Tin tặc đang phát tán malware Android tại Brazil bằng các trang Google Play giả để biến điện thoại nạn nhân thành máy đào crypto, đồng thời mở đường cho trojan ngân hàng và điều khiển từ xa.
Chiến dịch lừa đảo này ngụy trang ứng dụng như dịch vụ nhà nước và cửa hàng ứng dụng quen thuộc, khiến người dùng dễ tải nhầm. Sau khi cài, mã độc có thể đào crypto âm thầm, cài thêm mô-đun đánh cắp tiền, và nhận lệnh qua các dịch vụ hợp pháp, làm tăng độ khó phát hiện.
- Trang Google Play giả tại Brazil phát tán app độc hại, kích hoạt miner và cài thêm mã độc ngân hàng.
- Mã độc dùng kỹ thuật nạp mã vào bộ nhớ, kiểm tra giả lập và lạm dụng dịch vụ hợp pháp để né phân tích.
- Một nhánh tấn công nhắm USDT trên Binance và Trust Wallet bằng màn hình phủ, thay địa chỉ ví của nạn nhân.
Trang Google Play giả đang phát tán malware Android tại Brazil
Chiến dịch bắt đầu từ website phishing gần như giống hệt Google Play, dụ người dùng tải ứng dụng giả như “INSS Reembolso” để cài malware lên điện thoại.
Kẻ tấn công dựng các trang có bố cục và trải nghiệm giống Google Play, đồng thời mô phỏng giao diện dịch vụ đáng tin cậy để tạo cảm giác “hợp pháp”. Một trang phát tán app giả “INSS Reembolso”, tự nhận liên quan đến dịch vụ an sinh xã hội Brazil, khiến người dùng tin rằng đây là ứng dụng chính thống.
Sau khi cài đặt, malware bung mã ẩn theo nhiều giai đoạn. Nó sử dụng thành phần được mã hóa, rồi nạp phần mã độc chính trực tiếp vào bộ nhớ. Cách này làm giảm dấu vết tệp tin trên thiết bị, khiến người dùng khó nhận ra hành vi bất thường.
Malware nạp mã theo nhiều lớp để ẩn mình và né phân tích
Mã độc dùng cơ chế giải mã nhiều lớp, chạy trong bộ nhớ và tự vô hiệu khi phát hiện môi trường giả lập để tránh bị nhà nghiên cứu phân tích.
Malware kiểm tra xem điện thoại có đang chạy trong môi trường mô phỏng (emulator) hay không. Khi phát hiện dấu hiệu phân tích, nó sẽ ngừng hoạt động để giảm khả năng bị trích xuất mẫu và bị gắn nhãn.
Sau khi xâm nhập, malware tiếp tục tải thêm tệp độc hại. Nó hiển thị một màn hình kiểu Google Play, sau đó đưa ra lời nhắc “cập nhật” giả và thúc ép người dùng nhấn nút cập nhật, từ đó triển khai thêm payload.
Máy đào crypto XMRig trên ARM hoạt động âm thầm theo điều kiện thiết bị
Một payload là miner dùng biến thể XMRig biên dịch cho ARM, chỉ đào khi điều kiện pin, nhiệt độ và mức sử dụng phù hợp để tránh bị phát hiện.
Theo phân tích của SecureList, malware tải payload đào crypto từ hạ tầng do kẻ tấn công kiểm soát, giải mã rồi chạy trên điện thoại. Các thiết bị nhiễm sẽ kết nối đến máy chủ đào do đối tượng vận hành, thực hiện đào crypto nền mà người dùng khó nhận thấy.
Điểm đáng chú ý là miner không chạy “mù”. Nó theo dõi phần trăm pin, nhiệt độ, thời gian kể từ khi cài đặt và việc thiết bị có đang được dùng hay không. Việc bắt đầu hoặc dừng đào phụ thuộc dữ liệu giám sát, nhằm giảm nóng máy, tụt pin bất thường và hạ rủi ro bị người dùng nghi ngờ.
Android thường tắt ứng dụng nền để tiết kiệm pin, nhưng malware né cơ chế này bằng cách lặp một tệp âm thanh gần như không nghe thấy. Thủ thuật này giả lập trạng thái “đang hoạt động”, làm giảm khả năng bị hệ điều hành tự vô hiệu hóa.
Firebase Cloud Messaging bị lạm dụng để điều khiển thiết bị nhiễm
Mã độc dùng Firebase Cloud Messaging, một dịch vụ hợp pháp của Google, để nhận lệnh và quản trị hoạt động trên thiết bị bị nhiễm.
Việc dùng kênh hợp pháp giúp lưu lượng điều khiển trông giống traffic bình thường, khiến việc chặn theo hành vi khó hơn. Điều này hỗ trợ kẻ tấn công gửi chỉ thị mới, kích hoạt tải thêm mô-đun, hoặc thay đổi cách vận hành miner theo thời điểm.
