Phần mềm độc hại SparkKitty trên thiết bị di động

Một chiến dịch tội phạm mạng đang lan rộng nhắm vào người dùng TikTok Shop trên toàn cầu, sử dụng hỗn hợp các chiến thuật lừa đảo và ứng dụng chứa phần mềm độc hại. Trọng tâm của âm mưu này là SparkKitty, một phần mềm độc hại ẩn mình và có khả năng lây nhiễm cao được nhúng trong các ứng dụng TikTok giả mạo. Mặc dù chiến dịch này có vẻ như nhằm mục đích thúc đẩy thương mại điện tử, nhưng thực chất lại là một thủ đoạn tinh vi nhằm đánh cắp dữ liệu người dùng và tài sản tài chính.

Bên trong SparkKitty: Kẻ xâm nhập thầm lặng nhưng nguy hiểm

SparkKitty là một biến thể phần mềm độc hại đa nền tảng được thiết kế để thu thập thông tin nhạy cảm từ cả thiết bị Android và iOS. Sau khi được cài đặt thông qua ứng dụng TikTok Shop giả mạo, nó sẽ âm thầm khởi động một loạt các hoạt động xâm nhập. Nó lấy dấu vân tay thiết bị bị nhiễm, phân tích ảnh chụp màn hình được lưu trữ bằng công nghệ nhận dạng ký tự quang học (OCR) để phát hiện cụm từ "seed" của ví tiền điện tử, và gửi dữ liệu bị đánh cắp đến các máy chủ từ xa do kẻ tấn công kiểm soát. Những tính năng này khiến SparkKitty trở thành một công cụ đánh cắp dữ liệu tiên tiến và hiệu quả cao.

FraudOnTok: Một chiến dịch lừa đảo quy mô lớn

Các nhà nghiên cứu an ninh mạng đã đặt tên cho hoạt động đang diễn ra này là FraudOnTok, ám chỉ các phương thức lừa đảo được sử dụng để mạo danh TikTok Shop. Chiến dịch này có phạm vi toàn cầu và chủ yếu dựa vào các tên miền giả mạo và trí tuệ nhân tạo để đánh lừa người dùng.

Các tác nhân đe dọa phát tán phần mềm độc hại thông qua hàng ngàn trang web giả mạo được thiết kế để bắt chước các tên miền TikTok chính thức. Các trang web lừa đảo này thường có vẻ hợp pháp và được lưu trữ trên các tên miền cấp cao nhất như .top, .shop và .icu. Chiến dịch này cũng sử dụng các cửa hàng giả mạo quảng cáo giảm giá lớn để thuyết phục người dùng tải xuống ứng dụng bị trojan hóa.

Thêm vào đó, kẻ tấn công còn sử dụng video do AI tạo ra để mạo danh những người có sức ảnh hưởng nổi tiếng hoặc tài khoản thương hiệu chính thức. Những video này được lan truyền thông qua quảng cáo trả phí trên các nền tảng như Facebook và TikTok, khiến trò lừa đảo trở nên đáng tin cậy và mở rộng phạm vi tiếp cận.

Cẩm nang tấn công: Từ nhấp chuột đến thỏa hiệp

Khi nạn nhân nhấp vào quảng cáo giả mạo hoặc nhấp vào liên kết giả mạo, họ thường được chuyển hướng đến một trang web lừa đảo hoặc được khuyến khích cài đặt một ứng dụng độc hại. Những ứng dụng này không chỉ lây nhiễm SparkKitty vào thiết bị mà còn mô phỏng các lỗi đăng nhập. Nạn nhân sau đó được yêu cầu đăng nhập bằng tài khoản Google của họ, cho phép kẻ tấn công khai thác mã thông báo OAuth để truy cập tài khoản mà không cần nhập thông tin đăng nhập trực tiếp.

Nếu người dùng cố gắng truy cập các tính năng của TikTok Shop trong ứng dụng giả mạo, họ sẽ bị chuyển hướng đến các trang đăng nhập giả mạo, một chiến thuật khác được thiết kế để đánh cắp thông tin đăng nhập. Sự kết hợp giữa lừa đảo và các cuộc tấn công dựa trên ứng dụng cho phép SparkKitty âm thầm xâm nhập thiết bị của người dùng, đồng thời thu thập dữ liệu cá nhân và tài chính có giá trị.

Các chương trình kiếm tiền đằng sau hoạt động này

Mặc dù chiến dịch sử dụng nhiều chiến thuật, nhưng mục tiêu cuối cùng của nó là lợi nhuận tài chính. Chiến dịch nhắm đến người dùng TikTok và những người tham gia chương trình tiếp thị liên kết với các chương trình bao gồm:

• Bán sản phẩm giả hoặc giảm giá mạnh và yêu cầu thanh toán bằng tiền điện tử, lừa đảo cả người mua hàng và nhà tiếp thị liên kết.
• Thuyết phục các chi nhánh nạp tiền điện tử vào ví giả trên nền tảng với lời hứa về hoa hồng hoặc tiền thưởng rút tiền nhưng không bao giờ nhận được.
• Đánh cắp thông tin đăng nhập thông qua giao diện TikTok Shop giả mạo và lợi dụng mã thông báo Google OAuth để truy cập mà không cần xác thực trực tiếp.

Những phương pháp này cho thấy cách kẻ tấn công tối đa hóa lợi nhuận bằng cách thao túng cả hai phía của hệ sinh thái TikTok Shop, bao gồm người tiêu dùng và người quảng bá.

Kết luận: Hãy thận trọng, hãy được bảo vệ

Sự trỗi dậy của SparkKitty trong chiến dịch FraudOnTok cho thấy tội phạm mạng đang biến đổi như thế nào, kết hợp giữa lừa đảo truyền thống với việc phát tán phần mềm độc hại tinh vi. Người dùng nên hết sức thận trọng khi tương tác với nội dung trên TikTok Shop, đặc biệt là khi được yêu cầu tải xuống ứng dụng hoặc nhập thông tin đăng nhập. Việc chỉ dựa vào các nền tảng chính thức để tải xuống và cảnh giác với những giao dịch "quá hời" là điều cần thiết. Như SparkKitty đã chứng minh, ngay cả một sai lầm nhỏ cũng có thể dẫn đến mất cắp dữ liệu nghiêm trọng và tổn thất tài chính.