มือถือ Android บนโต๊ะมืด แหนบกำลังเลื่อนไอคอนแอปปลอมทับไอคอนแอปธนาคาร มีชิ้นกล้องกันขโมยถูกถอดวางข้างๆ
hooknewssecurityandroidbankingmalwarethailand

มัลแวร์ Hirudo สลับแอปธนาคารเป็นตัวปลอม และมีไทยอยู่ในรายชื่อเป้าหมาย

น้องกายEngineering

มัลแวร์ตัวใหม่ชื่อ Hirudo กำลังแพร่กระจายผ่านแอปช็อปปิ้งและซีรีส์สั้น โดยแทนที่แอปธนาคารจริงด้วยเวอร์ชันที่ถูกแก้ไขเพื่อปิดการตรวจสอบความปลอดภัยทั้งหมด ทำให้โจรสามารถดูดรหัสผ่านและเงินจากบัญชีธนาคารได้แบบเงียบ ๆ https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps นักวิจัยจาก ThreatFabric ระบุว่ามันโจมตีแอปธนาคารอินโดนีเซีย 8 แอปจาก 7 ธนาคาร และรายชื่อเป้าหมายในโค้ดยังรวมถึงประเทศไทยด้วย แม้ยังไม่มีรายงานผู้เสียหายในไทยชัดเจน แต่สำหรับคนที่ใช้แอปธนาคารทุกวันเรื่องนี้กระทบกระเป๋าตังค์และความปลอดภัยโดยตรง https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/

Hirudo เป็นมัลแวร์แบบ Remote Access Trojan (หรือ RAT) ที่ขโมยข้อมูลลับและควบคุมโทรศัพท์จากระยะไกล มันไม่ใช่การโชว์หน้าจอปลอมทับแอปธนาคารเหมือนตัวเก่า ๆ แต่กลับโหลดแอปธนาคารที่ถูกแพตช์ลงไปแทนที่แอปจริงเลย https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html วิธีนี้ทำให้แอปธนาคารที่เราไว้ใจที่สุดกลายเป็นเครื่องมือให้โจรทำงานแทน

สรุป 30 วินาที: เกิดอะไรขึ้น

นักวิจัย ThreatFabric ค้นพบมัลแวร์ Hirudo เมื่อช่วงต้นเดือนตุลาคม 2026 มันมาในรูปแบบสองส่วน คือ แอปล่อใจ (dropper) ที่เป็นแอปช็อปปิ้ง หนังผู้ใหญ่ หรือซีรีส์สั้น และส่วน payload ที่เป็น Hirudo ตัวจริง https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps เมื่อผู้ใช้ติดตั้ง dropper แล้วมันจะโชว์ปุ่ม “อัปเดต” ปลอมให้โหลด payload ลงไป

payload นี้จะคอยสอดส่อง ถ้าผู้ใช้มีแอปธนาคารเป้าหมาย มันจะลบแอปจริงทิ้ง แล้วโหลดแอปธนาคารที่ถูกแก้ไข (patched) ลงมาแทน แอป patched นี้ใช้ชื่อแพ็กเกจและเวอร์ชันเดียวกันแต่เซ็นด้วยคีย์ทดสอบของ Android ทำให้มันสามารถฝังโค้ด hooking ที่ปิดการตรวจสอบ signature, Accessibility, FLAG_SECURE และ Play Integrity ได้จากภายในแอปเอง https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/

มันขโมยรหัสผ่าน รหัส PIN ถอนเงิน ภาพหน้าจอ กล้องหน้า-หลัง ข้อความ SMS และยังควบคุมหน้าจอแบบเรียลไทม์ผ่าน WebRTC ได้อีก เป้าหมายหลักคือธนาคารอินโดนีเซีย 8 แอป แต่ registry ในโค้ดยังมีชื่อธนาคารและวอลเล็ตจากจีน อินเดีย เม็กซิโก โมร็อกโก และไทย รวมถึงแบรนด์มาเลเซียในหน้าชำระเงินปลอม https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html ข้อมูลที่รั่วจาก backend ในเดือนสิงหาคม 2026 พบข้อมูล credential และโปรไฟล์ทางการเงินหลายพันรายการ

