มัลแวร์ประเภทใหม่ที่มุ่งเป้าไปที่สมาร์ทโฟนได้ติดเชื้ออุปกรณ์ประมาณ 25 ล้านเครื่อง 15 ล้านเครื่องอยู่ในอินเดีย มัลแวร์นี้ได้ชื่อว่า "Agent Smith" มันมุ่งเป้าไปที่ระบบปฏิบัติการเคลื่อนที่ Android แทนที่แอปที่ติดตั้งไว้ด้วยเวอร์ชันอันตรายโดยไม่แจ้งเตือนผู้ใช้
นี่คือวิธีตรวจจับ Agent Smith วิธีหยุดมัน และวิธีป้องกันมัลแวร์ Android
Agent Smith Malware คืออะไร?
Agent Smith เป็นมัลแวร์แบบโมดูลาร์ (modular malware) ที่ใช้ประโยชน์จากชุดช่องโหว่ Android เพื่อแทนที่แอปที่ถูกต้องที่มีอยู่แล้วด้วยการเลียนแบบอันตราย (What is modular malware, anyway?) แอปอันตรายไม่ได้ขโมยข้อมูล แทนที่จะเป็นเช่นนั้น แอปที่ถูกแทนที่จะแสดงโฆษณาจำนวนมากให้ผู้ใช้เห็น หรือขโมยเครดิตจากอุปกรณ์เพื่อจ่ายค่าโฆษณาที่แสดงไปแล้ว
มัลแวร์ถือชื่อ "Agent Smith" ชื่อเดียวกับตัวละครชื่อดังใน Matrix ที่ถูก描述เป็นไวรัส ทีมวิจัย Check Point เหตุผลว่าวิธีที่มัลแวร์ใช้เพื่อแพร่กระจายคล้ายกับเทคนิคของ Agent Smith ในซีรีส์ภาพยนตร์
"มัลแวร์โจมตีแอปที่ผู้ใช้ติดตั้งอย่างเงียบๆ ทำให้ผู้ใช้ Android ทั่วไปยากที่จะต่อสู้กับภัยคุกคามแบบนี้ด้วยตัวเอง" Jonathan Shimonovich หัวหน้าวิจัยการตรวจจับภัยคุกคามมือถือของ Check Point Software Technologies กล่าวในบล็อกโพสต์ "การรวมการป้องกันภัยคุกคามขั้นสูงและข่าวกรองภัยคุกคาม พร้อมกับการใช้แนวทาง 'hygiene first' เพื่อปกป้องทรัพย์สินดิจิทัล เป็นการป้องกันที่ดีที่สุดต่อการโจมตีมัลแวร์มือถือที่รุกรานอย่าง 'Agent Smith'"
เพิ่มเติม Agent Smith ติดเชื้ออุปกรณ์จำนวนมหาศาล อินเดียมีการติดเชื้อมากที่สุด การวิจัยของ Check Point บ่งชี้ว่ามีอุปกรณ์ 15 ล้านเครื่องที่มี Agent Smith ประเทศที่ตามมาคือ บังกลาเทศ ประมาณ 2.5 ล้านเครื่อง มีการติดเชื้อ Agent Smith ในสหรัฐอเมริกาเกิน 300,000 เครื่อง และประมาณ 137,000 เครื่องในสหราชอาณาจักร
Agent Smith Malware ทำงานอย่างไร?
Check Point Research เชื่อว่า มัลแวร์ Agent Smith มาจากบริษัทจีนที่ช่วยนักพัฒนา Android จีนเผยแพร่และส่งเสริมแอปในตลาดต่างประเทศ
มัลแวร์ปรากฏครั้งแรกบนร้านแอปบุคคลที่สาม "9Apps" ร้านแอปบุคคลที่สามนี้มุ่งเป้าไปที่ผู้ใช้อินเดีย อาหรับ และอินโดนีเซีย อธิบายได้ว่าทำไมมีการติดเชื้อจำนวนมากในพื้นที่เหล่านั้น (นี่เป็นเหตุผลที่ดีที่จะหลีกเลี่ยงการดาวน์โหลดแอป Android จากร้านแอปบุคคลที่สาม)
มัลแวร์ Agent Smith ทำงานใน 3 ขั้นตอน
- แอป dropper (ดรอปเปอร์) หลอกเหยื่อให้ติดตั้งมัลแวร์โดยสมัครใจ แอป dropper เริ่มต้นมีไฟล์อันตรายที่เข้ารหัส และมักเป็นรูปแบบ "แอปยูทิลิตี้รูปภาพที่ทำงานได้เพียงเล็กน้อย เกม หรือแอปเกี่ยวกับเพศ"
- Dropper ถอดรหัสและติดตั้งไฟล์อันตราย มัลแวร์ใช้ Google Updater, Google Update for U, หรือ "com.google.vending" เพื่อปลิดโฉมกิจกรรมของมัน
- มัลแกนหลักสร้างรายการแอปที่ติดตั้งอยู่ หากแอปตรงกับ "prey list" (รายการเหยื่อ) มันจะแพทช์แอปเป้าหมายด้วยโมดูลโฆษณาอันตราย แทนที่แอปต้นฉบับเหมือนเป็นแค่การอัปเดตแอปทั่วไป
รายการเหยื่อรวมถึง WhatsApp, Opera, SwiftKey, Flipkart, และ Truecaller และอื่นๆ