Tổng hợp mối đe dọa: Trojan ngân hàng nhắm Binance và Trust Wallet khi chuyển USDT
Một số biến thể cài trojan ngân hàng, phủ màn hình giả lên Binance và Trust Wallet để thay địa chỉ ví trong giao dịch USDT sang ví của kẻ tấn công.
Thay vì chỉ đào crypto, mô-đun ngân hàng tạo lớp “overlay” (màn hình phủ) lên ứng dụng thật. Khi người dùng thao tác chuyển USDT, malware có thể hiển thị giao diện giả và âm thầm thay địa chỉ ví đích bằng địa chỉ do kẻ tấn công kiểm soát.
Mô-đun ngân hàng cũng theo dõi trình duyệt như Chrome và Brave, đồng thời hỗ trợ nhiều lệnh điều khiển từ xa. Các khả năng được mô tả gồm ghi âm, chụp màn hình, gửi SMS, khóa thiết bị, xóa dữ liệu và ghi nhật ký phím bấm, làm tăng nguy cơ chiếm đoạt tài khoản và đánh cắp tài sản.
Một nhánh khác cài BTMOB RAT theo mô hình Malware-as-a-Service
Một số mẫu mới vẫn phát tán qua app giả nhưng chuyển sang cài BTMOB RAT, công cụ điều khiển từ xa được rao bán/cho thuê trong các chợ ngầm.
Các biến thể gần đây giữ nguyên phương thức phát tán qua trang tải ứng dụng giả, nhưng thay payload. Chúng cài BTMOB RAT, một công cụ truy cập từ xa xuất hiện trong hệ sinh thái Malware-as-a-Service (MaaS), giúp kẻ xấu dễ mua hoặc thuê để triển khai tấn công.
BTMOB có thể cung cấp quyền kiểm soát sâu hơn như ghi hình màn hình, truy cập camera, theo dõi GPS và đánh cắp thông tin đăng nhập. SecureList cũng ghi nhận việc công cụ này được quảng bá trực tuyến, kèm video demo và kênh hỗ trợ/bán hàng qua Telegram.
Phạm vi nạn nhân được ghi nhận và kênh lây lan bổ sung
Theo báo cáo, nạn nhân được biết đến hiện đều ở Brazil, và một số biến thể mới còn lan qua WhatsApp cùng các trang phishing khác.
SecureList cho biết tất cả nạn nhân được xác định đều thuộc Brazil. Ngoài các trang giả kiểu Google Play, một số biến thể mới được ghi nhận lan truyền thêm qua WhatsApp và nhiều trang phishing, làm tăng xác suất tiếp cận người dùng ngoài kịch bản “tự tìm và tải app”.
Với các chiến dịch có khả năng vừa đào crypto vừa đánh cắp tiền, nguyên tắc thực tế là kiểm tra kỹ nguồn cài đặt, không tin vào giao diện giống thật, và cảnh giác với mọi “cập nhật” phát sinh từ ứng dụng vừa cài.
Những câu hỏi thường gặp
Làm sao nhận biết trang Google Play giả khi tải ứng dụng Android?
Hãy kiểm tra kỹ tên miền, chứng chỉ HTTPS, và đường dẫn có phải từ Google Play chính thức hay không. Trang giả thường bắt chước giao diện rất giống thật, nhưng URL, lỗi chính tả, hoặc luồng “tải APK trực tiếp” bất thường là dấu hiệu rủi ro.
Vì sao malware đào crypto trên điện thoại khó bị phát hiện?
Mã độc có thể nạp payload vào bộ nhớ, ít để lại tệp tin rõ ràng, và chỉ đào khi đáp ứng điều kiện như pin, nhiệt độ, hoặc lúc người dùng ít sử dụng máy. Điều này giúp giảm nóng máy, giảm hao pin đột ngột và né chú ý.
Tấn công nhắm USDT trên Binance và Trust Wallet diễn ra như thế nào?
Trojan ngân hàng dùng kỹ thuật overlay để phủ màn hình giả lên ứng dụng thật, rồi bí mật thay địa chỉ ví nhận trong lúc chuyển USDT. Người dùng tưởng đang gửi đúng địa chỉ, nhưng giao dịch có thể bị chuyển sang ví của kẻ tấn công.
Firebase Cloud Messaging bị lạm dụng để làm gì?
Firebase Cloud Messaging có thể bị dùng như kênh nhận lệnh, giúp kẻ tấn công gửi chỉ thị mới và điều phối hoạt động trên thiết bị nhiễm. Do là dịch vụ hợp pháp, lưu lượng có thể khó bị phân biệt nếu chỉ nhìn bề mặt.
BTMOB RAT là gì và nguy hiểm ra sao?
BTMOB RAT là công cụ điều khiển từ xa được rao bán/cho thuê theo mô hình MaaS. Khi bị cài lên thiết bị, nó có thể cho phép ghi hình màn hình, truy cập camera, theo dõi GPS và đánh cắp thông tin, làm tăng nguy cơ chiếm đoạt tài khoản và tài sản.
