Các nhà nghiên cứu vừa phát hiện một loại phần mềm độc hại mới có khả năng xâm nhập sâu vào điện thoại và chiếm quyền truy cập cấp cao thông qua ADB không dây, nhằm chiếm đoạt tài khoản ngân hàng của người dùng.

Đây là phiên bản nâng cấp của trojan truy cập từ xa RedHook từng bị phát hiện vào năm ngoái, nhưng đã được bổ sung nhiều chức năng chống phát hiện.

Mặc dù ban đầu phần mềm độc hại này nhắm vào các nạn nhân tại Việt Nam, nhưng hiện đã có dấu hiệu lan rộng sang các khu vực khác ở Đông Nam Á, bao gồm cả Indonesia.

ADB không dây (Android Debug Bridge) là một trong những công cụ giúp các nhà phát triển và người đam mê công nghệ dễ dàng thao tác hơn.

Tuy nhiên, một số công cụ này lại bị các đối tượng xấu lợi dụng để thực hiện các vụ lừa đảo tài chính quy mô lớn nhắm vào những người dùng thiếu cảnh giác. Một báo cáo chi tiết mới đây đã tiết lộ về một loại phần mềm độc hại như vậy.

Công ty nghiên cứu an ninh mạng Group-IB cho biết, trojan truy cập từ xa trên Android (RAT) có tên RedHook này xâm nhập thiết bị khi nạn nhân nhấp vào các liên kết được gửi qua tin nhắn, cuộc gọi, email hoặc các nền tảng mạng xã hội khác. Kẻ tấn công có thể giả mạo nhân viên hỗ trợ hoặc nhân viên của các tổ chức uy tín, nổi tiếng để lừa người dùng.

Nạn nhân sau đó bị dụ cài đặt một tệp APK, thường thông qua một trang web giả mạo có giao diện giống Google Play Store nhưng thực chất không phải.

Sau khi tệp APK độc hại được cài đặt, người dùng bị lừa cấp quyền Trợ năng (Accessibility) với lý do ứng dụng cần quyền này để hoạt động bình thường. Nhờ các quyền này, phần mềm độc hại có thể âm thầm kích hoạt ADB không dây bằng cách truy cập vào tùy chọn Nhà phát triển (Developer options), từ đó chiếm quyền truy cập shell (UID 2000).

Ở thời điểm này, trojan đã kiểm soát hoàn toàn thiết bị, cho phép kẻ tấn công truy cập vào thao tác bàn phím, khóa màn hình và truyền phát màn hình của người dùng.

RedHook lần đầu tiên được các nhà nghiên cứu tại Cyble phát hiện vào năm ngoái, và đây dường như là phiên bản nâng cấp. Phần mềm độc hại này sử dụng nhiều kỹ thuật tinh vi hơn để gần như không thể bị loại bỏ khỏi thiết bị, chẳng hạn như sử dụng WakeLock để đánh lừa hệ thống luôn giữ cho nó hoạt động.

Ngoài ra, trojan này còn có thể giữ màn hình luôn bật bằng cách kích hoạt một điểm ảnh 1×1 gần như không thể nhận thấy, khiến Android nghĩ rằng đây là một tiến trình quan trọng không nên bị tắt.

Đáng chú ý hơn, phiên bản RedHook nâng cấp này còn sử dụng cơ chế mà Group-IB gọi là “cơ chế hồi sinh tiến trình chéo hai dịch vụ”. Nói một cách đơn giản, đây là hai chức năng có thể khởi động lại lẫn nhau khi một trong hai bị tắt, khiến việc loại bỏ chúng trở nên rất khó khăn.

Mặc dù phần mềm độc hại này ban đầu nhắm vào người dùng tại Việt Nam, nhưng các báo cáo cho biết kẻ tấn công đã mở rộng sang Indonesia.

Như các đợt tấn công phần mềm độc hại trước đây, người dùng được khuyến cáo chỉ nên tải ứng dụng từ các nguồn chính thức như Google Play Store. Hãy cân nhắc kỹ nếu buộc phải tải và cài đặt tệp APK, đồng thời luôn chú ý đến các yêu cầu cấp quyền của ứng dụng.

Gần đây, đã có bằng chứng cho thấy Android có thể sẽ khắc phục lỗ hổng bảo mật này bằng cách vô hiệu hóa quyền truy cập vào tùy chọn Nhà phát triển trong gói Advanced Protection. Tuy nhiên, cho đến khi tính năng này chính thức được triển khai trên Android, cách tốt nhất để bảo vệ bản thân là tránh nhấp vào các liên kết đáng ngờ xuất hiện trong email, tin nhắn hoặc các ứng dụng mạng xã hội.