวอื่น ๆ ได้อีกด้วย