Phân tích mã độc đánh cắp dữ liệu AhRat trong ứng dụng ghi màn hình Android iRecorder

07:00 | 19/06/2023 | HACKER / MALWARE

Vừa qua, công ty an ninh mạng ESET đã phát hiện ứng dụng ghi màn hình phổ biến trên Android “iRecorder - Screen Recorder" bị nhiễm mã độc trên cửa hàng ứng dụng Google Play và đặt tên gọi là “AhRat”, một phiên bản tùy chỉnh của trojan truy cập từ xa (RAT) “AhMyth”.

Phân tích mã độc đánh cắp dữ liệu AhRat trong ứng dụng ghi màn hình Android iRecorder

Phiên bản mới iRecorder bị chèn mã độc hại

Ứng dụng có tên gói APK là "com.tsoft.app.iscreenrecorder", được tải lên lần đầu vào ngày 19/9/2021. Chức năng độc hại được cho là đã xuất hiện trong phiên bản 1.3.8 phát hành vào ngày 24/8/2022. Google sau đó đã gỡ bỏ ứng dụng này và khuyến cáo người dùng nếu đã cài đặt thì nên xóa nó khỏi thiết bị của mình. Ứng dụng iRecorder là sản phẩm của nhà phát triển có tên “Coffeeholic Dev”, người cũng đã phát hành một số ứng dụng khác trong những năm qua, ví dụ như: iBlock (com.tsoft.app.iblock.ad); iCleaner (com.isolar.icleaner); iEmail (com.tsoft.app.email); iLock (com.tsoft.app.ilock); iVideoDownload (com.tsoft.app.ivideodownload); iVPN (com.ivpn.speed);…

Nghiên cứu của ESET phát hiện ra rằng iRecorder đã được nhúng mã độc dưới dạng bản cập nhật ứng dụng, gần một năm sau khi lần đầu tiên nó được đưa vào danh sách ứng dụng trên Google Play. Theo ESET, mã độc này cho phép ứng dụng tải lên âm thanh xung quanh từ micrô của thiết bị cứ sau 15 phút, cũng như trích xuất các tài liệu, trang web và tệp phương tiện từ điện thoại của người dùng.

Trước đó vào năm 2019, ESET đã công bố nghiên cứu về một ứng dụng bị nhiễm trojan truy cập từ xa (RAT) dựa trên mã nguồn mở “AhMyth”, ứng dụng này đã vượt qua được quy trình kiểm tra ứng dụng của Google bằng cách ngụy trang thành một ứng dụng độc hại cung cấp tính năng phát trực tuyến qua radio. RAT tận dụng quyền truy cập rộng rãi vào thiết bị của nạn nhân và thường có thể bao gồm điều khiển từ xa, nhưng cũng có chức năng tương tự như phần mềm gián điệp và phần mềm theo dõi.

ESET gọi mã độc mới là AhRat, một phiên bản tùy chỉnh của AhMyth. Lukas Stefanko, nhà nghiên cứu bảo mật tại ESET, người đã phát hiện ra mã độc trong iRecorder, chia sẻ rằng ứng dụng này khi ra mắt lần đầu vào tháng 9/2021 không chứa các tính năng độc hại. “Rất hiếm khi nhà phát triển tải lên một ứng dụng hợp pháp, đợi khoảng gần một năm và sau đó cập nhật mã độc, nó được thêm vào phiên bản sạch (không độc hại) của iRecorder dựa trên mã nguồn mở AhMyth Android RAT và đã tùy chỉnh một số tính năng được chúng tôi đặt tên là AhRat”, Stefanko cho biết trong một báo cáo kỹ thuật.

