Các chuyên gia bảo mật Group-IB vừa phát hiện một biến thể mới của mã độc Android có tên Gigabud. Không chỉ nhắm đến thông tin ngân hàng, mã độc này còn có khả năng tạo một bản sao ứng dụng ngân hàng ngay trên thiết bị của nạn nhân và tìm cách điều khiển từ xa.
Gigabud chủ yếu được phát tán thông qua các ứng dụng giả mạo. Kẻ tấn công có thể gửi liên kết tải ứng dụng qua tin nhắn hoặc đăng tải trên những website lừa đảo. Các ứng dụng này thường giả danh phần mềm của cơ quan nhà nước, cơ quan thuế, ngân hàng hoặc các hãng hàng không nhằm đánh lừa người dùng.
Sau khi được cài đặt, Gigabud tìm cách thuyết phục người dùng cấp cho ứng dụng những quyền đặc biệt trên Android, đáng chú ý là quyền Trợ năng và quyền hiển thị trên các ứng dụng khác.
Khi được cấp các quyền này, mã độc có thể can thiệp sâu hơn vào hoạt động trên thiết bị. Từ đó, kẻ tấn công có thể tạo ra các giao diện giả, đánh lừa người dùng nhập tên đăng nhập, mật khẩu hoặc mã PIN ngân hàng.
Mã độc Gigabud lợi dụng quyền đặc biệt trên Android để can thiệp sâu vào thiết bị
Con đường phổ biến để Gigabud tiếp cận thiết bị bắt đầu từ những ứng dụng giả mạo. Kẻ gian có thể dụ nạn nhân tải file APK bên ngoài kho ứng dụng chính thức, núp bóng các tiện ích liên quan đến cơ quan nhà nước, dịch vụ công, hãng hàng không hoặc những dịch vụ quen thuộc. Sau khi cài đặt, ứng dụng độc hại tìm cách thuyết phục người dùng cấp các quyền nhạy cảm, trong đó có Trợ năng (Accessibility) hoặc quyền hiển thị trên ứng dụng khác. Nếu được cấp quyền, mã độc có thể quan sát và tương tác với giao diện điện thoại ở mức sâu hơn, từ đó tìm cách thu thập thông tin đăng nhập, mã PIN hoặc thực hiện những thao tác mà người dùng không chủ động thực hiện.
Ứng dụng người dùng cần gỡ ngay khỏi điện thoại (Ảnh: Group-IB)
Điểm đáng lo ngại nằm ở cách Gigabud khai thác cơ chế hồ sơ công việc (Work Profile) của Android. Theo thông tin được cảnh báo, mã độc có thể cài thêm một công cụ độc hại có tên Vwork, được phát triển dựa trên Shelter, để tạo một hồ sơ riêng biệt trên thiết bị. Sau đó, ứng dụng ngân hàng mục tiêu có thể được nhân bản và đưa vào môi trường này. Việc tách ứng dụng giữa các hồ sơ vốn được Android thiết kế nhằm phân chia dữ liệu cá nhân và công việc lại có thể bị lợi dụng để che giấu hoạt động độc hại. Trong một số trường hợp, thao tác của mã độc còn có thể được che phía sau màn hình tối, khiến nạn nhân tưởng điện thoại bị treo hoặc không hoạt động.
Nói cách khác, thay vì chỉ tìm cách lấy mật khẩu ngân hàng, Gigabud tìm cách đưa một phiên bản khác của ứng dụng ngân hàng vào điện thoại, sau đó tìm cách điều khiển phiên bản này.
Người dùng Android cần làm gì?
Một trong những dấu hiệu cần chú ý là điện thoại xuất hiện bản sao của ứng dụng ngân hàng mà người dùng không chủ động cài đặt, đặc biệt khi ứng dụng này nằm trong một hồ sơ công việc mới.
Bên cạnh đó, người dùng nên thận trọng với các ứng dụng yêu cầu cài đặt thông qua tệp APK được tải từ những đường dẫn không rõ nguồn gốc. Những ứng dụng tự nhận là phần mềm của cơ quan nhà nước, ngân hàng, hãng hàng không, đơn vị giao hàng... nhưng đồng thời yêu cầu quyền Trợ năng hoặc quyền hiển thị đè lên ứng dụng khác cần được kiểm tra kỹ.
Nếu đã cài đặt một ứng dụng đáng ngờ, người dùng nên nhanh chóng thực hiện một số biện pháp sau:
Tạm dừng hoạt động chợ lâu đời hơn 30 năm ở Hà NộiĐỌC NGAYThu hồi các quyền đặc biệt đã cấp cho ứng dụng.
Gỡ ứng dụng không rõ nguồn gốc khỏi thiết bị.
Kiểm tra điện thoại để phát hiện các ứng dụng hoặc bản sao ứng dụng ngân hàng bất thường, đặc biệt trong hồ sơ công việc.
Liên hệ trực tiếp với ngân hàng thông qua các kênh chính thức nếu nghi ngờ tài khoản hoặc thông tin đăng nhập đã bị xâm phạm.
Nếu thiết bị có dấu hiệu bị kiểm soát, người dùng có thể cân nhắc khôi phục cài đặt gốc sau khi sao lưu an toàn những dữ liệu quan trọng.
Quỳnh Chi (theo Thanh Niên, Tri thức và cuộc sống)
