Phát hiện mã độc SharkBot núp bóng ứng dụng diệt virus trên Android

15:00 | 15/03/2022 | HACKER / MALWARE

Một trojan ngân hàng trên Android mới có tên SharkBot đã tìm cách lẩn tránh các thiết lập bảo mật của Google Play bằng cách giả dạng là một ứng dụng diệt virus.

Phát hiện mã độc SharkBot núp bóng ứng dụng diệt virus trên Android

SharkBot núp bóng ứng dụng diệt virus trên Google play

SharkBot cũng như các thành phần mã độc hại khác như TeaBot, FluBot và Oscorp (UBEL), nằm trong danh mục các trojan tài chính có khả năng đánh cắp thông tin đăng nhập để chuyển tiền từ các thiết bị bị lây nhiễm qua việc phá vỡ các cơ chế xác thực đa yếu tố. Hình thức này xuất hiện lần đầu tiên vào tháng 11/2021.

Theo các nhà phân tích phần mềm độc hại tại công ty an ninh mạng NCC Group (Vương Quốc Anh), SharkBot hoạt động với bốn chức năng chính:

Thứ nhất: Injections (overley attack). SharkBot có thể lấy cắp thông tin đăng nhập bằng cách hiển thị nội dung web (WebView) với trang đăng nhập giả mạo (phishing) ngay khi phát hiện ứng dụng ngân hàng chính thức được mở.

Thứ hai: Keylogging. SharkBot có thể lấy cắp thông tin đăng nhập bằng cách ghi nhật ký các sự kiện trợ năng (liên quan tới các thay đổi trường văn bản và các nút được nhấp vào) và gửi các nhật ký này đến máy chủ command and control (C2).

Thứ ba: Chặn SMS. SharkBot có thể chặn/ẩn tin nhắn SMS (đánh cắp mã OTP mà người dùng không hề hay biết).

Thứ tư: Điều khiển từ xa/ATS. SharkBot có thể chiếm toàn quyền kiểm soát thiết bị Android và điều khiển nó từ xa (thông qua Accessibility Services).

Điểm nổi bật của SharkBot là ở khả năng thực hiện các giao dịch trái phép thông qua Hệ thống chuyển giao tự động (ATS), trái ngược với TeaBot, yêu cầu người dùng trực tiếp tương tác với các thiết bị bị nhiễm để tiến hành các hoạt động độc hại.

SharkBot lạm dụng đặc quyền Accessibility trên Android và sau đó tự cấp thêm quyền cho nó nếu cần. Bằng cách này, SharkBot có thể phát hiện khi nào người dùng mở ứng dụng ngân hàng sau đó thực hiện việc injection trang web phù hợp và đánh cắp thông tin của người dùng.

Ngoài ra, SharkBot còn có thể nhận lệnh từ máy chủ C2 để thực hiện các hành động khác như sau:

Gửi SMS tới một số điện thoại.
Thay đổi trình quản lý SMS.
Tải xuống file từ một URL được chỉ định.
Nhận file cấu hình đã được cập nhật.
Gỡ cài đặt ứng dụng khỏi thiết bị.
Tắt tính năng tối ưu hóa pin.
Hiển thị overlay phục vụ lừa đảo (phishing).
Kích hoạt hoặc dừng ATS.
Đóng một ứng dụng cụ thể (ví dụ như công cụ diệt virus) khi người dùng cố gắng mở nó.

Một trong những điểm khác biệt đáng chú ý giữa SharkBot và các trojan ngân hàng Android khác là việc sử dụng các thành phần tương đối mới để tận dụng tính năng "Direct reply" cho các thông báo. SharkBot có thể chặn các thông báo mới và trả lời chúng bằng các thông điệp tới trực tiếp từ máy chủ C2.

Mã nguồn của tính năng tự động trả lời thông báo

NCC lưu ý rằng SharkBot sử dụng tính năng này để cài đặt các payload nhiều tính năng lên thiết bị bị xâm nhập thông qua một URL Bit.ly rút rọn.

Ban đầu, ứng dụng diệt virus giả mạo sẽ chỉ chứa một phiên bản SharkBot thu gọn để giảm nguy cơ bị phát hiện và vượt qua lớp phòng thủ tự động của Google Play. Sau đó, thông qua tính năng "Direct reply", phiên bản chính thức của SharkBot với đầy đủ tính năng bao gồm cả ATS sẽ được tải xuống và cài đặt.

Giải mã lệnh tải mã độc bổ sung được gửi từ máy chủ C2

Máy chủ C2 của SharkBot dựa trên một thuật toán tạo tên miền (DGA) nên việc phát hiện và ngăn chặn các tên miền cấp lệnh cho SharkBot trở nên khó khăn hơn nhiều.

Danh sách các ứng dụng độc hại khác với lượt cài đặt khoảng 57.000 lần gồm có:

Antivirus, Super Cleaner (com.abbondioendrizzi.antivirus.supercleaner) – 1,000+ lượt cài đặt.
Atom Clean-Booster, Antivirus (com.abbondioendrizzi.tools.supercleaner) – 500+ lượt cài đặt.
Alpha Antivirus, Cleaner (com.pagnotto28.sellsourcecode.alpha) – 5,000+ lượt cài đặt.
Powerful Cleaner, Antivirus (com.pagnotto28.sellsourcecode.supercleaner) – 50,000+ lượt cài đặt.

