Làn sóng Trojan mới nhắm vào ví tiền điện tử và ứng dụng ngân hàng

Các nhà nghiên cứu an ninh mạng đã phát hiện bốn họ phần mềm độc hại Android hoạt động, nhắm vào hơn 800 ứng dụng, bao gồm ví tiền điện tử và ứng dụng ngân hàng. Những phần mềm độc hại này sử dụng các phương pháp mà hầu hết các công cụ bảo mật truyền thống không thể phát hiện.

Nhóm zLabs của Zimperium đã công bố kết quả theo dõi các Trojan được biết đến với tên RecruitRat, SaferRat, Astrinox và Massiv.

Theo nghiên cứu của công ty, mỗi họ có mạng lưới chỉ huy và kiểm soát riêng để đánh cắp thông tin đăng nhập, chiếm quyền các giao dịch tài chính và lấy dữ liệu người dùng từ các thiết bị bị nhiễm.

Ứng dụng tiền điện tử và ngân hàng đối mặt với các mối đe dọa mới từ nhiều phần mềm độc hại

Các họ phần mềm độc hại này là mối đe dọa trực tiếp đến bất kỳ ai quản lý tiền điện tử trên Android.

Sau khi cài đặt, các Trojan có thể đặt các màn hình đăng nhập giả trên các ứng dụng tiền điện tử và ngân hàng thực, đánh cắp mật khẩu và các thông tin cá nhân khác trong thời gian thực. Phần mềm độc hại sau đó đặt một trang HTML giả lên giao diện của ứng dụng thật, tạo ra cái gọi là “mặt tiền lừa đảo, rất thuyết phục.”

“Sử dụng Dịch vụ Trợ năng để giám sát phần nổi bật, phần mềm độc hại phát hiện chính xác thời điểm nạn nhân mở một ứng dụng tài chính,” các nhà nghiên cứu bảo mật của Zimperium viết.

Theo báo cáo, các Trojan không chỉ đánh cắp thông tin đăng nhập. Chúng còn có thể ghi lại mã xác thực dùng một lần, truyền màn hình của thiết bị cho kẻ tấn công, ẩn biểu tượng ứng dụng của chính chúng, và ngăn người dùng gỡ cài đặt chúng.

Mỗi chiến dịch sử dụng một mồi nhử khác nhau để lừa người dùng.

SaferRat lây lan bằng cách sử dụng các trang web giả mạo hứa hẹn truy cập miễn phí vào các dịch vụ phát trực tuyến cao cấp. RecruitRat giấu payload của mình trong quá trình nộp đơn xin việc, dẫn nạn nhân đến các trang lừa đảo yêu cầu tải xuống tệp APK độc hại.

Astrinox sử dụng phương pháp tuyển dụng tương tự, dùng tên miền xhire[.]cc. Tùy theo thiết bị truy cập vào trang đó, nó hiển thị nội dung khác nhau.

Người dùng Android được yêu cầu tải xuống một tệp APK, còn người dùng iOS thấy một trang giống như Apple App Store. Tuy nhiên, các nhà nghiên cứu bảo mật không tìm thấy bằng chứng cho thấy iOS thực sự bị tấn công.

Không thể xác nhận cách Massiv được phân phối trong chu kỳ nghiên cứu.

Cả bốn Trojan đều sử dụng hạ tầng lừa đảo qua email, lừa đảo qua tin nhắn văn bản, và kỹ thuật xã hội dựa trên nhu cầu hành động nhanh hoặc sự tò mò của người dùng để buộc họ cài đặt các ứng dụng độc hại.

Phần mềm độc hại tiền điện tử tránh bị phát hiện

Các chiến dịch nhằm vượt qua các công cụ bảo mật.

Các nhà nghiên cứu phát hiện rằng các họ phần mềm độc hại sử dụng các kỹ thuật chống phân tích tiên tiến và can thiệp cấu trúc vào các gói ứng dụng Android (APKs) để duy trì tỷ lệ phát hiện gần như bằng không theo các cơ chế bảo mật dựa trên ký hiệu truyền thống.

Giao tiếp mạng cũng pha trộn với lưu lượng truy cập bình thường. Các Trojan sử dụng kết nối HTTPS và WebSocket để liên lạc với máy chủ chỉ huy của chúng. Một số phiên bản còn thêm các lớp mã hóa bổ sung trên các kết nối này.

Một yếu tố quan trọng khác là tính bền bỉ. Các Trojan ngân hàng Android hiện đại không còn sử dụng các phương pháp nhiễm trùng đơn giai đoạn đơn giản nữa. Thay vào đó, chúng sử dụng các quá trình cài đặt nhiều giai đoạn nhằm vượt qua mô hình quyền hạn thay đổi của Android, vốn đã khiến các ứng dụng khó thực hiện các tác vụ mà không cần sự cho phép rõ ràng của người dùng.

Báo cáo không xác định rõ ví tiền điện tử hoặc sàn giao dịch nào trong hơn 800 ứng dụng bị nhắm mục tiêu. Nhưng do các cuộc tấn công chồng lớp, chặn mã PIN, và truyền màn hình, bất kỳ ứng dụng tiền điện tử dựa trên Android nào cũng có thể gặp rủi ro nếu người dùng cài đặt APK độc hại từ bên ngoài Google Play Store.

Tải xuống ứng dụng từ các liên kết trong tin nhắn văn bản, bài đăng tuyển dụng hoặc các trang web quảng cáo vẫn là một trong những cách đảm bảo phần mềm độc hại xâm nhập vào điện thoại thông minh.

Những người quản lý tiền điện tử trên thiết bị Android chỉ nên sử dụng các cửa hàng ứng dụng chính thức và cẩn thận với các pop-up yêu cầu tải xuống thứ gì đó.

Những bộ não tiền điện tử thông minh đã đọc bản tin của chúng tôi rồi. Muốn tham gia? Tham gia cùng họ.