พบมัลแวร์ WindRelay บน Android สามารถช่วยให้แฮกเกอร์แอบนำเอาบัตรเครดิตคุณไปใช้งานได้

พบมัลแวร์ WindRelay บน Android สามารถช่วยให้แฮกเกอร์แอบนำเอาบัตรเครดิตคุณไปใช้งานได้

จากรายงานโดยเว็บไซต์ BigGo Finance ได้กล่าวถึงการที่ทางทีมวิจัยจาก Group-IB บริษัทผู้เชี่ยวชาญด้านการพัฒนาโซลูชันรักษาความปลอดภัยไซเบอร์จากประเทศสิงคโปร์ ได้ตรวจพบแคมเปญใหม่ของมัลแวร์แบบรีเลย์สัญญาณระยะใกล้ หรือ NFC (Near-Field Communication) Relay ของมัลแวร์ที่มีชื่อว่า WindRelay ซึ่งเป็นมัลแวร์ที่มีความสามารถในการขโมยข้อมูลของบัตรเครดิตด้วยการหลอกให้เหยื่อทำการสแกนบัตรเครดิตผ่านทางระบบ NFC ของโทรศัพท์มือถือ เพื่อส่งข้อมูลกลับไปยังเครื่องของแฮกเกอร์นำเอาบัตรไปใช้งาน ณ จุดบริการขาย (PoS หรือ Point-of-Sale) โดยมุ่งเน้นการโจมตีไปยังกลุ่มผู้ใช้งานโทรศัพท์มือถือบนระบบปฏิบัติการ Android ซึ่งมัลแวร์ตัวนี้เคยถูกตรวจพบครั้งแรกในช่วงเดือนสิงหาคม ค.ศ. 2025 (พ.ศ. 2568) โดยตัวอย่างของมัลแวร์ตัวนี้ได้ถูกอัปโหลดขึ้นบนเว็บไซต์สำหรับตรวจสอบไวรัสคอมพิวเตอร์ชื่อดังอย่าง Virus Total ในช่วงระยะเวลาระหว่างเดือนพฤศจิกายน ค.ศ. 2025 (พ.ศ. 2568) ถึงเดือนกรกฎาคมปีนี้เป็นจำนวนมากถึง 23 ตัวอย่าง ซึ่งทุกตัวนั้นมีหน้าจอการใช้งาน (User Interface) สำหรับใช้หลอกลวงเหยื่อที่แตกต่างกันสำหรับเหยื่อแต่ละราย แสดงให้เห็นถึงความสามารถในการปรับแต่งมัลแวร์ให้เหมาะกับเหยื่อแต่ละราย

สำหรับแคมเปญในครั้งนี้มีความร้ายกาจกว่าเดิม เพราะเป็นแคมเปญที่ใช้มัลแวร์ดังกล่าวควบคู่กับมัลแวร์สำหรับเข้าควบคุมเครื่องของเหยื่อจากระยะไกล หรือ RAT (Remote Access Trojan) ชื่อ SpyNote ซึ่งมัลแวร์ตัวนี้มีความสามารถในการเข้าถึงโหมดช่วยเหลือผู้ใช้งานที่พิการ (Accesibility Mode) ทำให้แฮกเกอร์สามารถแอบเข้าเปิดโหมด NFC ให้ทำงานได้อย่างเงียบเชียบ โดยที่หน้าจอนั้นไม่มีการแสดงผลอะไรให้เหยื่อรู้ตัว

โดยการโจมตีของแคมเปญนี้จะเริ่มขึ้นด้วยการหลอกลวงแบบ Phishing สไตล์คอลเซ็นเตอร์ (Call Center) ด้วยการให้มิจฉาชีพทำการโทรหาเหยื่อโดยอ้างว่าเป็นเจ้าหน้าที่ธนาคาร แล้วอ้างว่า ระบบจ่ายเงินของบัตรเครดิตที่เหยื่อใช้อยู่นั้นมีปัญหา แล้วระหว่างที่คุยสายอยู่นั้นทางมิจฉาชีพจะเร่งทำการหว่านล้อมให้เหยื่อทำการติดตั้งแอปพลิเคชันในรูปแบบไฟล์ APK ที่ถูกตั้งตามชื่อจริงของเหยื่อเพื่อแก้ปัญหาดังกล่าว แต่แท้จริงแล้วไฟล์ที่ติดตั้งนั้นเป็นมัลแวร์ SpyNote ที่หลังจากที่ตัวมัลแวร์ถูกติดลงเครื่องแล้ว มัลแวร์ตัวนี้จะทำหน้าที่ในการดึงเอามัลแวร์ WindRelay ลงมาติดตั้งบนเครื่องของเหยื่ออีกที จากนั้นจึงทำการหลอกให้เหยื่อทำการแตะบัตรเครดิตลงบนเครื่องโดยอ้างว่าเป็นการยืนยันตัวตน พร้อมทั้งให้เหยื่อทำการกรอกรหัส PIN ของบัตร โดยข้อมูลเหล่านี้จะถูกส่งกลับไปยังเครื่องของแฮกเกอร์ให้แฮกเกอร์สามารถใช้งานบัตรดังกล่าวได้ในทันที ซึ่งการทำงานของมัลแวร์ WindRelay จะเป็นการทำงานด้วยการใช้องค์ประกอบ (Components) 2 ตัว นั่นคือ ตัวอ่านบัตรที่ติดตั้งบนเครื่องของเหยื่อ และตัวจำลองบัตร (Emulator) ที่อยู่บนเครื่องของแฮกเกอร์ปลายทาง ซึ่งทั้ง 2 ตัวนี้จะทำการสื่อสารผ่านทางโครงสร้างพื้นฐานสำหรับการควบคุมและสั่งการ (C2 หรือ Command and Control Infrastructure) ผ่านทางช่องทาง WebSocket ในการส่งคำสั่ง (Command) และตอบกลับ (Response) ในรูปแบบ EMV APDU

แคมเปญครั้งนี้ ทางทีมวิจัยได้เผยว่า มีการตรวจพบการโจมตีที่ประสบความสำเร็จจำนวนมากมายหลายครั้งในแถบทวีปยุโรป โดยการโจมตีนั้นทำได้สำเร็จในช่วงระยะเวลาของการโทรคุยกันระหว่างเหยื่อกับมิจฉาชีพในระยะเวลา 13 นาที ซึ่งในบางกรณีนี้ไปไกลถึงการใช้งานมัลแวร์ RAT ดังกล่าวเพื่อเข้าถึงแอปพลิเคชันธนาคารของเหยื่อแล้วทำการกู้ยืมเงินภายใต้ชื่อของเหยื่อโดยที่เหยื่อไม่ทันรู้ตัวเลยทีเดียว