พบแอปพลิเคชันซื้อขาย Cryptocurrency ปลอมขโมยเงินและ Credential ของผู้ใช้งาน

ESET ผู้ให้บริการซอฟต์แวร์ Antivirus ออกมาแจ้งเตือนถึงแอปพลิเคชันปลอมบน Google Play ซึ่งช่วยให้แฮ็คเกอร์สามารถขโมย Credential ของผู้ใช้งาน Poloniex Cryptocurrency Exchange รวมไปถึงเข้าถึงบัญชี Gmail บนอุปกรณ์สมาร์ตโฟนของเหยื่อได้
นักวิจัยจาก ESET พบแอปพลิเคชันปลอม 2 ตัวบน Google Play ที่หลอกผู้ใช้ล็อกอินรหัส Poloniex (หนึ่งใน Crytocurrency ที่ได้รับความนิยม) และอนุญาตให้แอปพลิเคชันเข้าถึงบัญชี Gmail โดยนักวิจัยกล่าวผ่านบล็อกว่า “แฮ็กเกอร์พยายามทุกทางที่ทำได้เพื่อเข้าควบคุมการประมวลผลของคอมพิวเตอร์เพื่อขุดเหมือง Crytocurrency ผ่าน Browser หรือ คอมพิวเตอร์ที่ไม่ได้รับการแพตซ์ โดยหลอกล่อด้วยเว็บไซต์หลอกลวงและแอปพลิเคชันปลอม”
การทำงานของแอปพลิเคชันปลอมทั้ง 2 ตัวมีขั้นตอนดังนี้
  1. แสดงหน้าให้ล็อกอินบัญชีของ Poloniex จากนั้นแอปพลิเคชันก็จะส่ง Credential ไปให้แฮ็กเกอร์ เมื่อได้ข้อมูลที่ต้องการแล้วแฮ็กเกอร์สามารถดำเนินธุรกรรมของผู้ใช้ต่อไปหรือเปลี่ยนการตั้งค่า รวมไปถึงเปลี่ยนรหัสผ่านของผู้ใช้จนผู้ใช้ไม่สามารถเข้าถึงบัญชีได้
  2. แอปพลิเคชันปลอมจะขอให้ผู้ใช้ล็อกอินด้วยบัญชี Google ซึ่งโดยปกติ Google แล้วจะมีกระบวนการ ‘2Step Verification’ เพื่อถามสิทธิ์การเข้าถึงของแอปพลิเคชันต่อบัญชี Google ถ้าหากผู็ใช้งานอนุญาติให้สิทธิ์แอปพลิเคชันนี้ แฮ็กเกอร์สามารถได้รับข้อมูลเพื่อดูข้อความในอีเมล ค่าการติดตั้งเริ่มต้นของบัญชี Google และข้อมูลส่วนตัวพื้นฐานของผู้ใช้งาน
  3. เมื่อเปิดใช้งานโปรแกรมเพื่อจะใช้งานแอปพลิเคชันปลอมนี้จะเด้งไปยังหน้าเว็บจริงของ Poloniex ซึ่งต้องให้ผู้ใช้งานล็อกอินอีกครั้ง จากนั้นทุกครั้งที่แอปพลิเคชันทำงานก็จะใช้งานเว็บจริง ดังนั้นผู้ใช้งานจะไม่มีวันรู้ได้เลยว่าโดนหลอกแล้วจนกระทั่งเงินหายไปจากบัญชี
นักวิจัยเสริมว่า “ด้วยการเข้าถึงบัญชี Poloniex และ Gmail แฮ็กเกอร์สามารถแทรกแทรงการใช้งานและลบการแจ้งเตือนการล็อกอินที่ไม่เหมาะสมภายใน Inbox ของเหยื่อ” โดยผู้ใช้งานที่ใช้งาน 2-factor Authentication ปลอดภัยจากการโจมตีที่เกิดขึ้น ทีมวิจัยยังได้แสดงระละเอียดเกี่ยวกับแอปพลิเคชั่นปลอมทั้งสองตัวดังนี้
  • แอปพลิเคชันตัวแรกใช้ชื่อว่า POLONIEX ชื่อผู้พัฒนาคือ Poloniex มีตัวเลขรายงานว่ามีผู้ใช้ติดตั้งแล้ว 5,000 คน ภายในช่วง 28 สิงหาคม – 19 กันยายน
  • แอปพลิเคชันตัวที่สองชื่อว่า POLONIEX EXCHANGE ชื่อผู้พัฒนาคือ POLONIEX COMPANY ปรากฏบน Google Play เมื่อวันที่ 15 ตุลาคม มีผู้ติดตั้งแล้วกว่า 500 คนในสัปดาห์ที่แล้ว
อย่างไรก็ตาม ESET ได้แจ้งให้ทาง Google ลบแอปพลิเคชันปลอมสองตัวนี้ออกได้เรียบร้อยแล้ว