Hình 1. Ứng dụng iRecorder bị nhiễm mã độc trên Google Play

Ngoài việc cung cấp chức năng ghi màn hình hợp pháp, iRecorder độc hại có thể ghi lại âm thanh xung quanh từ micrô của thiết bị và tải nó lên máy chủ chỉ huy và kiểm soát (C&C) của kẻ tấn công. Nó cũng có thể trích xuất các tệp có phần mở rộng đại diện cho các tệp trang web, hình ảnh, âm thanh, video và tài liệu đã lưu cũng như các định dạng tệp được sử dụng để nén nhiều tệp khỏi thiết bị. Hành vi độc hại cụ thể của ứng dụng như lọc các bản ghi micrô và đánh cắp các tệp có phần mở rộng cụ thể, có ý kiến cho rằng đó là một phần của chiến dịch gián điệp. Tuy nhiên, hiện tại chưa có bằng chứng cụ thể để có thể quy kết tác nhân đứng sau cho bất kỳ cá nhân hay nhóm tin tặc cụ thể nào.

Phân tích chức năng độc hại của AhRat

Trong quá trình phân tích, các nhà nghiên cứu tại ESET đã xác định được hai phiên bản mã độc dựa trên AhMyth RAT. Phiên bản độc hại đầu tiên của iRecorder chứa các phần mã độc của AhMyth RAT, được sao chép mà không có bất kỳ sửa đổi nào. Phiên bản độc hại thứ hai, đó là AhRat, cũng có sẵn trên Google Play và mã AhMyth của nó đã được tùy chỉnh, bao gồm mã và giao tiếp giữa máy chủ C&C và backdoor.

AhMyth RAT là một công cụ mạnh, có khả năng thực hiện nhiều chức năng độc hại khác nhau, bao gồm lọc nhật ký cuộc gọi, danh bạ và tin nhắn văn bản, lấy danh sách các tệp trên thiết bị, theo dõi vị trí thiết bị, gửi tin nhắn SMS, ghi âm và chụp ảnh. Tuy nhiên, các nhà nghiên cứu chỉ quan sát thấy một tập hợp giới hạn các tính năng độc hại bắt nguồn từ AhMyth RAT ban đầu trong cả hai phiên bản được phân tích. Các chức năng này dường như phù hợp với mô hình quyền ứng dụng đã được xác định, cho phép truy cập vào các tệp trên thiết bị và cho phép ghi âm. Đáng chú ý, ứng dụng độc hại cung cấp chức năng quay video, do đó, nó sẽ yêu cầu quyền ghi lại âm thanh và lưu trữ trên thiết bị.

Hình 2. Yêu cầu quyền truy cập vào thiết bị của người dùng

Sau khi cài đặt, AhRat bắt đầu giao tiếp với máy chủ C&C bằng cách gửi thông tin thiết bị cơ bản và nhận các khóa mã hóa cũng như tệp cấu hình được mã hóa (Hình 3). Các khóa này được sử dụng để mã hóa và giải mã tệp cấu hình và một số dữ liệu bị lọc, chẳng hạn như danh sách các tệp tin trên thiết bị.

Hình 3. Giao tiếp C&C ban đầu của AhRat

Sau giao tiếp ban đầu, AhRat sẽ kết nối đến máy chủ C&C và cứ sau 15 phút sẽ yêu cầu một tệp cấu hình mới. Tệp này chứa một loạt lệnh và thông tin cấu hình sẽ được thực thi và cài đặt trên thiết bị được nhắm mục tiêu, bao gồm vị trí hệ thống tệp để trích xuất dữ liệu người dùng, loại tệp có phần mở rộng cụ thể để trích xuất, giới hạn kích thước tệp, thời lượng của micrô các bản ghi (do máy chủ C&C thiết lập; trong quá trình phân tích, nó được đặt thành 60 giây) và khoảng thời gian chờ giữa các lần ghi là 15 phút, cũng là lúc tệp cấu hình mới được nhận từ máy chủ C&C.

Đáng chú ý, tệp cấu hình được giải mã chứa nhiều lệnh hơn AhRat có khả năng thực thi, vì chức năng độc hại nhất định chưa được triển khai. Điều này có thể chỉ ra rằng AhRat là một phiên bản nhỏ tương tự như phiên bản ban đầu chỉ chứa mã độc chưa sửa đổi từ AhMyth RAT. Mặc dù vậy, AhRat vẫn có khả năng trích xuất các tệp từ thiết bị và ghi lại âm thanh bằng micrô của thiết bị.

