Phát hiện ứng dụng độc hại trên Cửa hàng Google Play đang phát tán Banking Trojan Xenomorph

Google đã xóa hai ứng dụng độc hại mới được phát hiện trên Play Store dành cho Android, một trong số đó giả dạng ứng dụng phong cách sống (lifestyle app) đã bị phát hiện phát tán mã độc Xenomorph.

Các nhà nghiên cứu Himanshu Sharma và Viral Gandhi của Zscaler ThreatLabz cho biết: “Xenomorph là một trojan đánh cắp thông tin đăng nhập từ các ứng dụng ngân hàng trên thiết bị của người dùng”.

"Nó cũng có khả năng chặn tin nhắn SMS và thông báo của người dùng, cho phép đánh cắp mật khẩu một lần (OTP) và các yêu cầu (request) xác thực đa yếu tố."

Công ty bảo mật cho biết họ cũng phát hiện một ứng dụng theo dõi chi phí (expense tracker app) có hành vi tương tự, nhưng nó không thể trích xuất URL được sử dụng để tải phần mềm độc hại.

Hai ứng dụng độc hại được phát hiện bao gồm:

- Todo: Day manager (com.todo.daymanager)

- 経費キーパー (com.setprice.expenses)

Cả hai ứng dụng đều hoạt động như một dropper, phần mềm được thiết kể để có thể truy xuất đến phần mềm độc hại (payload), trong trường hợp của Todo, mã độc được lưu trữ trên GitHub.

Xenomorph, được ThreatFnai phát hiện lần đầu tiên vào đầu tháng 2 này, được biết là đã lạm dụng quyền truy cập của Android để thực hiện các cuộc tấn công ‘lớp phủ’ (overlay attack), trong đó màn hình đăng nhập giả mạo được hiển thị trên các ứng dụng ngân hàng (banking app) hợp pháp để lấy cắp thông tin đăng nhập của nạn nhân.

Ngoài ra, phần mềm độc hại này còn lạm dụng mô tả của một kênh Telegram để giải mã và xây dựng tên miền điều khiển của kẻ tấn công (command-and-control domain).

Trước đó không lâu, bốn ứng dụng giả mạo trên Google Play đã bị phát hiện chuyển hướng nạn nhân đến các trang web độc hại như một phần của chiến dịch đánh cắp thông tin và phát tán phần mềm quảng cáo. Google cho biết đã cấm nhà phát triển đã phát hành các ứng dụng này.

Nguồn: thehackernews.com.