Các nhà nghiên cứu an ninh mạng đã phát hiện bốn nhóm mã độc Android đang nhắm tới hơn 800 ứng dụng, trong đó có ví tiền số và ứng dụng ngân hàng.
Zimperium cho biết nhóm zLabs của hãng đã theo dõi các trojan mang tên RecruitRat, SaferRat, Astrinox và Massiv. Theo kết quả nghiên cứu, mỗi nhóm có một hạ tầng điều khiển riêng để đánh cắp thông tin đăng nhập, chiếm quyền các giao dịch tài chính và lấy dữ liệu từ thiết bị bị nhiễm.
- Bốn nhóm trojan Android đang nhắm vào hơn 800 ứng dụng, gồm cả ví crypto và app ngân hàng.
- Mã độc dùng lớp phủ giả, chặn mã xác thực một lần và có thể truyền màn hình thiết bị về cho kẻ tấn công.
- Chiến dịch phát tán dựa vào web giả mạo, tin nhắn, tuyển dụng giả và cài ứng dụng ngoài kho chính thức.
Cách các trojan đánh cắp thông tin từ người dùng
Những biến thể này không chỉ nhắm vào mật khẩu. Khi đã cài vào máy, chúng có thể phủ màn hình đăng nhập giả lên trên ứng dụng thật của ví tiền số và ngân hàng, từ đó lấy thông tin theo thời gian thực. Mã độc còn có thể đặt một trang HTML giả lên giao diện ứng dụng thật, khiến nạn nhân khó nhận ra dấu hiệu bất thường.
Using Accessibility Services to monitor the foreground, the malware detects the exact moment a victim launches a financial application.
– Nhóm nghiên cứu an ninh của Zimperium
Báo cáo cũng cho biết các trojan này có thể lấy mã xác thực một lần, phát trực tiếp màn hình thiết bị cho kẻ điều khiển, ẩn biểu tượng ứng dụng của chính chúng và cản người dùng gỡ cài đặt. Đây là những chức năng khiến việc phát hiện và xử lý trên máy Android khó hơn so với các kiểu mã độc đơn giản.
Các chiến dịch phát tán đi theo nhiều kịch bản lừa đảo khác nhau
Phương thức lây nhiễm của từng nhóm cũng khác nhau. SaferRat được phát tán qua các trang web giả hứa cung cấp quyền truy cập miễn phí vào dịch vụ phát trực tuyến cao cấp. RecruitRat thì ẩn tải trọng độc hại trong quy trình xin việc, dẫn nạn nhân tới các trang lừa đảo yêu cầu tải một tệp APK độc hại.
Astrinox cũng dùng kịch bản tuyển dụng, gắn với tên miền xhire[.]cc. Tùy theo thiết bị truy cập, trang này hiển thị nội dung khác nhau. Người dùng Android được yêu cầu tải APK, còn người dùng iOS nhìn thấy một trang giống Apple App Store. Tuy vậy, các nhà nghiên cứu không tìm thấy bằng chứng cho thấy iOS thực sự bị xâm nhập.
Với Massiv, nhóm nghiên cứu chưa xác định được cách phát tán trong giai đoạn khảo sát. Dù vậy, cả bốn chiến dịch đều dùng hạ tầng lừa đảo, tin nhắn mạo danh và các thủ thuật xã hội để thúc giục người dùng cài ứng dụng ngoài luồng.
Vì sao các mẫu mã độc này khó bị phát hiện
Zimperium cho biết các nhóm trojan này có thể né các công cụ bảo mật truyền thống nhờ kỹ thuật chống phân tích và chỉnh sửa cấu trúc tệp APK. Công ty mô tả mức phát hiện của các hệ thống dựa trên chữ ký là gần như bằng không trong một số trường hợp. Ngoài ra, chúng còn hòa trộn lưu lượng với hoạt động mạng bình thường bằng HTTPS và WebSocket, thậm chí thêm nhiều lớp mã hóa lên trên các kết nối đó.
Báo cáo cũng nhấn mạnh yếu tố bền bám. Các trojan ngân hàng Android hiện đại không còn chỉ dùng một bước cài đặt đơn giản. Chúng chuyển sang quy trình nhiều giai đoạn để lách mô hình cấp quyền ngày càng chặt của Android, vốn yêu cầu người dùng phải xác nhận rõ ràng cho nhiều hành động.
Tác động đối với người dùng crypto trên Android
Báo cáo không nêu đích danh ví tiền số hay sàn giao dịch nào trong hơn 800 ứng dụng bị nhắm tới. Tuy vậy, với các kiểu tấn công phủ màn hình, chặn mã xác thực và truyền màn hình, bất kỳ ứng dụng crypto nào trên Android cũng có thể gặp rủi ro nếu người dùng cài APK độc hại từ bên ngoài Google Play Store.
Điểm chung của các kịch bản này là việc người dùng tự cài ứng dụng từ liên kết trong tin nhắn, tin tuyển dụng hoặc trang khuyến mãi. Theo báo cáo, đây vẫn là một trong những con đường phổ biến nhất để mã độc di động xâm nhập điện thoại. Dữ liệu hiện có chưa cho thấy phạm vi thiệt hại thực tế của từng chiến dịch, cũng chưa có thêm chi tiết về số nạn nhân hay tổn thất tài chính.
Tổng kết
Phát hiện của Zimperium cho thấy rủi ro với người dùng crypto trên Android không chỉ nằm ở việc mất mật khẩu. Các trojan mới còn có thể lấy mã xác thực, chiếm quyền hiển thị và theo dõi màn hình thiết bị. Trong phạm vi dữ liệu hiện có, điểm then chốt là những chiến dịch này dựa nhiều vào việc người dùng cài ứng dụng từ nguồn không chính thức, thay vì thông qua kho ứng dụng được kiểm soát.
