CTM360 cho biết FEMITBOT đang dùng Telegram Mini App để dựng các nền tảng crypto giả, mạo danh thương hiệu lớn và phát tán mã độc Android.
Nhóm này kết hợp bot Telegram với Mini App nhúng trong trình duyệt tích hợp của Telegram để đưa nạn nhân vào các trang lừa đảo mà không cần rời khỏi ứng dụng nhắn tin. Cách làm này khiến trang giả trông giống một dịch vụ thật hơn nhiều so với liên kết phishing gửi qua email hoặc SMS.
- FEMITBOT lợi dụng Telegram Mini App để mở trang phishing ngay trong ứng dụng.
- Nhóm này mạo danh nhiều thương hiệu crypto và gắn theo dõi kiểu quảng cáo để đo lường chuyển đổi.
- Một số Mini App còn phân phối file APK giả mạo, gây rủi ro lớn hơn với người dùng Android.
Mini App của Telegram bị biến thành kênh dẫn dụ nạn nhân
Telegram Mini App là các ứng dụng web nhỏ chạy trong WebView của Telegram. Chúng cho phép người dùng thanh toán, truy cập tài khoản hoặc dùng công cụ tương tác mà không phải cài thêm ứng dụng hay mở trình duyệt riêng. FEMITBOT đã khai thác chính sự tiện này để dẫn người dùng vào trang giả ngay sau khi họ bấm “Start” trên bot. Bên trong Mini App, nạn nhân thấy một bảng điều khiển đầu tư crypto giả với số dư và lợi nhuận được hiển thị như thật.
Các trang này thường có đồng hồ đếm ngược hoặc ưu đãi giới hạn thời gian để tạo cảm giác phải quyết định nhanh. Theo mô tả của CTM360, phần chiếm đoạt tiền diễn ra lúc rút tiền. Khi người dùng muốn rút “lợi nhuận”, họ bị yêu cầu nạp thêm tiền thật hoặc làm nhiệm vụ giới thiệu người khác. Đây là mô thức thường gặp trong các vụ lừa đảo advance-fee và pig-butchering.
Hạ tầng linh hoạt giúp nhóm này đổi thương hiệu rất nhanh
CTM360 mô tả kiến trúc của FEMITBOT là dạng mô-đun, theo mẫu sẵn. Một backend dùng chung cho phép người vận hành đổi tên thương hiệu, ngôn ngữ và giao diện chiến dịch mà không phải thay toàn bộ hạ tầng. Dấu vết kỹ thuật mà CTM360 tìm được là chuỗi phản hồi API “Welcome to join the FEMITBOT platform”, xuất hiện trên nhiều miền phishing khác nhau.
Trong số các thương hiệu bị mạo danh có Bitget, OKX, Binance và MoonPay. Phạm vi mạo danh rộng cho thấy chiến dịch không nhắm vào một nhóm nhỏ mà hướng đến lượng nạn nhân lớn hơn ở nhiều thị trường. CTM360 cũng ghi nhận hệ thống này tích hợp cơ chế theo dõi chuyển đổi giống quảng cáo của Meta Platforms và TikTok, cho phép kẻ vận hành đo hành vi người dùng và hiệu quả chiến dịch. Với kiểu theo dõi này, các trang lừa đảo được tối ưu không khác gì một chiến dịch tiếp thị số thực thụ.
“Cơ sở hạ tầng quan sát được tích hợp các cơ chế theo dõi chuyển đổi từ Meta Platforms (Facebook/Instagram) và TikTok vào hoạt động của nó.”
– Nhóm nghiên cứu CTM360
Phần mã độc mở rộng rủi ro sang người dùng Android
Ngoài hành vi lừa đảo tài chính, một số Mini App của FEMITBOT còn phát tán mã độc Android dưới dạng file APK giả mạo ứng dụng quen thuộc. CTM360 cho biết họ đã phát hiện các APK mạo danh Netflix, BBC, NVIDIA, CineTV, Coreweave và Claro. Các file này được đặt trên cùng miền với API của chiến dịch, nhờ đó chứng chỉ TLS vẫn hợp lệ và trình duyệt khó đưa ra cảnh báo bảo mật đáng ngờ.
Người dùng bị yêu cầu cài sideload APK, mở liên kết bằng trình duyệt trong ứng dụng hoặc cài progressive web app trông giống phần mềm thật. Cách phân phối này đặc biệt nguy hiểm với thiết bị Android vì sideload APK từ ngoài Google Play Store là một trong những đường phổ biến để mã độc xâm nhập điện thoại. Việc dùng chứng chỉ khớp nhau cũng khiến các file tải xuống trông đáng tin hơn khi nhìn lướt qua. Dữ liệu hiện có chưa cho thấy mức độ phát tán thực tế của mã độc, nhưng cấu trúc chiến dịch cho thấy rủi ro không chỉ dừng ở mất tiền.
Người dùng cần lưu ý điều gì
CTM360 cho biết các dấu hiệu như hứa hẹn lợi nhuận phi thực tế, yêu cầu nạp tiền trước khi rút, đồng hồ đếm ngược hoặc bắt buộc làm nhiệm vụ giới thiệu đều là tín hiệu của lừa đảo advance-fee. Với Telegram nói riêng, rủi ro tăng lên khi bot dẫn thẳng vào Mini App và yêu cầu người dùng tương tác tài chính ngay trong giao diện nhúng. Hiện chưa có thêm chi tiết về quy mô nạn nhân, số tiền thiệt hại hay thời gian chiến dịch kéo dài bao lâu.
Tổng kết
FEMITBOT cho thấy Telegram Mini App có thể bị khai thác như một lớp che giấu cho phishing, mạo danh thương hiệu và phát tán APK độc hại. Điểm đáng chú ý nằm ở chỗ chiến dịch này kết hợp giao diện giống nền tảng đầu tư, theo dõi kiểu quảng cáo và hạ tầng phân phối mã độc trong cùng một hệ thống. Những gì CTM360 công bố hiện mới cho thấy cách thức vận hành và mức độ tinh vi của chiến dịch, còn quy mô tác động thực tế vẫn chưa được làm rõ đầy đủ.