ทำไมเรื่องนี้เกี่ยวกับคุณ

ถ้าคุณเป็นพนักงานออฟฟิศที่โอนเงินเดือนเข้าบัญชีทุกสิ้นเดือน หรือพ่อแม่ที่ใช้แอปธนาคารโอนค่าเทอมลูก หรือเจ้าของร้านเล็กที่รับเงินผ่านแอปธนาคารทุกวัน เรื่องนี้กระทบคุณตรง ๆ เพราะ Hirudo ไม่ได้แค่ขโมยรหัสผ่าน แต่เข้าไปอยู่ในแอปธนาคารที่คุณใช้จริงและปิดระบบป้องกันทั้งหมด https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps

สมมติคุณเปิดแอปธนาคารเพื่อโอนเงิน คิดว่าปลอดภัยเพราะมีล็อกไบโอเมตริกซ์และ Play Protect แต่ถ้าโทรศัพท์ติด Hirudo แอปที่คุณเห็นอาจเป็นของปลอมที่โจรควบคุมอยู่แล้ว มันสามารถบันทึกหน้าจอ เปิดกล้องถ่ายคุณขณะกดรหัส และส่งข้อมูลทั้งหมดไปให้ผู้ควบคุมโดยที่คุณไม่รู้ตัวเลย https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/

ที่แย่กว่านั้นคือการติดเชื้อเริ่มจาก “อัปเดต” ปลอมที่โผล่ขึ้นมาในแอปล่อใจ ซึ่ง ThreatFabric บอกว่าถูกโปรโมตด้วยคอนเทนต์ที่คนชอบกดอย่างฟุตบอล คลิปวิดีโอ ซีรีส์สั้น และช็อปปิ้ง ถ้าเราเผลอยอมติดตั้งแอปจากนอก Play Store แค่ครั้งเดียว ประตูก็เปิดแล้วครับ นี่คือเหตุผลที่ ThreatFabric บอกว่ามันเป็นการยกระดับ (escalation) ของมัลแวร์ธนาคาร Android https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html

ทำงานยังไง

Hirudo ทำงานเป็นระบบสองชั้น ชั้นแรกคือ dropper ที่เป็นแอปหลอกลวง เช่น Shopora, 1V1 X, ZoyaTV หรือ KoiShort แอปเหล่านี้โหลดเนื้อหาจริงจากเว็บ เช่น ร้านค้าออนไลน์หรือคลิปสั้น เพื่อให้ดูน่าเชื่อถือ https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps หลังจากนั้นมันจะเช็คว่ามี payload Hirudo ติดตั้งอยู่หรือยัง ถ้ายังก็โชว์หน้าจอ “อัปเดตแอป” ปลอมและให้ติดตั้ง APK ที่สอง

เมื่อ payload ทำงาน มันจะใช้ Accessibility Service คอยสอดส่อง ถ้าพบแอปธนาคารเป้าหมาย มันจะเปิดหน้า uninstall แอปจริงโดยอัตโนมัติ แล้วดาวน์โหลดแอป patched ลงมาแทนที่ แอป patched นี้เก็บโค้ด hooking ไว้ในไฟล์ asset และโหลดด้วยเฟรมเวิร์ก YAHFA (สำหรับ hook วิธี Java) และ Dobby (สำหรับ hook ฟังก์ชัน native) https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/

เมื่อ hooking ทำงาน แอปธนาคารจะถูกหลอกให้คิดว่าทุกอย่างปกติ เช่น คิดว่าเซ็นเซอร์ถูกต้อง ไม่มี Accessibility เปิดอยู่ ภาพหน้าจอไม่ถูกบันทึก และ Play Integrity ผ่านเกณฑ์ ทั้งหมดนี้เกิดขึ้นภายในโพรเซสของแอปธนาคารเอง ทำให้การตรวจสอบจากภายนอกแทบไร้ประโยชน์ https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html

