เตือนภัย! มือถือ Android ราคาถูกฝังมัลแวร์จากโรงงาน แอบติดตั้งแอป ดูดรายได้โฆษณา

Bitdefender บริษัทความปลอดภัยไซเบอร์ เปิดเผยแคมเปญมัลแวร์ Midnight Mimosa ที่ฝังมากับเฟิร์มแวร์ของสมาร์ตโฟน Android ราคาประหยัดหลายแบรนด์ ทำให้ผู้โจมตีสามารถติดตั้งแอปจากระยะไกลโดยไม่ให้เจ้าของเครื่องรู้ตัว ปั่นยอดโฆษณา และเปลี่ยนมือถือที่ติดเชื้อให้กลายเป็น Residential Proxy สำหรับส่งต่อการเชื่อมต่ออินเทอร์เน็ต โดยพบอุปกรณ์ที่ได้รับผลกระทบหลายพันเครื่องในกว่า 150 ประเทศ รวมถึงประเทศไทย

มัลแวร์ดังกล่าวมุ่งเป้าไปที่อุปกรณ์ Android ซึ่งใช้แพลตฟอร์มของ MediaTek และทำงานด้วยสิทธิ์ระดับระบบ (System-level privileges) ทำให้สามารถติดตั้งหรือลบแอปได้เอง รวมถึงให้สิทธิ์เพิ่มเติมแก่แอป เช่น การเข้าถึง Accessibility Services การแจ้งเตือน และ SMS ตลอดจนดาวน์โหลดโค้ดอันตรายจากเซิร์ฟเวอร์ของผู้ควบคุมมารันบนเครื่องได้

ฝังมัลแวร์มากับเฟิร์มแวร์ สั่งติดตั้งแอปและควบคุมเครื่องจากระยะไกล

Bitdefender ระบุว่า มัลแวร์ที่ใช้ชื่อแพ็กเกจ com.android.system.lite จะดึงการตั้งค่าจากเซิร์ฟเวอร์ภายนอก ก่อนดาวน์โหลดและเรียกใช้เพย์โหลดเพิ่มเติม เพื่อควบคุมการติดตั้งและถอนการติดตั้งแอป รวมถึงเปิดทางให้แอปที่เกี่ยวข้องทำงานด้านโฆษณาทุจริตและเปลี่ยนอุปกรณ์ให้เป็นส่วนหนึ่งของเครือข่ายบอตเน็ต (Botnet)

ความสามารถสำคัญของมัลแวร์คือการติดตั้งแอปได้ตามต้องการ โดยมีการใช้แอปที่พรางตัวเป็นเครื่องมือทั่วไป เช่น แอปพยากรณ์อากาศ สแกน QR Code และกู้คืนข้อความที่ถูกลบ เพื่อหารายได้จากโฆษณาและการคลิกปลอม พร้อมเก็บข้อมูลเกี่ยวกับตัวเครื่องและแอปที่ติดตั้งอยู่

อย่างไรก็ตาม ตัวมัลแวร์ที่ฝังมากับเฟิร์มแวร์ไม่ได้สร้างการคลิกโฆษณาปลอมโดยตรง แต่ทำหน้าที่ติดตั้งแอปตัวกลางที่เรียกว่า Dropper ซึ่งแฝงอยู่ในแอปที่ดูเหมือนไม่มีพิษภัย จากนั้นแอปเหล่านี้จะใช้ชุดพัฒนาซอฟต์แวร์โฆษณา (Advertising SDK) ที่ถูกต้องตามปกติ โหลดโฆษณาจริงขึ้นมา ก่อนเปิดหน้าต่างที่ผู้ใช้มองไม่เห็นซ้อนทับแอปอื่น เพื่อบันทึกการแสดงผลโฆษณาและสร้างรายได้โดยมิชอบ

นอกจากนี้ อุปกรณ์ที่ติดเชื้อยังอาจถูกเปลี่ยนเป็น Residential Proxy หรือจุดส่งต่อการเชื่อมต่อผ่านอินเทอร์เน็ตบ้านและมือถือของผู้ใช้ ทำให้บุคคลภายนอกสามารถใช้ IP Address ของเครื่องที่ติดเชื้อเพื่อเชื่อมต่อไปยังบริการต่าง ๆ ได้ โดยเจ้าของเครื่องอาจไม่รู้ว่าการเชื่อมต่อเหล่านั้นเกิดขึ้นจากอุปกรณ์ของตน

พบแอปบน Google Play 13 รายการ และพยายามหลบเลี่ยง Play Protect

การตรวจสอบของ Bitdefender ยังพบแอปบน Google Play จำนวน 13 รายการที่ติดต่อกับเซิร์ฟเวอร์ชุดเดียวกับที่ใช้ควบคุมมัลแวร์ แสดงให้เห็นว่าปัญหาไม่ได้จำกัดอยู่เฉพาะสมาร์ตโฟนที่ถูกฝังมัลแวร์มาจากโรงงานเท่านั้น

แม้แอปเหล่านี้จะมีฟังก์ชันใช้งานได้จริง แต่ยังแสดงโฆษณานอกตัวแอป รวมถึงในช่วงที่ผู้ใช้ไม่ได้เปิดใช้งานโทรศัพท์อยู่ด้วย ปัจจุบันแอปทั้ง 13 รายการถูกนำออกจาก Google Play แล้ว โดยมีรายชื่อดังนี้