Hình 4. Tệp cấu hình được giải mã với danh sách các lệnh

Trong quá trình phân tích, các nhà nghiên cứu phát hiện AhRat đã nhận được các lệnh để trích xuất các tệp có phần mở rộng đại diện cho các tệp trang web, hình ảnh, âm thanh, video và tài liệu cũng như các định dạng tệp được sử dụng để nén nhiều tệp. Các phần mở rộng tệp như sau: zip , rar , jpg , jpeg , jpe , jif, jfif, jfi, png, mp3, mp4, mkv, 3gp, m4v, mov, avi, gif, webp, tiff, tif, heif, heic , bmp, dib, svg, ai, eps, pdf, doc, docx, html, htm, odt, pdf, xls, xlsx, ods, ppt, pptx và txt. Các tệp này được giới hạn ở kích thước 20 MB, sau đó được tải lên máy chủ C&C (Hình 5).

Hình 5. Trích xuất tập tin sang máy chủ C&C

Kết luận

Sự phát triển này chỉ là ví dụ mới nhất về phần mềm độc hại áp dụng kỹ thuật “versioning”, về cơ bản thì nó sẽ tải phiên bản sạch không độc hại của ứng dụng lên cửa hàng Google Play trước để lấy được lòng tin người dùng, sau đó lén lút cài cắm mã độc vào giai đoạn sau thông qua các bản cập nhật ứng dụng.

Các biện pháp phòng ngừa chống lại mối đe dọa này đã được triển khai trong Android 11 và các phiên bản cao hơn ở trạng thái ngủ đông ứng dụng (hibernate). Tính năng này đặt các ứng dụng đã không hoạt động trong vài tháng vào trạng thái ngủ đông một cách hiệu quả, do đó đặt lại các quyền trong thời gian chạy của chúng và ngăn các ứng dụng độc hại hoạt động như dự kiến.

Trường hợp nghiên cứu của AhRat là một ví dụ điển hình về cách một ứng dụng hợp pháp ban đầu có thể trở thành một ứng dụng độc hại, thậm chí sau nhiều tháng phát triển thêm các tính năng theo dõi người dùng và xâm phạm quyền riêng tư của họ. Không có gì lạ khi các ứng dụng độc hại xuất hiện trên Google Play hay các cửa hàng ứng dụng khác. Cả Google và Apple đều sàng lọc ứng dụng để tìm phần mềm độc hại trước khi gỡ bỏ chúng. Năm ngoái, Google cho biết họ đã ngăn hơn 1,4 triệu ứng dụng vi phạm quyền riêng tư trên Google Play.

Tài liệu tham khảo

https://www.welivesecurity.com/2023/05/23/android-app-breaking-bad-legitimate-screen-recording-file-exfiltration/

https://techcrunch.com/2023/05/29/popular-android-app-microphone-spying-google-play/

https://thehackernews.com/2023/05/data-stealing-malware-discovered-in.html

https://www.techtimes.com/articles/292057/20230530/popular-android-screen-recording-app-spies-users-steals-data-researchers-claim.htm

Hồng Đạt

‹ › ×

Tin liên quan

60 ứng dụng Android với hơn 100 triệu lượt tải bị nhiễm mã độc

09:00 | 25/04/2023

60 ứng dụng phổ biến như Lotte Cinema, Live Score, với hơn 100 triệu lượt tải trên Android, vô tình dính mã độc Goldoson đánh cắp dữ liệu.

Chiến dịch gián điệp mạng sử dụng mã độc RDStealer đánh cắp dữ liệu chia sẻ trên Remote Desktop

10:00 | 10/07/2023

Vừa qua, theo báo cáo từ công ty an ninh mạng Bitderfender (Romani) cho biết, một chiến dịch tấn công gián điệp mạng có chủ đích sử dụng mã độc mới được viết bằng ngôn ngữ lập trình Golang có tên là “RDStealer” đã được các tin tặc thực hiện nhằm đánh cắp dữ liệu từ các ổ đĩa được chia sẻ thông qua ứng dụng kết nối từ xa Remote Desktop Protocol (RDP).

