Avast! และ Trend Micro สองผู้ให้บริการซอฟต์แวร์ Antivirus ชื่อดัง ออกมาแจ้งเตือนถึงมัลแวร์ GhostTeam ซึ่งแพร่กระจายตัวอยู่ใน Google Play Store รวมแล้วมากกว่า 50 แอปพลิเคชัน ซึ่งช่วยให้แฮ็กเอร์สามารถขโมยข้อมูลล็อกอินของ Facebook และแสดงโฆษณาบนอุปกรณ์ที่ติดมัลแวร์ได้

ทีมนักวิจัยด้านความมั่นคงปลอดภัยของทั้งสองบริษัทระบุว่า มัลแวร์ดังกล่าวแฝงตัวอยู่ในแอปพลิเคชันบน Google Play Store มาตั้งแต่เดือนเมษายนปี 2017 โดยใช้เทคนิคในการแพร่กระจายตัวที่ค่อนข้างใหม่และมีประสิทธิภาพ โดยเริ่มจากหลอกให้ผู้ใช้ดาวน์โหลดแอปพลิเคชันบน Google Play Store มาติดตั้งก่อน แอปพลิเคชันดังกล่าวจะเป็นแอปพลิเคชันที่ดูเหมือนไม่มีพิษมีภัย ไม่ได้ทำอันตรายแก่ตัวเครื่องโดยตรง แต่จะทำหน้าที่เป็น Dropper ซึ่งจะติดต่อกับ C&C Server เพื่อทำการดาวน์โหลดและติดตั้งแอปพลิเคชันอีกตัวหนึ่งซึ่งมีมัลแวร์ GhostTeam แฝงตัวอยู่ ผ่านทางการแจ้งเตือนผู้ใช้ว่ามีปัญหาเกี่ยวกับความมั่นคงปลอดภัย จำเป็นต้องดาวน์โหลดแอปมาติดตั้งเพิ่มเติมและต้องใช้สิทธิ์ Admin

หลังจากที่แอปพลิเคชัน GhostTeam ถูกติดตั้งลงบนเครื่องและได้สิทธิ์ Admin แล้ว มันจะเริ่มแสดงโฆษณาบนเครื่องของผู้ใช้ทันที รวมไปถึงใช้วิธีพิเศษในการแอบขโมยข้อมูล Credential จากหน้าล็อกอินจริงของ Facebook กล่าวคือ เมื่อผู้ใช้กำลังจะเปิดแอป Facebook มัลแวร์จะทำการเปิดหน้าล็อกอินของ Facebook ผ่านทาง Headless Browser ของ Android โดยใช้ WebView หรือ WebChromeClient แทน พร้อมกับแทรกโค้ด JavaScript สำหรับเก็บข้อมูลล็อกอิน Facebook ของผู้ใช้เข้าไปด้วย เมื่อผู้ใช้ลงทะเบียนเข้าใช้ Facebook ข้อมูลเหล่านั้นก็จะถูกส่งกลับไปยัง C&C Server ของแฮ็กเกอร์ในภายหลัง

จุดเด่นสำคัญของวิธีนี้คือ การดำเนินการทุกขั้นตอนถูกกระทำบนหน้าล็อกอินจริงของ Facebook และผ่านทางระบบที่ถูกต้องของ Android ทำให้ซอฟต์แวร์รักษาความมั่นคงปลอดภัยส่วนใหญ่บนเครื่องไม่สามารถตรวจจับและป้องกันได้

Avast! และ Trend Micro ระบุว่า มีแอปพลิเคชันบน Google Play Store ที่นำไปสู่มัลแวร์ GhostTeam มากถึง 53 แอปพลิเคชัน ซึ่งแอปพลิเคชันทั้งหมดใช้ภาษาเวียดนามเป็นภาษาพื้นฐาน และ C&C Server ก็เป็น IP จากประเทศเวียดนาม ทำให้คาดเดาได้ไม่ยากว่าแฮ็กเกอร์น่าจะเป็นชาวเวียดนาม อย่างไรก็ตาม ประเทศที่ได้รับผลกระทบจาก GhostTeam มากที่สุดกลับเป็นอินเดีย อินโดนีเซีย และบราซิล ตามลำดับ คิดเป็น 60% ของอุปกรณ์ทั้งหมดที่ติดมัลแวร์

