Bốn chiến dịch Banking Trojan trên Android

Bốn banking trojan trên Android đã được phát tán qua cửa hàng Google Play từ tháng 8 đến tháng 11 năm 2021, có hơn 300.000 thiết bị đã bị lây nhiễm từ các ứng dụng tiện ích khác nhau.

Các ứng dụng trông như vô hại được thiết kế để phát tán mã độc Anatsa (hay TeaBot), Alien, ERMAC và Hydra. Công ty an ninh mạng ThreatFnai cho biết các chiến dịch không chỉ tinh vi hơn mà còn được thiết kế chỉ để lại một chút dấu vết độc hại, cho phép các mã độc hại (payload) được tải và cài đặt trên các điện thoại thông minh.

Những trojan này có thể lấy cắp thông tin mật khẩu của người dùng và mã xác thực hai yếu tố dựa trên SMS, thao tác nhấn phím, ảnh chụp màn hình và đánh cắp tiền trong tài khoản ngân hàng của người dùng mà họ không hề hay biết bằng cách sử dụng công cụ Hệ thống chuyển tiền tự động (ATS).

Các ứng dụng này hiện đã bị xóa khỏi Cửa hàng Play, bao gồm:

- Two Factor Authenticator (com.flowdivison)

- Protection Guard (com.protectionguard.app)

- QR CreatorScanner (com.ready.qrscanner.mix)

- Master Scanner Live (com.multifuction.combine.qr)

- QR Scanner 2021 (com.qr.code.generate)

- QR Scanner (com.qr.barqr.scangen)

- PDF Document Scanner - Scan to PDF (com.xaviermuches.docscannerpro2)

- PDF Document Scanner Free (com.doscanner.mobile)

- CryptoTracker (cryptolistapp.app.com.cryptotracker)

- Gym and Fitness Trainer (com.gym.trainer.jeux)

Đầu tháng này, Google đã đặt ra các giới hạn để hạn chế việc sử dụng các quyền cho phép các ứng dụng độc hại thu thập thông tin nhạy cảm từ thiết bị Android.

Các đối tượng khai thác các ứng dụng này đang ngày càng nâng cấp chiến thuật của họ theo nhiều cách.

Đứng đầu trong số đó là kỹ thuật “versioning”, trong đó các phiên bản vô hại của ứng dụng được tải lên lần đầu và các chức năng độc hại được thêm dần dưới dạng các bản cập nhật ứng dụng tiếp theo. Một kỹ thuật khác là thiết kế các trang web độc hại phù hợp với chủ đề của ứng dụng để vượt qua các kiểm tra phát hiện thông thường.

ThreatFnai đã phát hiện ra 6 ứng dụng phát tán Anatsa trên cửa hàng Play từ tháng 6 năm 2021, các ứng dụng này được thiết kế để tải xuống "bản cập nhật", sau đó yêu cầu người dùng cấp cho nó quyền cài đặt ứng dụng từ các bên thứ ba không xác định và các đặc quyền khác.

Brunhilda, kẻ đã phát tán trojan truy cập từ xa Vultur vào tháng 7 năm 2021, đã lợi dụng các phần mềm giả mạo ứng dụng tạo mã QR để phát tán mã độc Hydra và ERMAC nhằm vào người dùng ở Mỹ.

Ngoài ra, ứng dụng luyện tập thể dục GymDrop với hơn 10.000 lượt cài đặt đã được phát hiện phát tán banking trojan Alien thông qua quảng cáo "gói bài tập rèn luyện mới".

Các nhà nghiên cứu cho biết: "Để tránh bị phát hiện, các đối tượng đằng sau các ứng dụng này chỉ kích hoạt thủ công việc cài đặt mã độc trên một thiết bị bị lây nhiễm khi chúng muốn". "Điều này làm cho việc phát hiện tự động trở nên khó áp dụng hơn."

Hãy luôn cẩn thận khi cài đặt hay cấp quyền cho một ứng dụng mới để không trở thành nạn nhân của các chiến dịch phát tán mã độc này.

Nguồn: thehackernews.com.