น่าสนใจที่ Agent Smith รวมช่องโหว่ Android หลายช่องเข้าด้วยกัน รวมถึง Janus, Bundle, และ Man-in-the-Disk การผสมผสานนี้สร้างกระบวนการติดเชื้อ 3 ขั้นตอน อนุญาตให้ผู้กระจายมัลแวร์สร้าง botnet ที่สร้างรายได้ (ผ่านโฆษณา) ทีมวิจัย Check Point เชื่อว่า Agent Smith เป็น "แคมเปญแรกที่เห็นว่รวมและใช้ประโยชน์จากช่องโหว่ทั้งหมด" ทำให้มัลแวร์นี้ "อันตรายที่สุดเท่าที่จะเป็นไปได้"
โมดูลของมัลแวร์ Agent Smith
มัลแวร์ Agent Smith ใช้โครงสร้างแบบโมดูลาร์ในการติดเชื้อเป้าหมาย ประกอบด้วย:
- Loader (โหลดเดอร์)
- Core (คอร์)
- Boot (บูท)
- Patch (แพทช์)
- AdSDK
- Updater (อัปเดทเตอร์)
Dropper เป็นแอปที่ถูกต้องที่ถูกบรรจุใหม่ (repackaged) ซึ่งยังมีโหลดเดอร์อันตรายอยู่ด้วย
Loader แยกและรันโมดูล Core ซึ่งจะติดต่อกับเซิร์ฟเวอร์ควบคุมและบังคับ (C&C) ของมัลแวร์ เซิร์ฟเวอร์ C&C ส่งรายการเหยื่อ หากพบแอปใดๆ มัลแวร์จะใช้ช่องโหว่เพื่อฉีดโมดูล Boot ลงในแอปที่บรรจุใหม่
ครั้งต่อไปที่แอปที่ติดเชื้อเริ่มทำงาน โมดูล Boot จะรันโมดูล Patch ซึ่งใช้โมดูล AdSDK เพื่อนำเสนอโฆษณาและเริ่มสร้างรายได้
อีกส่วนหนึ่งที่น่าสนใจของ Agent Smith คือ มันไม่หยุดที่แค่แอปอันตรายหนึ่งแอป หาก Agent Smith พบแอปตรงกับรายการเหยื่อหลายตัว มันจะแทนที่แต่ละตัวด้วยเวอร์ชันอันตราย Agent Smith ยังออกแพทช์อัปเดตอันตรายให้แอปที่บรรจุใหม่ รักษาการติดเชื้อต่อเนื่อง และเสนอแพ็กเกจโฆษณาใหม่
การลบแอป Agent Smith จาก Google Play
จุดติดเชื้อหลักของ Agent Smith คือร้านแอปบุคคลที่สาม 9Apps อย่างไรก็ตาม Google Play ไม่ได้รอด ไม่ได้รับผลกระทบ Check Point ค้นพบแอป 11 ตัวบนร้าน Google Play ที่มีชุดไฟล์ที่เกี่ยวข้องกับผู้กระทำ Agent Smith ที่เป็น "อันตรายแต่ dormant (ฝัน)" เวอร์ชัน Google Play ของ Agent Smith ใช้เทคนิคการแพร่กระจายที่แตกต่างเล็กน้อย แต่มีเป้าหมายสุดท้ายเดียวกัน
Check Point รายงานแอปอันตรายให้ Google และทั้งหมดถูกลบออกจากร้าน Google Play แล้ว
วิธีตรวจจับและลบ Agent Smith จาก Android
คุณสามารถตรวจจับ Agent Smith ได้ค่อนข้างง่าย หากแอปที่ใช้ประจำของคุณเริ่มแสดงโฆษณาปริมาณมหาศาลอย่างกะทันหัน นี่เป็นสัญญาณแน่ชัดว่ามีบางอย่างผิดปกติ โฆษณาที่มัลแวร์เสนอนั้นยากหรือเป็นไปไม่ได้ที่จะปิด ซึ่งเป็นตัวชี้วัดอีกอย่าง แต่วิธีที่ Agent Smith ทำงานเกือบเงียบๆ นอกจากโฆษณา การสังเกตการเปลี่ยนแปลงที่ละเอียดอ่อนของแอปของคุณเป็นเรื่องยากมาก
โปรดทราบว่า แอปที่แสดงโฆษณาปริมาณมากทันที ไม่ใช่ตัวบ่งชี้เพียงอย่างเดียวของ Agent Smith มัลแวร์ Android ประเภทอื่นๆ ก็เสนโฆษณาเพื่อเพิ่มรายได้เช่นกัน อุปกรณ์ของคุณอาจมีมัลแวร์ Android ประเภทอื่น เช่น Joker
หากคุณสงสัยว่ามีบางอย่างผิดปกติ คุณควรทำการสแกนแอนตี้มัลแวร์หรือแอนตี้ไวรัสบนอุปกรณ์ของคุณ
จุดแรกคือ Malwarebytes Security เวอร์ชัน Android ของเครื่องมือแอนตี้มัลแวร์ที่ยอดเยี่ยม ดาวน์โหลด Malwarebytes Security และรันการสแกนระบบเต็มรูปแบบ มันควรจับและลบแอปอันตรายได้
หาก Agent Smith หรือมัลแวร์ Android อื่นยังคงอยู่ เราขอแนะนำให้ตรวจสอบคู่มือการลบมัลแวร์ Android โดยไม่ต้อง factory reset ของเรา มีแอปลบมัลแวร์ Android เพิ่มเติม รวมถึงคู่มือขั้นตอนการทำความสะอาดอุปกรณ์—โดยไม่ลบข้อมูลใดๆ!