• Wavrge (com.audify.editor.wavrge)
• App Icon DIY (appicon.diy.tools.prop)
• Audify (com.audify.editor.pro)
• QR Pocket (com.prorestore.qr)
• All Deleted Messages Recovery (com.message.recovery.prorestore)
• WeatherGo (com.go.weather.mot)
• CoolWeather (com.cool.weather.yl)
• Daily Weather (com.dmstudio.weather)
• Lock & Hide (com.dl.guard.lock)
• QuickText Extractor (picturetranslate.extractor.text.lite)
• NoteMaster (com.notemaster.record.mark)
• Tap to Translate (com.arabmusic.tap.aghani_tamerhosny)
• Tasky (org.life.goal.tools)

อีกประเด็นที่น่ากังวลคือ มัลแวร์จะปิดการทำงานของ Google Play Store ก่อนติดตั้งแอปเพย์โหลด แล้วเปิดกลับมาอีกครั้งหลังจากเรียกใช้เพย์โหลดแล้ว ซึ่ง Bitdefender มองว่าอาจเป็นความพยายามหลบเลี่ยงกลไกป้องกันของ Google Play Protect

นักวิจัยยังพบมัลแวร์บนอุปกรณ์ที่ใช้เฟิร์มแวร์ซึ่งลงนามด้วยใบรับรองที่ระบุชื่อ Shenzhen Zediel Co., Ltd. ผู้ผลิตอุปกรณ์ Android จากจีน แต่ยังไม่มีหลักฐานยืนยันว่าบริษัทดังกล่าวมีส่วนเกี่ยวข้องหรือรับรู้ถึงการฝังมัลแวร์ครั้งนี้ โดย Bitdefender ระบุว่าระหว่างการสืบสวนยังพบชื่อบริษัทอื่นเพิ่มเติมด้วย

พบเหยื่อทั่วโลก รวมถึงไทย ชี้ความเสี่ยงจากห่วงโซ่อุปทานมือถือ

ข้อมูลของ Bitdefender ระบุว่า อุปกรณ์ที่ติดเชื้อส่วนใหญ่อยู่ในเม็กซิโก รองลงมาคือฝรั่งเศส อิตาลี สหรัฐฯ เยอรมนี บราซิล สเปน สหราชอาณาจักร แคนาดา โรมาเนีย โปแลนด์ และไทย โดยพบอุปกรณ์ที่ได้รับผลกระทบหลายพันเครื่องในกว่า 150 ประเทศ ตลอดระยะเวลาประมาณ 2 ปี

มือถือจำนวนมากเป็นรุ่นราคาถูกที่ใช้ชื่อแบรนด์แบบ White-label หรืออุปกรณ์เลียนแบบ ซึ่งบางรุ่นนำชื่อสมาร์ตโฟนยอดนิยมอย่าง Samsung Galaxy หรือแม้แต่ iPhone มาใช้เพื่อสร้างความน่าเชื่อถือ

การที่มัลแวร์ฝังอยู่ในเฟิร์มแวร์ตั้งแต่ต้น สะท้อนความเป็นไปได้ว่าห่วงโซ่อุปทานของอุปกรณ์ถูกแทรกแซง เพราะผู้ใช้ทั่วไปแทบไม่มีทางตรวจสอบได้ว่าซอฟต์แวร์ที่ติดมากับเครื่องปลอดภัยหรือไม่ โดย Bitdefender ยังพบความเชื่อมโยงบางส่วนของโครงสร้างพื้นฐานกับมัลแวร์ Android.Phantom ซึ่ง Doctor Web เคยรายงานเมื่อเดือนมกราคม 2026 ว่าถูกฝังมากับเกมดัดแปลงและแอปยอดนิยมเพื่อสร้างรายได้จากการคลิกโฆษณาปลอม

ก่อนหน้านี้ Kaspersky ยังเคยเปิดเผยมัลแวร์ Keenadu ซึ่งฝังมากับเฟิร์มแวร์ของแท็บเล็ต Android บางรุ่น โดยมีเป้าหมายหลักเพื่อสร้างรายได้จากโฆษณาทุจริตเช่นกัน

Bitdefender เตือนว่า มัลแวร์ที่ฝังมากับเฟิร์มแวร์มีความเสี่ยงแตกต่างจากมัลแวร์ทั่วไป เพราะมาตรการป้องกันของผู้ใช้ส่วนใหญ่ตั้งอยู่บนสมมติฐานว่าเจ้าของเครื่องสามารถตรวจสอบแอปก่อนติดตั้ง ใช้ Play Protect ตรวจจับภัยคุกคาม และถอนการติดตั้งแอปที่น่าสงสัยได้ แต่หากส่วนประกอบอันตรายอยู่ในพาร์ทิชันระบบของอุปกรณ์ การถอนแอปตามปกติอาจไม่สามารถกำจัดมัลแวร์ได้

การแก้ไขอย่างถาวรจึงอาจต้องล้างหรือเปลี่ยนเฟิร์มแวร์ หรือปิดส่วนประกอบที่เป็นอันตรายผ่าน Android Debug Bridge (ADB) ซึ่งไม่ใช่เรื่องง่ายสำหรับผู้ใช้ทั่วไป Bitdefender ระบุว่า ความรับผิดชอบสำคัญจึงอยู่ที่ผู้ผลิตและแพลตฟอร์มจำหน่ายอุปกรณ์ ที่ต้องตรวจสอบและแก้ไขเฟิร์มแวร์ก่อนส่งถึงมือผู้บริโภค

ที่มา