អ្នកប្រើ Telegram និង WeChat! រកឃើញមេរោគ Android Spyware ឈ្មោះ “uCreator” អាចលួចយកលេខសម្ងាត់ 2FA និង Clone គណនីទាំងមូលដោយស្ងាត់ៗ

កញ្ចប់មេរោគស៊ើបការណ៍នៅលើប្រព័ន្ធប្រតិបត្តិការ Android មួយប្រភេទឈ្មោះថា “uCreator” ដែលត្រូវបានដាក់ជួលជាសេវាកម្ម (Malware-as-a-Service / Spyware Kit) កំពុងធ្វើសកម្មភាពវាយលុកលួចគ្រប់គ្រងគណនី Telegram និង WeChat យ៉ាងសកម្ម។ មេរោគនេះដំណើរការដោយការបង្កប់កូដព្យាបាទចូលទៅក្នុង App ក្លែងក្លាយ (Tampered/Modded Apps) ដូចជា Telegram ឬ Telegram X ឬដំណើរការ WeChat នៅខាងក្នុងកម្មវិធី Container ក្លែងបន្លំរបស់ពួកគេ។

យោងតាមការស្រាវជ្រាវរបស់អ្នកឯកទេសសន្តិសុខសាយប័រលោក Ovi និងការផ្ទៀងផ្ទាត់ដោយ The Hacker News បានបង្ហាញថា ផ្នែកវាយប្រហារលើ Telegram នៃកញ្ចប់ uCreator នេះ គឺត្រូវគ្នាយ៉ាងជាក់ស្តែងទៅនឹងមេរោគ Backdoor ឈ្មោះ “Baohuo” ដែលក្រុមហ៊ុនសន្តិសុខ Doctor Web ធ្លាប់បានរាយការណ៍កាលពីចុងឆ្នាំ ២០២៥ (កាលនោះមានទូរស័ព្ទជាង ៥៨,០០០ គ្រឿងបានរងការឆ្លង)។ កញ្ចប់មេរោគនេះមានសមត្ថភាពស្ទាក់ចាប់យកលេខកូដសម្ងាត់ Two-Step Verification (2FA) របស់ Telegram មុនពេលវាត្រូវបាន Hash ថែមទាំងអាចបំបាំងកាយ Session របស់ហេគឃ័រ មិនឱ្យបង្ហាញក្នុងបញ្ជី Active Sessions របស់ជនរងគ្រោះទៀតផង!

«uCreator មិនមែនគ្រាន់តែជាមេរោគសាមញ្ញនោះទេ ប៉ុន្តែវាជា Spyware Kit ពាណិជ្ជកម្មពេញលេញដែលត្រូវបានដាក់ជួលលើ Cloud Console។ ហេគឃ័រអាចចូលទៅបញ្ជាកញ្ចប់ Bot លើទូរស័ព្ទជនរងគ្រោះ ស្រូបយកទិន្នន័យ 2FA ចូលគ្រប់គ្រងគណនី និង Clone គណនី WeChat ទាំងមូលបានយ៉ាងងាយស្រួល!»

— ការបញ្ជាក់ពីអ្នកស្រាវជ្រាវសន្តិសុខ Ovi

ក. តើជនរងគ្រោះឆ្លងមេរោគនេះតាមរបៀបណា? (Infection Vectors)

ហេតុផលនៃផ្នែកនេះ៖ ពន្យល់ពីផ្លូវដែលមេរោគឆ្លងចូលទូរស័ព្ទ ដើម្បីឱ្យអ្នកប្រើប្រាស់ទូទៅចៀសវាងការធ្លាក់ចូលអន្ទាក់។