Comments

Post a Comment

Popular posts from this blog

นักวิจัยปล่อยโค้ดที่ทำให้เกิดจอฟ้ากับเครื่อง Windows จำนวนมากบน GitHub

Image
ผู้เชี่ยวชาญด้านฮาร์ดแวร์ชาวโรมาเนียได้ปล่อยโค้ด PoC ที่สามารถทำให้คอมพิวเตอร์ส่วนใหญ่ที่ใช้งาน Windows เกิดจอฟ้า แม้ว่าจะล็อกเครื่องอยู่ก็ตาม โดยโค้ดที่เผยแพร่นั้นได้อาศัยช่องโหว่จากการจัดการ image ของ Filesystem แบบ NTFS ซึ่งถูกค้นพบโดย Marius Tivadar นักวิจัยด้านความมั่นคงปลอดภัยจาก Bitdefender การใช้งานโค้ดดังกล่าวทำได้ผ่านการเสียบ Thumb Drive ในช่อง USB เพียงไม่กี่วินาทีเท่านั้นก็จะทำให้ Windows เกิดอาการทำงานผิดพลาดจนแสดงผลจอฟ้า อย่างไรก็ตามแม้ว่าคอมพิวเตอร์จะปิดการเล่นอัตโนมัติหรือ Autoplay ไว้แต่ก็สามารถใช้โค้ดนี้ได้เช่นกันหาก Windows Defender หรือเครื่องมืออื่นๆ เข้ามาสแกนอ่านใน Thumb Drive ในกรณีของเครื่องคอมพิวเตอร์ที่ล็อกเครื่องเอาไว้แล้วยังสามารถใช้โค้ด PoC ได้ผลนั้น นักวิจัยได้ให้ความเห็นว่าพฤติกรรมของ OS ที่ควรเปลี่ยนคือ “ ไม่ควรอนุญาตให้เครื่องที่ล็อกอยู่สามารถโหลด Driver หรือ Execute โค้ดจากอุปกรณ์ภายนอกที่เสียบเข้ามาได้ ” อย่างไรก็ตามทาง Microsoft ไม่ได้แก้ไข Bug นี้แม้ว่านักวิจัยจะได้รายงานเข้าไปแล้วตั้งแต่ กรกฎาคม 2017 และลดระดับความสำคัญของ Bug ลงเนื่องจากคิดว่...
Read more

