มัลแวร์แทรกตัวผ่าน Google Play ด้วยเทคนิคเจาะการยืนยันตัวตน

ESET วิเคราะห์เทคนิคในการเจาะผ่านระบบการยืนยันตัวตนด้วย SMS และแทรกซึมเข้า Google Play

เมื่อมีนาคม 2019 ทาง Google ได้ออกกฎห้ามแอปพลิเคชั่น Android ขออนุญาตใช้บันทึกการส่งข้อความ SMS และประวัติการโทร ประโยชน์ที่ได้รับทันทีเลยก็คือแอปพลิเคชั่นขโมยชื่อผู้ใช้และรหัสผ่านเสียทางเลือกในการขออนุญาตเพื่อเข้าถึง SMS เพื่อเจาะระบบการยืนยันตัวตน

แต่ตอนนี้เราพบแอปพลิเคชั่นที่สามารถเข้าถึงรหัส OTP (One-Time Password) โดยไม่ต้องขออนุญาตเข้าถึงข้อความ SMS และยังมีวิธีในการเอารหัส OTP จากระบบ email-based 2FA

โดยตัวแอปพลิเคชั่นปลอมตัวเป็นแอปพลิเคชั่นแลกเปลี่ยนเงินสกุลออนไลน์สัญชาติตุรกี BtcTurk และขโมยข้อมูลล็อคอิน นอกจากนี้แทนที่จะดักจับข้อความ SMS แอปพลิเคชั่นเหล่านี้เอา OTP จากหน้าการแจ้งเตือน

ผลิตภัณฑ์ของ ESET สามารถตรวจจับแอปพลิเคชั่นนี้ได้ในชื่อ Android/FakeApp.KP

แอปพลิเคชั่น “BTCTurk Pro Beta” แทรกซึมเข้า Google Play และใช้ชื่อผู้พัฒนาเดียวกัน โดยมีคนดาวน์โหลดและติดตั้งไปเพียง 50 คนก่อนที่ทาง ESET จะแจ้งทาง Google ให้นำแอปพลิเคชั่นดังกล่าวออกไป

แอปพลิเคชั่นตัวที่สองตามมาในชื่อ “BTCTurk Pro Beta” ในชื่อผู้พัฒนา “BtSoft” แม้ว่าจะมาเหมือนเดิมแต่ก็เหมือนมาจากผู้โจมตีคนอื่นและมียอดดาวน์โหลดไม่ถึง 50 ครั้ง หลังจากที่แอปพลิเคชั่นตัวที่สองถูกนำออกไป ก็มีแอปพลิเคชั่นชื่อ “BTCTURK PRO” ออกมา

โดยปกติแล้วบริการแลกเปลี่ยนเงินสกุลออนไลน์ BtcTurk มีแอปพลิเคชั่นของตัวเอง ให้บริการเฉพาะในประเทศตุรกี

วิธีอยู่อย่างปลอดภัย

หากคุณสงสัยว่าได้ติดตั้งหรือใช้งานแอปพลิเคชั่นอันตราย เราแนะนำให้คุณถอนการติดตั้ง และตรวจสอบกิจกรรมที่เกิดขึ้นและเปลี่ยนรหัสผ่าน

เทคนิคการอยู่อย่างปลอดภัยจากมัลแวร์การเงิน:

• ใช้แอปพลิเคชั่นทางการเงินจากเว็บไซต์หลักโดยตรง
• กรอกข้อมูลสำคัญที่มั่นใจว่าปลอดภัย
• อัพเดตอุปกรณ์อย่างสม่ำเสมอ
• ใช้โปรแกรมรักษาความปลอดภัยเพื่อป้องกันและกำจัดภัยคุกคาม
• เปิดใช้งานการยืนยันตัวตนสองขั้นตอนหรือ One-Time Password
• ใช้แอปพลิเคชั่นที่น่าเชื่อถือ

Author: Lukas Stefanko
Source: https://www.welivesecurity.com/2019/06/17/malware-google-permissions-2fa-bypass/
Translated by: Worapon H.