Phát hiện ứng dụng độc hại đã lạm dụng các thiết bị bị xâm phạm để tạo tài khoản trên nhiều nền tảng

Một ứng dụng nhắn tin Android độc hại trên Cửa hàng Google Play đã bị phát hiện là lén lút thu thập các tin nhắn để tạo tài khoản trên nhiều nền tảng như Facebook, Google và WhatsApp.

Ứng dụng có tên Symoo (com.vanjan.sms), đã có hơn 100.000 lượt tải xuống và hoạt động như một công cụ chuyển tiếp để chuyển các tin nhắn đến máy chủ quảng cáo dịch vụ tạo tài khoản.

Điều này đạt được bằng cách sử dụng các số điện thoại được liên kết với các thiết bị bị nhiễm làm phương tiện để thu thập mật khẩu một lần (OTP) thường được gửi để xác minh người dùng khi thiết lập tài khoản mới.

Nhà nghiên cứu bảo mật Maxime Ingrao, người đã phát hiện ra phần mềm độc hại, cho biết phần mềm này yêu cầu người dùng cung cấp số điện thoại của họ trong màn hình đầu tiên, đồng thời yêu cầu quyền SMS.

"Sau đó, nó giả vờ tải ứng dụng nhưng vẫn luôn ở trang này, điều này nhằm mục đích ẩn giao diện của tin nhắn đến để người dùng không thấy tin nhắn đăng ký các dịch vụ khác nhau".

Một số dịch vụ đã bị đăng ký bất hợp pháp bằng số điện thoại bao gồm Amazon, Discord, Facebook, Google, Instagram, KakaoTalk, Microsoft, Nike, Telegram, TikTok, Tinder, Viber và WhatsApp,...

Ngoài ra, dữ liệu do phần mềm độc hại thu thập được sẽ được chuyển đến máy chủ "goomy[.]fun", tên miền này trước đây đã từng được sử dụng trong Virtual Number (com.programmatics.virtualnumber), một ứng dụng độc hại khác đã bị xóa bỏ khỏi Cửa hàng Play.

Nhà phát triển ứng dụng này, Walven, cũng là người phát hành một ứng dụng Android khác có tên ActivationPW - Virtual numbers (com.programmatics.activation) được quảng cáo là cung cấp "số ảo để nhận mã xác minh qua tin nhắn SMS" từ hơn 200 quốc gia với giá dưới 50 xu.

Theo Ingrao, Symoo và ActivationPW được kết hợp để thực hiện một kế hoạch lừa đảo, trong đó số điện thoại của các thiết bị nhiễm Symoo sẽ được sử dụng để mua tài khoản thông qua ActivationPW.

Google đã xóa hai ứng dụng này khỏi Play Store và cấm nhà phát triển của chúng khỏi nền tảng này.

Nguồn: thehackernews.com.