เปรียบเทียบง่าย ๆ แบบบ้าน ๆ: เหมือนตู้ ATM ปลอมที่หน้าตาเหมือนจริงทุกอย่าง แต่ถูกถอดกล้องกันขโมยออกไป แล้วข้างในมีคนคอยดูกล้องวงจรปิดและกดรหัสแทนเรา เราคิดว่าใส่บัตรแล้วกดรหัสปลอดภัย แต่จริง ๆ ทุกอย่างถูกส่งไปให้โจรเรียบร้อยแล้ว

นอกจากนี้ยังมีหน้าจอชำระเงินปลอมที่ใช้แบรนด์ธนาคารมาเลเซีย เก็บ PIN แล้วโชว์หน้าสำเร็จปลอมให้ผู้ใช้เข้าใจผิด https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps มันยังอ่านล็อกสกรีนจริงผ่าน Accessibility และเก็บ SMS จากผู้ส่งที่เป็นธนาคารได้อีกด้วย

จุดหักมุม: แอปธนาคารที่เราไว้ใจกลายเป็นตัวร้าย

จุดที่ทำให้ Hirudo น่ากลัวกว่ามัลแวร์ตัวอื่นคือ มันไม่พยายามแอบอยู่ข้างนอกแอปธนาคาร แต่เข้าไปอยู่ข้างในแอปที่ธนาคารพัฒนาเองเลย โค้ดหลักของธนาคารยังอยู่ครบ แค่ถูกแทรกโค้ด hooking เพียงบรรทัดเดียวตอนเริ่มแอป https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/ ทำให้การตรวจสอบที่เคยคิดว่าปลอดภัยที่สุดกลับกลายเป็นข้อมูลที่โจรควบคุมได้ทั้งหมด

ที่แปลกคือ keybox ที่ใช้ปลอม attestation เป็น keybox ที่รั่วไหลออกมาแล้ว และ Google ยังขึ้นรายชื่อ revoked อยู่สองตัว ถ้าธนาคารตรวจ revocation ที่ฝั่งเซิร์ฟเวอร์ก็ยังจับได้ https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html แต่ถ้าธนาคารยังเชื่อผลลัพธ์จากเครื่องผู้ใช้เพียงอย่างเดียว โอกาสถูกโกงก็สูงมาก

เรื่องเงิน / ผลกระทบ

backend ที่เปิดเผยในเดือนสิงหาคม 2026 มีข้อมูล credential หลายพันรายการ แบ่งตามกลุ่มแคมเปญซีรีส์สั้นและช็อปปิ้ง รวมถึงโปรไฟล์ที่มีรายได้ต่อเดือนและคะแนนความเสี่ยง https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps แม้ยังไม่ทราบจำนวนเหยื่อที่แท้จริง แต่การที่มันสามารถขโมย PIN ถอนเงินและควบคุมหน้าจอเรียลไทม์ได้ แสดงว่าความเสียหายอาจเกิดขึ้นเร็วและหนัก

สำหรับคนไทย แม้ ThreatFabric จะระบุว่า “credential targets named in code span … and Thailand” และ “its target registry also includes Thailand” แต่ยังไม่มีรายงานผู้เสียหายจริงในไทย https://www.bleepingcomputer.com/news/security/hirudo-android-malware-replaces-banking-apps-to-evade-security-checks/ https://thehackernews.com/2026/10/hirudo-android-trojan-uses-patched.html อย่างไรก็ตามหากมัลแวร์ถูกนำมาใช้กับแอปธนาคารไทย การสูญเงินจากบัญชี การถูกถ่ายภาพและวิดีโอส่วนตัว และการถูกควบคุมโทรศัพท์ระยะไกลอาจเกิดขึ้นได้

ธนาคารที่ถูกโจมตีอาจต้องเพิ่มการตรวจสอบฝั่งเซิร์ฟเวอร์มากขึ้น เพราะสัญญาณจากเครื่องผู้ใช้ไม่น่าเชื่อถือแล้ว https://www.threatfabric.com/blogs/hirudo-from-fake-updates-to-patched-banking-apps

