Các ứng dụng quản lý tệp trên Android đã lây nhiễm mã độc SharkBot cho hàng nghìn thiết bị

SharkBot, một phần mềm độc hại nhắm mục tiêu vào các ứng dụng ngân hàng, một lần nữa xuất hiện trên Cửa hàng Google Play (Play Store) dưới dạng các ứng dụng quản lý tệp để vượt qua các hạn chế của Google.

Mới đây, công ty bảo mật Bitdefender của Romania cho biết phần lớn người dùng đã tải xuống các ứng dụng giả mạo ở Vương quốc Anh và Ý.

SharkBot, được Cleafy phát hiện lần đầu tiên vào cuối năm 2021, là một mối đe dọa cho thiết bị di động đã được phát tán thông qua Cửa hàng Google Play và các cửa hàng ứng dụng bên thứ ba khác.

Một trong những mục tiêu chính của SharkBot là đánh cắp tiền từ các thiết bị bị xâm nhập thông qua Hệ thống chuyển tự động (ATS), giao dịch chuyển tiền thông qua ứng dụng ngân hàng sẽ bị chặn bắt và sửa đổi để hoán đổi tài khoản người nhận với tài khoản do kẻ tấn công kiểm soát.

Nó có khả năng tạo ra một giao diện vô hình phủ lên giao diện đăng nhập khi người dùng sử dụng các ứng dụng ngân hàng hợp pháp nhằm đánh cắp thông tin đăng nhập của họ.

Những ứng dụng này trông có vẻ vô hại, chúng thường giả dạng phần mềm chống vi-rút và ứng dụng làm sạch (cleaner app) để thâm nhập vào Cửa hàng Google Play. Chúng được thiết kế như các dropper, phần mềm có khả năng tải/cài đặt các công cụ độc hại (payload) khác sau khi nó được cài đặt trên thiết bị.

Các dropper đã được phát hiện và loại bỏ khỏi Cửa hàng Google Play, bao gồm:

- X-File Manager (com.victorsoftice.llc) - Hơn 10.000 lượt tải xuống

- FileVoyager (com.potsepko9.FileManagerApp) - Hơn 5.000 lượt tải xuống

- LiteCleaner M (com.ltdevelopergroups.litecleaner.m) - Hơn 1.000 lượt tải xuống

LiteCleaner M hiện vẫn còn tồn tại trên một cửa hàng ứng dụng của bên thứ ba có tên Apksos cùng với một biến thể SharkBot khác có tên "Phone AID, Cleaner, Booster" (com.sidalistudio.developer.app).

Với việc Google liên tục kiểm soát vấn đề lạm dụng quyền, việc tin tặc giả dạng các ứng dụng quản lý tệp để vượt qua hạn chế của Google là điều không có gì đáng ngạc nhiên.

Điều này do chính sách hạn chế quyền cài đặt các package bên ngoài (REQUEST_INSTALL_PACKAGES) của Google không áp dụng đối với một số danh mục ứng dụng như trình duyệt web, ứng dụng nhắn tin trực tuyến hỗ trợ tệp đính kèm, ứng dụng quản lý tệp, quản lý thiết bị doanh nghiệp,...

Quyền này thường bị lạm dụng để tải xuống và cài đặt phần mềm độc hại từ một máy chủ từ xa. Một số ứng dụng ngân hàng bị nhắm mục tiêu bao gồm Bank of Ireland, Bank of Scotland, Barclays, BNL, HSBC U.K., Lloyds Bank, Metro Bank và Santander.

Người dùng đã cài đặt các ứng dụng giả mạo nói trên nên xóa chúng và thay đổi mật khẩu tài khoản ngân hàng của mình ngay lập tức. Người dùng cũng nên kích hoạt Play Store Protect, đồng thời xem xét kỹ lưỡng xếp hạng và đánh giá về ứng dụng trước khi tải và cài đặt.

Nguồn: thehackernews.com.