Loạt Ứng Dụng Độc Hại Trên Android Tự Đánh Giá 5 Sao, Tự Nạp Thêm Mã Độc, Bắt Cóc Dữ Liệu

Khoảng đầu tháng 02/2020, công ty bảo mật Trend Micro đã vừa phát hiện ra một loạt các ứng dụng tiện ích và tối ưu hệ thống trên Android có thể tự nạp vào thiết bị đến hơn 3000 biến thể malware khác nhau. Các ứng dụng hiện đã có 470,000 lượt tải và đã bị Google gỡ toàn bộ. Dù vậy, vẫn có rất nhiều thiết bị đã cài đặt.

Một trong những cách để xác định ứng dụng có đáng sử dụng hay không là xem đánh giá sao cũng như phần bình luận bên dưới, chúng đều được đánh giá bởi người đã cài đặt và dùng ứng dụng. Tuy vậy, các ứng dụng độc hại nói trên lại tinh vi hơn khi nó giả vờ là người dùng và tự tạo ra các đánh giá tích cực sau khi cài đặt thành công trên thiết bị. Điều dễ nhận biết là các đánh giá đều có nội dung giống nhau. Một khi đã được cài đặt trên máy, các ứng dụng độc hại sẽ có đủ cách để quấy rối, đánh cắp dữ liệu từ hiển thị quảng cáo lừa người dùng nhấp vào cho đến âm thầm truy xuất tài khoản Facebook, Google. Nguy hiểm nhất là chúng có thể tự nạp thêm các biến thể malware khác. Hàng nghìn biến thể malware sẽ được nạp vào máy và chúng khó có thể bị phát hiện nhờ ngụy trang dưới dạng các ứng dụng hệ thống, qua đó không có biểu tượng ứng dụng trong launcher hay danh sách ứng dụng trong Settings. Vì vậy, người dùng thậm chí không hề biết thiết bị của mình có bị nhiễm malware hay không và nếu có phát hiện ra thì cũng khó mà gỡ. Chúng cũng lừa người dùng cấp phép một số quyền nhất định và vô hiệu hóa Google Play Protect để qua mặt cơ chế dò quét malware của Google Play Store trước khi cài đặt.

Những quốc gia bị tác động nhiều nhất bởi các ứng dụng độc hại là Nhật, Israel, Đài Loan, Mỹ, Ấn Độ và Thái Lan, như bảng trên là tên ứng dụng, tên package và số lượt tải.

Ngoài ra, một báo cáo khác của Cofense đã tiết lộ về một dạng lừa đảo khiến người dùng Android tải xuống các ứng dụng có chứa malware Anibus. Kẻ gian sẽ gởi đến địa chỉ email nạn nhân các file đính kèm trông như hóa đơn, nhưng thực ra đây là các bộ kích hoạt APK được sử dụng để cài đặt ứng dụng chứa mã độc. Một khi tải về hóa đơn giả và điện thoại đã mở quyền cho phép cài đặt ứng dụng không rõ nguồn gốc, một thông điệp giả mạo Google Protect sẽ hiện ra yêu cầu thực hiện các thao tác như vô hiệu hóa Google Play Protect và cho phép cấp 19 quyền hệ thống. Malware sẽ quét toàn bộ thiết bị để tìm kiếm các ứng dụng tài chính và ứng dụng giao dịch ngân hàng. Nếu người dùng cài đặt một trong những ứng dụng độc hại và tiến hành giao dịch, ứng dụng sẽ tự tạo ra một trang hội nhập ngân hàng giả mạo từ đó kẻ tấn công có thể đánh cắp mật mã từ các ứng dụng giao dịch.

Anubis còn có thể chụp ảnh màn hình, thay đổi các thiết lập, tự mở các đường dẫn web, ghi âm, thực hiện cuộc gọi, chôm cả danh bạ, gởi nhận và xóa tin nhắn, khóa thiết bị, lấy dữ liệu vị trí qua GPS, tìm kiếm và mã hóa tập tin trên thiết bị cũng như thiết bị lưu trữ gắn ngoài (chẳng hạn như USB OTG), trích xuất ID thiết bị, hiện các thông báo chồng chéo trên màn hình … Tất cả các hành vi trên đều có thể được thực hiện từ xa. Khi đã lây nhiễm và có được dữ liệu giá trị, kẻ tấn công có thể phá hủy thiết bị từ xa - có thể là mã hóa toàn bộ dữ liệu đòi tiền chuộc như ransomware hay đơn giản là vô hiệu hóa thiết bị.

Như vậy, cách duy nhất để ngăn chặn là người dùng không nên cài đặt các ứng dụng không rõ nguồn gốc, không đáng tin cậy trên Google Play cũng như phải để ý đến các thông báo tránh vô tình cấp quyền cho các ứng dụng độc hại hoạt động trên máy.