Để bảo vệ bản thân trước những trojan nguy hiểm như SharkBot người dùng không nên tin tưởng vào các ứng dụng trên Google Play Store. Hãy cài ít ứng dụng nhất có thể trên thiết bị của mình. Nói cách khác, người dùng chỉ nên cài các ứng dụng thật sự cần thiết cho cuộc sống và công việc.

Trí Công

‹ › ×

Tin liên quan

Xenomorph - Trojan ngân hàng mới trên Android

14:00 | 07/03/2022

Mới đây, các nhà nghiên cứu tới từ công ty bảo mật ThreatFnai (Hà Lan) đã đưa ra cảnh báo về một trojan ngân hàng mới trên nền tảng Android, ghi nhận với hơn 50.000 lượt cài đặt và phát tán thông qua cửa hàng ứng dụng Google Play. Mã độc này nhắm mục tiêu thu thập các thông tin nhạy cảm của người dùng đến từ 56 ngân hàng khác nhau tại Châu Âu.

Google công bố chính sách mới tăng cường bảo mật cho các ứng dụng Android

15:00 | 15/04/2022

Google đã công bố một số thay đổi chính sách quan trọng dành cho các nhà phát triển ứng dụng Android nhằm tăng cường bảo mật cho người dùng Google Play và các ứng dụng do kho dịch vụ này cung cấp.

Ứng dụng xác thực hai lớp có khả năng cài đặt trojan độc hại trên thiết bị của người dùng

15:00 | 17/02/2022

Một ứng dụng xác thực hai lớp trên Google Play Store có khả năng cài đặt trojan độc hại trên thiết bị của người dùng.

Mã độc tống tiền DeadBolt nhắm vào các thiết bị QNAP NAS

17:00 | 01/04/2022

Các nhà nghiên cứu của công cụ tìm kiếm Internet Censys mới đưa ra báo cáo về việc các thiết bị QNAP đã bị nhắm mục tiêu trong một làn sóng tấn công bằng mã độc tống tiền DeadBolt mới.

Phát hiện phần mềm gián điệp Vidar ẩn mình trong các tệp trợ giúp Microsoft

08:00 | 04/04/2022

Trong một chiến dịch lừa đảo mới đây, các chuyên gia an ninh mạng của Trustwave (Mỹ) đã phát hiện phần mềm độc hại Vidar được giấu trong các tệp trợ giúp HTML của Microsoft.

Gia tăng của các chiến dịch tấn công trên thiết bị di động

15:00 | 28/11/2022

Các nhà nghiên cứu tại Kaspersky phát hiện một chiến dịch tấn công bằng phần mềm gián điệp trên Android. Với tên gọi là SandStrike, các tin tặc đã sử dụng một ứng dụng VPN độc hại để tải phần mềm gián điệp trên thiết bị Android, từ đó đánh cắp thông tin đăng nhập và dữ liệu của người dùng.

Tin cùng chuyên mục

Tội phạm mạng sử dụng AI để phát tán phần mềm độc hại trong các chiến dịch lừa đảo trên mạng xã hội

10:00 | 22/04/2024

Trong một xu hướng đáng lo ngại được Bitdefender Labs (Hoa Kỳ) phát hiện gần đây, tin tặc đang tận dụng sự quan tâm ngày càng tăng đối với AI để phát tán các phần mềm độc hại tinh vi. Những kẻ tấn công này đang tung ra các chiến dịch quảng cáo độc hại trên mạng xã hội, giả dạng các dịch vụ AI phổ biến như Midjourney, DALL-E và ChatGPT để đánh lừa người dùng.

Quỹ Tiền tệ Quốc tế bị tấn công mạng

15:00 | 25/03/2024

Ngày 15/3/2024, Quỹ Tiền tệ Quốc tế (IMF) cho biết họ đã bị tấn công mạng sau khi những kẻ tấn công xâm phạm 11 tài khoản email của tổ chức này vào đầu năm nay.

Khám phá Trojan ngân hàng Coyote

07:00 | 11/03/2024

Mới đây, các nhà nghiên cứu của hãng bảo mật Kaspersky (Nga) đã phát hiện một Trojan ngân hàng tinh vi mới đánh cắp thông tin tài chính nhạy cảm có tên là Coyote, mục tiêu là người dùng của hơn 60 tổ chức ngân hàng, chủ yếu từ Brazil. Điều chú ý là chuỗi lây nhiễm phức tạp của Coyote sử dụng nhiều kỹ thuật tiên tiến khác nhau, khiến nó khác biệt với các trường hợp lây nhiễm Trojan ngân hàng trước đó. Phần mềm độc hại này sử dụng trình cài đặt Squirrel để phân phối, tận dụng NodeJS và ngôn ngữ lập trình đa nền tảng tương đối mới có tên Nim làm trình tải (loader) trong chuỗi lây nhiễm. Bài viết này sẽ phân tích hoạt động và khám phá khả năng của Trojan ngân hàng này.

Tin tặc Mustang Panda nhắm mục tiêu vào các quốc gia châu Á với biến thể mới của PlugX

09:00 | 06/03/2024

Tác nhân đe dọa liên quan đến Trung Quốc có tên là Mustang Panda đã nhắm mục tiêu vào nhiều quốc gia châu Á bằng cách sử dụng một biến thể mới của backdoor PlugX có tên là DOPLUGS.