• ការដំឡើងឯកសារក្រៅផ្លូវការ (Sideloading APKs)៖ មេរោគនេះមិនមាននៅលើ Google Play Store ឡើយ ប៉ុន្តែវាឆ្លងតាមរយៈការដែលអ្នកប្រើប្រាស់ទាញយកឯកសារ APK ពីគេហទំព័រខាងក្រៅ ឬ Third-Party App Stores ដូចជា APKPure, ApkSum, និង AndroidP។ App ក្លែងក្លាយទាំងនោះបានប្រើឈ្មោះ Package Name ដូចបេះបិទទៅនឹង App ពិតប្រាកដ។
• ការផ្សាយពាណិជ្ជកម្មបោកបញ្ឆោត (Malvertising)៖ ហេគឃ័របានទិញពាណិជ្ជកម្មលើទូរស័ព្ទដៃ ដោយបន្លំផ្សព្វផ្សាយ Telegram X ថាជា «កម្មវិធីណាត់ជួប និងជជែកកម្សាន្តតាមវីដេអូ (Dating & Video Chat App)» ដើម្បីទាក់ទាញឱ្យជនរងគ្រោះទាញយក APK មកដំឡើង។
• កម្មវិធី Container ក្លែងក្លាយ “洋葱盒子” (Onion Box)៖ ហេគឃ័របង្កើត App មួយឈ្មោះថា Onion Box ដែលដំណើរការជា Container សម្រាប់បើកកម្មវិធីផ្សេងទៀតនៅខាងក្នុងវា។ នៅពេលជនរងគ្រោះបើក WeChat ក្នុងនោះ វានឹងធ្វើការ Virtualize និងលួចទិន្នន័យគណនីភ្លាមៗ។
• គោលដៅវាយប្រហារនៅអាស៊ីអាគ្នេយ៍ និងចិន៖ បើទោះបីជាការសិក្សាផ្តោតលើ Telegram និង WeChat ក៏ដោយ អ្នកស្រាវជ្រាវបានរកឃើញកូដដែលត្រៀមកំណត់គោលដៅលើ Mobile Wallets និង Messaging Apps ជាង ២០ ផ្សេងទៀត រួមមាន៖ WhatsApp, LINE, Zalo, Viber, KakaoTalk, WeCom, QQ, GCash និង MoMo។

ខ. យន្តការលួចគណនី Telegram និងពាក្យសម្ងាត់ 2FA (Technical Deep Dive)

ហេតុផលនៃផ្នែកនេះ៖ វិភាគបច្ចេកទេសស្ទាក់ចាប់កូដ (Hooking) ក្នុងកម្រិត Runtime ដើម្បីឱ្យ Devs និងវិស្វករប្រព័ន្ធយល់ពីគ្រោះថ្នាក់។

• ដំណើរការជាមួយសិទ្ធិស្របច្បាប់របស់ App (Same Permissions)៖ នៅពេលដំឡើង App កែច្នៃនោះរួច កូដមេរោគនឹងចាប់ផ្តើមដំណើរការជាមួយ App ផ្ទាល់ និងទទួលបានសិទ្ធិអនុញ្ញាត (Permissions) ដូចគ្នាទាំងស្រុងទៅនឹងគណនីដែលបាន Login។
• ស្ទាក់ចាប់ 2FA Password មុនពេល Hash (Hooking Password Entry)៖ នៅពេលដែលម្ចាស់គណនីវាយបញ្ចូលលេខសម្ងាត់ Two-Step Verification (2FA) នៅក្នុង App កូដមេរោគបានធ្វើការ Hook ទៅលើមុខងារនោះ រួចចម្លងយកលេខសម្ងាត់ជាអក្សរច្បាស់ៗ (Readable Plaintext) ភ្លាមៗ មុនពេល App ធ្វើការ Hash វាដើម្បីបញ្ជូនទៅ Server។
• លួចសារ និងគ្រប់គ្រងគណនីទាំងស្រុង៖ ដោយសារតែមានទាំង Session Token និងលេខសម្ងាត់ 2FA ហេគឃ័រអាច៖
  • ផ្ញើសំណើ Query ទៅកាន់ Local Database របស់ Telegram ដើម្បីលួចប្រវត្តិសារទាំងអស់។
  • Reset ឬទាត់ Session ផ្សេងៗរបស់ម្ចាស់គណនីចេញ។
  • ផ្លាស់ប្តូរលេខទូរស័ព្ទដែលភ្ជាប់ជាមួយគណនី ឬលុបគណនីចោល។
• បំបាំងកាយ Session របស់ហេគឃ័រ (Hidden Sessions)៖ អ្វីដែលគួរឱ្យព្រឺក្បាលនោះគឺ កូដមេរោគបានកែប្រែ UI របស់ App នៅលើទូរស័ព្ទនោះ ដើម្បីកុំឱ្យបង្ហាញឈ្មោះឧបករណ៍ ឬ Session របស់ហេគឃ័រនៅក្នុងបញ្ជី Devices List ឡើយ ធ្វើឱ្យជនរងគ្រោះគិតថាគ្មានអ្នកលួចចូលឡើយ!