Phân tích chiến dịch tấn công lạm dụng tính năng tìm kiếm của Windows để cài đặt Trojan truy cập từ xa

12:00 | 14/08/2023

Một tính năng tìm kiếm hợp pháp của Windows đang bị khai thác bởi các tác nhân độc hại không xác định để tải xuống các payload tùy ý từ các máy chủ từ xa và xâm phạm các hệ thống được nhắm mục tiêu bằng các trojan truy cập từ xa (RAT) như AsyncRAT và Remcos RAT.

Phần mềm mã độc nguồn gốc Israel tấn công hàng chục quốc gia

07:00 | 24/04/2023

Ngày 11/4, Microsoft và hãng giám sát Internet Citizen Lab xuất bản nghiên cứu cho biết ít nhất 10 quốc gia, cả ở Bắc Mỹ và châu Âu, đang bị tấn công bởi phần mềm mã độc có nguồn gốc từ Israel.

Phân tích BunnyLoader - Phần mềm độc hại dưới dạng dịch vụ mới nhất

13:00 | 09/10/2023

Vừa qua, các nhà nghiên cứu của nhóm bảo mật ThreatLabz tại công ty an ninh mạng Zscaler đã phát hiện ra mối đe dọa phần mềm độc hại dưới dạng dịch vụ (MaaS) mới có tên là “BunnyLoader”, đang được rao bán trên các diễn đàn tội phạm có thể đánh cắp và thay thế nội dung bộ nhớ đệm hệ thống.

Nhiều ứng dụng lừa đảo tồn tại trên Google Play Store

16:00 | 03/02/2023

Mới đây, hãng nghiên cứu bảo mật Dr.Web (Nga) đã phát hiện hàng loạt ứng dụng lừa đảo đang được phát tán trên Google Play Store, trong đó có những ứng dụng đã có tới hàng chục triệu lượt tải về.

Phân tích Lu0Bot: Phần mềm độc hại trên nền tảng Node.js (Phần 1)

07:00 | 03/11/2023

Hiện nay, ngày càng có nhiều nhà phát triển phần mềm độc hại sử dụng kết hợp đa ngôn ngữ lập trình để vượt qua các hệ thống bảo mật phát hiện nâng cao. Trong đó, phần mềm độc hại Node.js Lu0Bot là minh chứng nổi bật cho xu hướng này. Bằng cách nhắm mục tiêu vào môi trường runtime - thường được sử dụng trong các ứng dụng web hiện đại và sử dụng tính năng che giấu nhiều lớp, Lu0Bot là mối đe dọa nghiêm trọng đối với các tổ chức và cá nhân. Trong phần I của bài viết sẽ khám phá kiến trúc của phần mềm độc hại này.

Tin cùng chuyên mục

Nhóm tin tặc Việt Nam bị nghi đánh cắp dữ liệu tài chính ở châu Á

10:00 | 24/04/2024

Một nhóm tin tặc được cho là từ Việt Nam đang nhắm mục tiêu vào các tổ chức tài chính ở châu Á để đánh cắp các dữ liệu tài chính.

AT&T xác nhận dữ liệu của 73 triệu khách hàng bị rò rỉ

13:00 | 05/04/2024

Trong một động thái mới nhất, AT&T cuối cùng đã xác nhận rằng họ bị ảnh hưởng bởi một vụ vi phạm dữ liệu ảnh hưởng đến 73 triệu khách hàng.

Lỗ hổng Kubernetes cho phép thực thi mã từ xa trên điểm cuối Windows

09:00 | 01/04/2024

Vừa qua, công ty bảo mật đám mây Akamai (Mỹ) đã đưa ra cảnh báo về việc khai thác lỗ hổng Kubernetes ở mức độ nghiêm trọng cao, có thể dẫn đến việc thực thi mã tùy ý với các đặc quyền hệ thống trên tất cả các điểm cuối Windows trong một cụm (cluster).

Chính phủ Pháp bị tấn công mạng

16:00 | 15/03/2024

Ngày 11/3, Văn phòng Thủ tướng Pháp thông báo một số cơ quan nhà nước của Pháp đã bị tấn công mạng với cường độ chưa từng có đồng thời nhấn mạnh rằng chính phủ đã có thể hạn chế tác động từ vụ việc này.