ทั้งสองบริษัทได้แจ้งเรื่องมัลแวร์ GhostTeam ไปยัง Google ซึ่งก็ได้ลบแอปพลิเคชันทั้ง 53 รายการออกจาก Play Store เป็นที่เรียบร้อย ส่วนใหญ่เป็นแอปพลิเคชันประเภท Flashlight, QR Code Scanner, Compass, Device Optimization และ Device Cleaning สามารถดูรายชื่อแอปพลิเคชันทั้งหมดได้ที่นี่ [PDF] ถ้าพบว่าบนอุปกรณ์ของตนมีแอปพลิเคชันดังกล่าวติดตั้งอยู่ ให้รีบลบแอปพลิเคชันทิ้ง เปลี่ยนรหัสผ่าน Facebook และใช้การพิสูจน์แบบ 2-factor Authentication

—————————————————–

ที่มา : Techtalk Thai / January 19, 2018

Link : https://www.techtalkthai.com/ghostteam-android-malware-steals-facebook-credential/

Tags: ความปลอดภัยไซเบอร์ความเสี่ยง ภัยคุกคาม

Author: Admin S.10

GhostTeam Android Malware Can Steal Facebook Credentials

You are here:

Home
Knowledge
GhostTeam Android Malware Can Steal…

Google has removed 53 apps from the official Play Store because they were spreading a new breed of Android malware named GhostTeam that could steal Facebook credentials and push ads to infected phones.

Discovered by the mobile security teams at Avast and Trend Micro, researchers say the malware has been active on the Play Store since April 2017, but only recently discovered and reported to the Google team.

GhostTeam uses benign apps to infect devices

GhostTeam’s modus operandi is up to par with the latest distribution techniques, currently in vogue with most Android malware developers.

The initial infections occur when users install a clean app with legitimate features. This app is known as a “dropper” and will, at some point, contact a remote command-and-control server from where it will download and install secondary apps that contain the real GhostTeam malware.

This second-stage app is usually disguised as a system-level app. Attackers use fake security alerts displayed via the original app to trick users into installing the second app and gaining admin rights.

Once the second app obtains admin-level access, GhostTeam will primarily show intrusive ads on the user’s phone.

Facebook login data theft as a secondary function

As a secondary function, researchers say they’ve also seen GhostTeam stealing Facebook credentials. The method it uses is somewhat unique, as the app doesn’t use fake login screens overlaid on top of the original Facebook app, but steals data from the actual Facebook login page.

It achieves this by detecting when the user tries to open the real Facebook app, and then opening the real Facebook login page inside a native Android headless browser component, such as WebView or WebChromeClient. These are portable browser that developers can embed inside their apps, and over which app developers have full control.

The GhostTeam-infected app loads the real Facebook login page inside these portable browsers, but it also loads malicious JavaScript code that harvests the user’s Facebook login credentials. This data is later sent to a remote server under the attackers’ control.

Because the login operations take place on the actual Facebook login page and inside a legitimate Android component, mobile security products cannot detect this credentials harvesting method.

GhostTeam most likely created by a Vietnamese threat actor

Avast and Trend Micro say all the malicious apps appear to have been created by a Vietnamese threat actor. The apps have Vietnamese as their default language (they also offer English versions for non-Vietnamese users), some of their Play Store descriptions are also in Vietnamese, and they communicate with command and control servers hosted on Vietnamese IPs.

Despite this, the top countries affected by GhostTeam are India, Indonesia, and Brazil, all three accounting for 60% of all infections.

Even if Google has removed most of the malicious dropper apps that installed GhostTeam as a second-stage payload, some of these apps may still be active on some users’ phones. Trend Micro has released a list with the names of all malicious apps. Most are unsophisticated apps such as flashlight apps, QR code scanners, compass apps, and device optimization and device cleaning apps.

If users find any of these apps on their phones, they should immediately change their Facebook credentials and enable two-factor authentication.

The two security firm believe miscreants used GhostTeam to earn money via the ads they pushed to infected devices and by surreptitiously liking and sharing content via compromised accounts as part of social promotion services.

More technical details are available in the GhostTeam reports published by Avast and Trend Micro.

—————————————————-

From : BLEEPINGCOMPUTER / January 18, 2018

Link : https://www.bleepingcomputer.com/news/security/ghostteam-android-malware-can-steal-facebook-credentials/

Tags: Cyber Security ภัยคุกคาม

เตือนมัลแวร์ GhostTeam บน Android ขโมยข้อมูลล็อกอินของ Facebook

Author: Admin S.10

Related posts

GhostTeam Android Malware Can Steal Facebook Credentials

GhostTeam uses benign apps to infect devices

Facebook login data theft as a secondary function

GhostTeam most likely created by a Vietnamese threat actor

Author: Admin S.10

Related posts