គ. យន្តការ Clone គណនី WeChat និងប្រព័ន្ធគ្រប់គ្រង Phone Farm

ហេតុផលនៃផ្នែកនេះ៖ បង្ហាញពីទម្រង់នៃការធ្វើពាណិជ្ជកម្មលើគណនី និងហេដ្ឋារចនាសម្ព័ន្ធបណ្តាញ Phone Farm របស់ក្រុមឧក្រិដ្ឋជន។

• ការ Clone គណនី WeChat៖ សម្រាប់ WeChat មេរោគដំណើរការក្នុងទម្រង់ App Virtualization។ វានឹងចម្លងយក Login Identity បង្រួមឯកសារទិន្នន័យ (Zip Data) ផ្ញើឡើងទៅកាន់ Server រួចប្រើប្រាស់ Script ស្វ័យប្រវត្តដើម្បី Clone គណនីនោះទៅកាន់ទូរស័ព្ទមួយផ្សេងទៀត។
• ប្រព័ន្ធ Back-end Console ជួលឱ្យឈ្មួញកណ្តាល (Resellers)៖ អ្នកស្រាវជ្រាវបានរកឃើញប្រភពកូដ Back-end នៅលើ GitLab Server របស់ក្រុមនេះ ដែលបង្ហាញពីផ្ទាំង Dashboard ពាណិជ្ជកម្ម។ អតិថិជនដែលជួលសេវានេះ អាចបញ្ជាទៅកាន់បណ្តាញទូរស័ព្ទជនរងគ្រោះ និងទូរស័ព្ទក្នុង Phone Farm របស់ពួកគេ ដើម្បី៖
  • បញ្ជា Add Friends ក្នុងបរិមាណច្រើន (Bulk add friends)។
  • កំណត់ពេលធ្វើសកម្មភាពដូចមនុស្សពិត (កំណត់ចំនួនប្រចាំថ្ងៃ និងចន្លោះម៉ោង) ដើម្បីកុំឱ្យប៉ះ Risk Check របស់ Platform ដែលគេហៅថា “ការចិញ្ចឹមគណនី” (Account Cultivation)។
• ប្រភពនៅពីក្រោយ៖ យោងតាមកំណត់ត្រាកូដ មានអ្នកអភិវឌ្ឍន៍ប្រមាណ ៣០ នាក់ (ធ្វើការតាមម៉ោងក្នុងប្រទេសចិន) ហើយស្លាកស្នាមមួយចំនួនត្រូវបានផ្សារភ្ជាប់ទៅកាន់ក្រុមហ៊ុនចំនួន ៣ នៅក្នុងខេត្តហ៊ូណាន (Hunan) ប្រទេសចិន។

ឃ. សញ្ញាសម្គាល់ការវាយប្រហារ (Indicators of Compromise – IoCs)

ស្លាកស្នាមលើទូរស័ព្ទ (Device Traces)

• ឯកសារកូដ TgJarPine.dex ដែលបង្កប់ក្នុង assets នៃ Telegram ក្លែងក្លាយ
• ឯកសារ APK ដើមដែលបន្សល់ទុកដោយឧបករណ៍ LSPatch នៅផ្លូវ cache/lspatch/origin/*.apk

File Hashes (SHA-256)

• 2fc4bad71eda25b9022ea7cb090d6419911ecd67e50e746b418f8a617a980301 (com.ucreator.tg – Framework)
• 0142749a159be3e41d28f910eebf28b577a282880bd0c2383bd7404189f4ff94 (com.uckj.tgx – Loader)
• dcec9640271a782553599197bcb85367971a5bb4aa84c3787d1e49a3f4f9420e (Telegram X ក្លែងក្លាយ)
• 805834e6b8c12e180117a1816b48e387c33b53520f5a91cbf858441dc895e717 (Telegram ក្លែងក្លាយ)
• f82ac2c525d1ed82e57b3f27ae689aeda46875a893ca4c42876b3166ba66bb20 (com.ucreator.va_vx – WeChat Host)
• 99c5be579d218acfd2c7e2662528e7ad32a1a605d8efd1da732c13931bc30c4c (Onion Box App)
• 9c8b147f76312e651faabb1411a3270efca984dd8f33bd8ded3ea611c7c583a1 (uip.exe – Windows Control Program)

Network Domains & IPs

• hpncallback.gold5play[.]com (C2 Server)
• hpncallback.qianxunlbs[.]com (C2 Server)
• telegram-apk.uzyzx[.]com (Download Host)
• hw.android.videoflow[.]cn (Version Uploads – IP: 121.37.194[.]194)
• 159.138.237[.]10:32115 & 159.138.229[.]12:26379 (Redis Servers)
• 43.225.141[.]209 (Relay Server សម្រាប់ Telegram)

