Trojan Triada được cài đặt sẵn trên những thiết bị Android giá rẻ

09:53 | 22/08/2017 | HACKER / MALWARE

Các nhà nghiên cứu về an ninh tại Dr. Web (Nga) cho biết, một trojan có tên Triada được tích hợp sẵn vào firmware của một số mẫu thiết bị Android giá rẻ.

Trojan Triada được cài đặt sẵn trên những thiết bị Android giá rẻ

Được nhắc đến từ năm 2016, Triada được coi là phần mềm độc hại nguy hiểm nhất trên điện thoại di động, có thể tự tích hợp vào tiến trình lõi Zygote, lây nhiễm trên mọi ứng dụng trong thiết bị. Đầu năm 2017, trojan này đã nhắm tới công nghệ sandbox (đặc biệt là công nghệ mã nguồn mở sandbox DroidPlugin) để tăng khả năng tránh bị phát hiện.

Theo Dr. Web, phần mềm độc hại này hiện được nhúng vào thư viện hệ thống libandroid_runtime.so nên chúng có thể tham gia vào tất cả các tiến trình chạy phần mềm mà không cần đến quyền root của thiết bị. Thư viện đã bị chỉnh sửa ở trên được tìm thấy trên một số thiết bị như: Leagoo M5 Plus, Leagoo M8, Nomu S10, và Nomu S20.

Việc được thực thi trực tiếp trong thư viện hệ thống cho phép mã độc điều khiển quá trình ghi nhật ký hệ thống của các ứng dụng trong thiết bị. Các nhà nghiên cứu cho biết, đối với các thiết bị bị lây nhiễm, lõi Zygote còn cho phép Trojan khởi chạy trước tất cả các ứng dụng khác trong thiết bị.

Ngay sau khi khởi tạo, mã độc tiến hành thiết lập các thông số, tạo một thư mục làm việc, kiểm tra môi trường. Nếu mã độc chạy trong môi trường Dalvik (quá trình ảo hóa trong Android), nó sẽ chặn một tiến trình hệ thống để theo dõi khi các ứng dụng khởi động và nhúng các mã độc vào ứng dụng đó ngay khi khởi động.

Trojan này có thể bí mật chạy thêm các mô đun độc hại để tải xuống các thành phần Trojan khác. Theo các nhà nghiên cứu, cách tiếp cận này có thể được mã độc sử dụng để chạy các plugin độc hại nhằm đánh cắp thông tin bí mật, các chứng chỉ ngân hàng, chạy các mô đun gián điệp hay ngăn chặn các tin nhắn, các thông điệp truyền thông xã hội.

Một mô đun khác của Triada được thiết kế để tải xuống thêm các thành phần độc hại từ Internet và sau khi tải xuống, chúng có thể tương tác được với nhau, mô đun này có thể trích xuất và giải mã được từ libandroid_runtime.so.

Các nhà nghiên cứu về bảo mật khuyến cáo, khi Triada được nhúng vào một trong những thư viện của hệ điều hành và nằm trong phần lõi hệ thống, nó không thể bị xóa hay gỡ bỏ bằng các phương thức thông thường. Phương pháp duy nhất và an toàn để loại bỏ Trojan này là cài đặt một firmware hoàn toàn sạch.

Dr. Web cho biết, họ đã thông báo các vấn đề của mã độc này cho các nhà sản xuất smartphone. Những người dùng được khuyến cáo hãy cài đặt tất cả các bản cập nhật được phát hành cho thiết bị.

‹ › ×

Tin liên quan

Phát hiện phần mềm độc hại OSX/CrescentCore nhắm mục tiêu vào máy Mac

08:00 | 19/07/2019

Ngày 28/6/2019, Các nhà nghiên cứu của Intego (công ty bảo mật phần mềm cho Mac) đã phát hiện phần mềm độc hại OSX/CrescentCore được thiết kế dưới dạng Trojan và ngụy trang các bản cập nhật Flash Player trên trình duyệt. Đáng lưu ý, phần mềm độc hại này còn có các tính năng giúp lẩn tránh các giải pháp chống virus trên hệ điều hành macOS.

Cảnh báo phần mềm độc hại thu thập dữ liệu thiết bị Android

09:00 | 02/04/2021

Mới đây, các nhà nghiên cứu tại zLabs của công ty Zimperium (Hoa Kỳ) đã phát hiện ra phần mềm độc hại mới có khả năng tự ngụy trang dưới dạng Software Update trên thiết bị Android của người dùng.

Tin cùng chuyên mục

Bắt giữ 37 nghi phạm trong đường dây dịch vụ lừa đảo trực tuyến

14:00 | 24/04/2024

Europol đưa ra thông báo, nền tảng cung cấp dịch vụ lừa đảo (PhaaS) LabHost vừa bị triệt phá trong chiến dịch kéo dài 1 năm của các nhà hành pháp toàn cầu, 37 nghi phạm bị bắt giữ.

Plugin GPT của bên thứ ba có thể khiến người dùng bị chiếm đoạt tài khoản

08:00 | 04/04/2024

Các nhà nghiên cứu bảo mật phát hiện ra plugin của bên thứ ba hiện có dành cho ChatGPT có thể hoạt động như một bề mặt tấn công mới để truy cập trái phép vào dữ liệu nhạy cảm.

Chính phủ Pháp bị tấn công mạng

16:00 | 15/03/2024

Ngày 11/3, Văn phòng Thủ tướng Pháp thông báo một số cơ quan nhà nước của Pháp đã bị tấn công mạng với cường độ chưa từng có đồng thời nhấn mạnh rằng chính phủ đã có thể hạn chế tác động từ vụ việc này.

Tin tặc Triều Tiên triển khai phần mềm độc hại Konni RAT nhắm mục tiêu vào Chính phủ Nga

14:00 | 05/03/2024

Một sự cố an ninh mạng nghiêm trọng gần đây đã xảy ra khi một trình cài đặt trong phần mềm của Chính phủ Nga bị cài đặt backdoor để phát tán trojan truy cập từ xa có tên Konni RAT (còn gọi là UpDog).