ผู้เชี่ยวชาญพบมัลแวร์ใช้ Windows BITS เพื่อติดต่อเซิร์ฟเวอร์ควบคุม

Image
ผู้เชี่ยวชาญจาก ESET ได้ออกมาเปิดเผยเรื่องราวของมัลแวร์ใช้ Windows BITS เพื่อลอบติดต่อกับเซิร์ฟเวอร์ควบคุม โดยคาดว่าจะเป็นกลุ่มของแฮ็กเกอร์ที่มีนามแฝงว่า Stealth Falcon Background Intelligence Transfer Service ( BITS ) เป็นส่วนประกอบหนึ่งใน Windows ที่ถูกใช้เพื่อนำส่งการอัปเดตต่างๆ สู่ผู้ใช้งานเมื่อไม่ได้ใช้งานเครือข่าย เช่น Windows Update, Microsoft Update, Server Update และ System Center Configuration Update เป็นต้น รวมถึง Windows Defender ก็ใช้ช่องทางนี้เพื่ออัปเดต Signature ด้วย ทั้งนี้แอปพลิเคชันอื่นก็มีความเป็นไปได้ที่จะเข้ามาใช้ช่องทางนี้ อย่างตอนนี้ที่ Mozilla กำลังพยายามพัฒนาให้ Firefox สามารถใช้ BITS เพื่ออัปเดตได้ อย่างไรก็ตามดูเหมือนว่าเหรียญย่อมมีสองด้านเสมอเพราะหลายปีที่ผ่านมา BITS เคยถูกใช้ในแคมเปญการโจมตีมาแล้วหลายครั้ง ซึ่งมีแนวโน้มว่าจะพบเห็นได้บ่อยขึ้นด้วย โดยล่าสุด ESET ก็ได้เผยถึงกลุ่ม Stealth Falcon ที่ได้ใช้ช่องทางนี้กับ Backdoor ของตนเพื่อลอบติดต่อกับเซิร์ฟเวอร์ ที่คาดว่าหลายองค์กรไม่ค่อยใส่ใจกับทราฟฟิคทางของ BITS เท่าไหร่นัก สำหรับ Stealth Falcon นั้นเป็...
Read more

รู้สาเหตุแล้ว ประเทศในแถบเอเชียตะวันออกเฉียงใต้เน็ตช้าเพราะสายเคเบิลใต้ทะเลขาด

Image
หลายประเทศในเขตเอเชียตะวันออกเฉียงใต้ต้องประสบปัญหาจากการใช้อินเทอร์เน็ตในช่วงไม่กี่วันมานี้ จากการตรวจสอบล่าสุดพบว่ามีสาเหตุมาจากสายเคเบิลใต้ทะเลที่เชื่อมต่อระหว่างเอเชียและประเทศต่างๆ ถูกตัดขาดหลายจุดอันเนื่องมาจากพายุไต้ฝุ่น ส่งผลให้อินเทอร์เน็ตของ ISP หลายรายในเขตเอเชียตะวันออกเฉียงใต้ทำงานได้ช้าลงหรือหยุดทำงาน แหล่งข่าวหลายแห่งออกมาระบุว่า สายเคเบิลใต้ทะเลที่เป็นเกตเวย์ออกอินเทอร์เน็ตที่ได้รับ ความเสียหายในช่วงสัปดาห์ที่ผ่านมาประกอบด้วย 4 สาย ได้แก่ Asia-American Gateway (AAG) – สายเคเบิลที่เชื่อมระหว่างเอเชียตะวันออกเฉียงใต้และสหรัฐฯ ระยะทางกว่า 20,000 กิโลเมตร ได้รับความเสียหาย 2 จุดห่างจากสถานีปลายทางที่ฮ่องกง 66 กิโลเมตร และ 85 กิโลเมตร Intra-Asia (IA) – สายเคเบิลของเครือข่าย Tata Global Network (TGN) ที่เชื่อมสิงคโปร์ เวียดนาม ฟิลิปปินส์ ฮ่องกง ญี่ปุ่น และสหรัฐฯ เข้าด้วยกัน ได้รับความเสียหายห่างจากฮ่องกง 54 กิโลเมตร ASE (Asia Submarine-cable Express) – สายเคเบิลของ NTT, PLDT, Telekom Malaysia และ Starhub ที่เชื่อมญี่ปุ่น ฮ่องกง ฟิลิปปินส์ มาเลเซีย และสิงคโปร์ ได้รับค...
Read more