ង. អនុសាសន៍ការពារបន្ទាន់ពី SecuDemy សម្រាប់អ្នកប្រើប្រាស់ទូរស័ព្ទ Android

1. ឈប់ដំឡើង App ក្រៅ App Store ជាដាច់ខាត (Stop Sideloading APKs)៖ដាច់ខាតកុំទាញយក Telegram, Telegram X ឬ WeChat ពីគេហទំព័រ APK ខាងក្រៅ ឬតាមតំណភ្ជាប់ដែលគេផ្ញើមកតាមសារ។ សូមដំឡើង និង Update តាមរយៈ Google Play Store ផ្លូវការតែមួយគត់។
2. ពិនិត្យមើល App ក្នុងម៉ាស៊ីន និងលុបចោលជាបន្ទាន់៖ប្រសិនបើអ្នកធ្លាប់បានទាញយក Telegram MOD ឬកម្មវិធីដូចជា “Onion Box” (洋葱盒子) សូមធ្វើការ Uninstall លុបវាចេញពីទូរស័ព្ទជាបន្ទាន់។
3. ត្រួតពិនិត្យ Active Sessions លើឧបករណ៍ផ្សេងទៀត៖ដោយសារតែ App ក្លែងក្លាយអាចបំបាំងកាយ Session របស់ហេគឃ័រនៅលើទូរស័ព្ទនោះ សូមបើកកម្មវិធី Telegram នៅលើកុំព្យូទ័រ (Desktop) ឬទូរស័ព្ទមួយផ្សេងទៀតដែលស្អាត រួចចូលទៅកាន់ Settings > Devices ដើម្បីពិនិត្យមើលថាតើមានឧបករណ៍ចម្លែកណាមួយកំពុង Login ដែរឬទេ រួចចុច “Terminate All Other Sessions” ភ្លាមៗ។
4. ផ្លាស់ប្តូរលេខសម្ងាត់ Two-Step Verification (2FA) ឡើងវិញ៖ប្រសិនបើសង្ស័យថាធ្លាប់ប្រើ App ក្លែងក្លាយ ត្រូវចូលទៅកាន់ Settings > Privacy and Security > Two-Step Verification ដើម្បីប្តូរលេខកូដសម្ងាត់ 2FA ថ្មីភ្លាមៗនៅលើឧបករណ៍ដែលមានសុវត្ថិភាព។

ទស្សនៈយល់ឃើញពី SecuDemy

ការវាយប្រហារតាមរយៈ Modded/Tampered Apps កំពុងក្លាយជាអាវុធដ៏គ្រោះថ្នាក់បំផុតសម្រាប់អ្នកប្រើប្រាស់ទូរស័ព្ទដៃ Android នៅតំបន់អាស៊ី។ ឧក្រិដ្ឋជនដឹងច្បាស់ថា ប្រព័ន្ធការពាររបស់ Telegram ឬ WeChat មានភាពរឹងមាំខ្លាំង ដូច្នេះពួកគេមិនវាយប្រហារលើ Server របស់ Telegram ឡើយ ប៉ុន្តែពួកគេជ្រើសរើសវាយប្រហារលើ «ភាពធ្វេសប្រហែសរបស់អ្នកប្រើប្រាស់» តាមរយៈការបញ្ចុះបញ្ចូលឱ្យទាញយក App ក្លែងក្លាយ។ សូមចងចាំថា៖ «សុវត្ថិភាព 2FA ខ្លាំងយ៉ាងណា ក៏មិនអាចការពារបានឡើយ ប្រសិនបើអ្នកវាយបញ្ចូលវានៅលើ App ដែលហេគឃ័រជាអ្នកបង្កើត!»

ប្រភពដើម៖ The Hacker News (Swati Khandelwal)

ប្រភពដើម៖ Symantec Threat Hunter Team / Security.com

អត្ថបទនេះផ្តល់ជូនដោយ Bitdefender Total Security

Bitdefender Total Security គឺជាកញ្ចប់កម្មវិធីការពារឧបករណ៍របស់អ្នកដែលអាចតំឡើងនៅលើប្រព័ន្ធប្រតិបត្តិការ (Windows, macOS, iOS, Android) ដែលប្រមូលផ្តុំនូវមុខងារជាច្រើន មានដូចជា មុខការទប់ស្កាត់និងកម្ចាត់មេរោគ មុខងារឯកជនភាព និងមុខងារសុវត្ថិភាពសំខាន់ៗផ្សេងទៀត ទៅក្នុងកញ្ចប់កម្មវិធីតែមួយ។ Bitdefender អាចបញ្ឈប់មេរោគកុំព្យូទ័រមិនឱ្យឆ្លង ទប់ស្កាត់មោរោគចាប់ជំរិតទារប្រាក់ (ransomware) ការវាយប្រហារតាមភាពងាយរងគ្រោះ/ចន្លោះប្រហោងទើបប្រទះឃើញ (zero-day exploits) និងមេរោគស៊ើបការណ៍ (spyware) មុនពេលដែលវាបង្កការខូចខាតដល់កុំព្យូទ័រ/ប្រព័ន្ធរបស់យើង។ លើសពីនេះ វាក៏មានការការពារនៅកម្រិតបណ្តាញ ដើម្បីរារាំងគេហទំព័រឆបោក (phishing) និងតំណភ្ជាប់ដែលមានមេរោគផងដែរ៕