แคมเปญโคลนแอป Android สุดซับซ้อนมุ่งเป้าผู้ใช้งานธนาคารในอินโดนีเซีย

ผู้โจมตีเปลี่ยนฟีเจอร์ Android Work Profiles ให้กลายเป็นอาวุธ

พบแคมเปญไซเบอร์บนมือถือที่มีความซับซ้อนมุ่งเป้าไปที่ผู้ใช้งานแอปธนาคารในประเทศอินโดนีเซีย โดยใช้เทคนิคหลอกลวงเพื่อหลบเลี่ยงระบบรักษาความปลอดภัยแบบดั้งเดิม กลุ่มผู้คุกคามโดยเฉพาะกลุ่ม GoldFactory ถูกตรวจพบว่ากำลังใช้ประโยชน์จากฟีเจอร์ 'Work Profile' ซึ่งเป็นฟีเจอร์องค์กรที่มีมาพร้อมใน Android กลไกนี้ช่วยให้ผู้ไม่หวังดีสามารถติดตั้งมัลแวร์ทางการเงินที่อันตราย รวมถึง Gigabud banking trojan ควบคู่ไปกับแคมเปญอิสระที่แพร่กระจายมัลแวร์ตระกูล Mantax Otax

ด้วยการหลอกล่อให้ผู้ใช้งานตั้งค่าคอนฟิกูเรชันขององค์กรที่ถูกบุกรุก ผู้โจมตีจะทำการแยกเพย์โหลดที่เป็นอันตรายไว้ในสภาพแวดล้อมที่มีการจัดการ การตั้งค่านี้ช่วยอำนวยความสะดวกในการบันทึกหน้าจอ ดักจับการกดแป้นพิมพ์ และดักรับ SMS ของรหัส two-factor authentication (2FA) โดยไม่ทำให้ระบบแจ้งเตือนตามปกติ แอปพลิเคชันที่ถูกโคลนเลียนแบบสถาบันการเงินที่ถูกกฎหมายได้อย่างแนบเนียน หลอกล่อให้ผู้ใช้งานส่งมอบข้อมูลประจำตัวและ session tokens

คำแนะนำสำหรับการป้องกันและการลดความเสี่ยง

เพื่อปกป้องอุปกรณ์มือถือและสินทรัพย์ขององค์กรจากกลยุทธ์การโคลนแอปขั้นสูง FORTSECURE GLOBAL แนะนำให้ใช้การควบคุมดังต่อไปนี้:

• บังคับใช้ Mobile Device Management (MDM): จำกัดไม่ให้อุปกรณ์ส่วนตัวและอุปกรณ์ที่ไม่มีการจัดการสามารถตั้งค่า Work Profiles ตามอำเภอใจเมื่อเข้าถึงทรัพยากรของบริษัท และควรบังคับใช้นโยบาย Mobile Application Management (MAM) ที่เข้มงวด
• โปรแกรมสร้างความตระหนักรู้แก่ผู้ใช้: ให้ความรู้แก่ผู้ใช้งานปลายทางว่าห้ามติดตั้งโปรไฟล์การตั้งค่า ใบรับรองการจัดเตรียมขององค์กร หรือ APK ของบุคคลที่สามที่ได้รับผ่าน SMS, แพลตฟอร์มการส่งข้อความ หรือโซเชียลมีเดียโดยเด็ดขาด
• การตรวจสอบภัยคุกคามอย่างต่อเนื่อง: สถาบันการเงินควรบูรณาการระบบตรวจจับการฉ้อโกงบนมือถือแบบ real-time ที่สามารถระบุ signature ของแอปพลิเคชันที่ถูกโคลนและพฤติกรรมของเครื่องมือเข้าถึงระยะไกล (RAT) ที่ไม่ได้รับอนุญาต

---

แหล่งที่มา: Dark Reading เผยแพร่ครั้งแรก: Fri, 11 Sep 2026 01:00:00 GMT บทความต้นฉบับ: อ่านต้นฉบับ