459/69 (IT) ประจำวันจันทร์ที่ 24 สิงหาคม 2569
นักวิจัยด้านความปลอดภัยเปิดเผยมัลแวร์ Android ToxicPanda 2.0 ที่เพิ่มความสามารถในการขอสิทธิ์ VPN Service เพื่อสร้าง local interface สำหรับควบคุมทราฟฟิกเครือข่ายบนอุปกรณ์ที่ติดมัลแวร์ โดยฟีเจอร์ดังกล่าวทำให้มัลแวร์สามารถบล็อกการสื่อสารของ Google Play และ Google Play Services ซึ่งอาจรบกวนการตรวจสอบแอป การอัปเดต และการสื่อสารของ Play Protect ที่ใช้ช่วยป้องกันผู้ใช้จากแอปอันตราย
ToxicPanda 2.0 ถูกเผยแพร่ผ่าน bucket ที่โฮสต์บน Amazon AWS โดยรองรับคำสั่งควบคุม 167 รายการ รวมถึง Phishing Overlay ที่มุ่งเป้าแอปธนาคาร การเงิน คริปโทเคอร์เรนซี และ E-wallet รวม 349 แอปใน 16 ประเทศ นอกจากนี้ ยังมีโมดูลสำหรับขโมย PIN ที่มุ่งเป้าแอปการเงินและคริปโทกว่า 140 แอป โดยสามารถอัปเดตรายการเป้าหมายได้แบบไดนามิก และใช้ Overlay ที่ผู้ใช้งานมองไม่เห็นเพื่อดักจับการแตะหน้าจอบนแอปเป้าหมาย
มัลแวร์สามารถใช้ Android Debug Bridge (ADB) แบบอัตโนมัติเพื่อเข้าถึงสิทธิ์ระดับ Shell บนอุปกรณ์ โดยอาศัยสิทธิ์ Accessibility เพื่อเปิด Developer Options เปิด Wireless Debugging ดึงรหัสจับคู่ ADB แบบ 6 หลักและหมายเลข Port จากนั้นเชื่อมต่อกับบริการ ADB ภายในอุปกรณ์ เมื่อได้สิทธิ์ระดับ shell แล้ว มัลแวร์สามารถรันคำสั่งที่มีสิทธิ์สูง ให้สิทธิ์เพิ่มเติมกับตนเอง ปิดข้อจำกัดการทำงานเบื้องหลัง เปิดใช้งานส่วนประกอบสำคัญโดยไม่แจ้งเตือน และสร้างกลไกคงอยู่ในระบบได้ ผู้ใช้งาน Android ควรติดตั้งแอปจากแหล่งทางการเท่านั้น และหลีกเลี่ยงการอนุญาตสิทธิ์ VPN Service, Accessibility Service หรือ Wireless Debugging ให้กับแอปที่ไม่จำเป็น