Loạt ứng dụng độc hại trên Android tự đánh giá 5 sao, tự nạp thêm mã độc

Công ty bảo mật Trend Micro đã vừa phát hiện ra một loạt các ứng dụng tiện ích và tối ưu hệ thống trên Android có thể tự nạp vào thiết bị đến hơn 3000 biến thể malware khác nhau. Những ứng dụng này hiện đã có 470 ngàn lượt tải và Google đã gỡ toàn bộ các ứng dụng này. Dù vậy, vẫn có rất nhiều thiết bị đã cài đặt.

Một trong những cách để xác định ứng dụng có đáng xài hay không là xem đánh giá sao cũng như phần bình luận bên dưới, chúng đều được đánh giá bởi người đã cài đặt và dùng ứng dụng. Tuy vậy các ứng dụng độc hại nói trên lại tinh vi hơn khi nó giả vờ là người dùng và tự tạo ra các đánh giá tích cực sau khi cài đặt thành công trên thiết bị. Điều dễ nhận biết là các đánh giá này có nội dung giống nhau. Một khi đã nằm trên máy thì các ứng dụng này có đủ cách để quấy rối, chôm chỉa dữ liệu từ hiển thị quảng cáo lừa người dùng nhấp vào cho đến âm thầm truy xuất tài khoản Facebook, Google. Nguy hiểm nhất là chúng có thể tự nạp thêm các biến thể malware khác:

Hàng ngàn biến thể malware sẽ được nạp vào máy và chúng khó có thể bị phát hiện nhờ ngụy trang dưới dạng các ứng dụng hệ thống, qua đó không có biểu tượng ứng dụng trong launcher hay danh sách ứng dụng trong Settings. Vì vậy, người dùng thậm chí không hề biết thiết bị của mình có bị nhiễm malware hay không và nếu có phát hiện ra thì cũng khó mà gỡ. Các ứng dụng này cũng lừa người dùng cấp phép một số quyền nhất định và vô hiệu hóa Google Play Protect để qua mặt cơ chế dò quét malware của Google Play Store trước khi cài đặt.

Những nước bị tác động nhiều nhất bởi các ứng dụng này là Nhật, Israel, Đài Loan, Mỹ, Ấn Độ và Thái Lan, như bảng trên là tên ứng dụng, tên package và số lượt tải.

Ngoài ra một báo cáo khác của Cofense đã tiết lộ về một dạng lừa đảo khiến người dùng Android tải xuống các ứng dụng có chứa malware Anibus. Kẻ gian sẽ gởi đến địa chỉ email nạn nhân các file đính kèm trông như hóa đơn nhưng thực tế đây là các bộ kích hoạt APK được sử dụng để cài đặt ứng dụng chứa mã độc. Một khi tải về hóa đơn giả này và điện thoại đã mở quyền cho phép cài đặt ứng dụng không rõ nguồn gốc thì một thông điệp giả mạo Google Protect sẽ hiện ra yêu cầu thực hiện các thao tác như vô hiệu hóa Google Play Protect và cho phép cấp 19 quyền hệ thống. Malware sẽ quét toàn bộ thiết bị để tìm kiếm các ứng dụng tài chính và ứng dụng giao dịch ngân hàng. Nếu người dùng cài đặt một trong những ứng dụng độc hại này và tiến hành giao dịch, ứng dụng sẽ tự tạo ra một trang đăng nhập ngân hàng giả mạo từ đó kẻ tấn công có thể đánh cắp mật khẩu từ các ứng dụng giao dịch.

Anubis còn có thể chụp ảnh màn hình, thay đổi các thiết lập, tự mở các đường dẫn web, ghi âm, thực hiện cuộc gọi, chôm cả danh bạ, gởi nhận và xóa tin nhắn, khóa thiết bị, lấy dữ liệu vị trí qua GPS, tìm kiếm và mã hóa tập tin trên thiết bị cũng như thiết bị lưu trữ gắn ngoài (chẳng hạn như USB OTG), trích xuất ID thiết bị, hiện các thông báo chồng chéo trên màn hình … Tất cả các hành vi này đều có thể được thực hiện từ xa. Một khi đã lây nhiễm và có được dữ liệu giá trị, kẻ tấn công có thể phá hủy thiết bị từ xa - có thể là mã hóa toàn bộ dữ liệu đòi tiền chuộc như ransomware hay đơn giản là vô hiệu hóa thiết bị.

Như vậy cách duy nhất để ngăn chặn là anh em không nên cài đặt các ứng dụng không rõ nguồn gốc, không đáng tin cậy trên Google Play cũng như phải để ý đến các thông báo tránh vô tình cấp quyền cho các ứng dụng độc hại hoành hành trên máy.