ข้อมูลที่ยังไม่ชัด และจุดที่แหล่งข่าวพูดไม่ตรงกัน

แล้วเราควรทำอะไร

สำหรับคนทั่วไป (พนักงานออฟฟิศ พ่อแม่ เจ้าของธุรกิจเล็ก):

  1. ติดตั้งแอปธนาคารเฉพาะจาก Google Play Store หรือ Apple App Store เท่านั้น ห้ามกดลิงก์อัปเดตที่ส่งมาทาง LINE, SMS หรือในแอปอื่น
  2. อย่าให้สิทธิ์ Accessibility Service แก่แอปที่ไม่รู้จักหรือไม่ใช่แอปที่ใช้ประจำ
  3. เปิด Google Play Protect แล้วกดสแกนทุกสัปดาห์
  4. ถ้าเห็น notification “อัปเดตแอป” ในแอปที่ไม่ใช่ธนาคาร ให้ปิดทันทีและลบแอปนั้น
  5. ถ้าสงสัยว่าบัญชีถูกแอบโอน ให้โทร hotline ธนาคารทันทีเพื่อขอระงับบัญชี (freeze account) ชั่วคราว

สำหรับทีม IT หรือผู้ดูแลระบบในองค์กร:

  1. แนะนำพนักงานให้ปฏิบัติตามข้อ 1-4 ข้างต้นอย่างเคร่งครัด
  2. พิจารณาใช้ Mobile Device Management (MDM) ที่สามารถตรวจสอบแอปที่ติดตั้งและสิทธิ์ Accessibility
  3. แนะนำธนาคารขององค์กรให้ตรวจสอบ integrity และ attestation จากฝั่งเซิร์ฟเวอร์มากขึ้น
  4. อบรมเรื่อง social engineering และการคลิกลิงก์จากโฆษณา Meta

ผมมองว่า…

ผมมองว่า Hirudo ไม่ใช่แค่ภัยมัลแวร์ตัวใหม่ แต่คือสัญญาณว่าสงครามระหว่างธนาคารกับโจรไซเบอร์ได้ย้ายจากภายนอกเข้าไปภายในแอปแล้ว ไม่ใช่แค่ป้องกันที่เครื่องผู้ใช้ แต่คือต้องตรวจสอบทุกอย่างจากฝั่งเซิร์ฟเวอร์และผูกกับพฤติกรรมจริงของผู้ใช้ ไม่งั้นเราจะถูกหลอกด้วย “แอปธนาคารที่ดูปกติเป๊ะ” ได้ตลอด

ปิดท้าย: สิ่งที่ต้องจับตา

  • ว่า Hirudo จะถูกนำมาปรับใช้กับธนาคารไทยเร็วขนาดไหน
  • ธนาคารไทยจะเพิ่ม server-side verification สำหรับ Play Integrity และ certificate revocation เร็วแค่ไหน
  • Google จะอัปเดต Play Protect เพื่อจับ hooking engine แบบนี้ได้ดีขึ้นหรือไม่
  • แคมเปญโฆษณา Meta และเว็บปลอมที่ล่อให้ติดตั้ง dropper จะยังใช้ชื่อเดิมหรือเปลี่ยนเป็นล่อใหม่เร็ว ๆ นี้

Recap

  • ติดตั้งแอปธนาคารจาก Play Store เท่านั้น
  • ห้ามกด “อัปเดต” จากลิงก์หรือในแอปอื่น
  • อย่าให้สิทธิ์ Accessibility กับแอปแปลก ๆ
  • เปิดและสแกนด้วย Play Protect เป็นประจำ
  • ถ้าสงสัยให้โทร hotline ธนาคารทันที
  • ตรวจสอบว่าแอปธนาคารของคุณยังเป็นเวอร์ชัน官方จาก Play Store จริงหรือไม่
  • อัปเดตระบบ Android และแอปต่าง ๆ ให้เป็นเวอร์ชันล่าสุดเสมอ