Phần mềm độc hại trên thiết bị di động SpinOk

Các nhà nghiên cứu an ninh mạng đã phát hiện ra một mô-đun phần mềm đe dọa nhắm mục tiêu các thiết bị Android được trang bị khả năng của phần mềm gián điệp. Mô-đun này được theo dõi dưới dạng SpinOk và hoạt động bằng cách thu thập dữ liệu nhạy cảm liên quan đến các tệp được lưu trữ trên các thiết bị bị ảnh hưởng và có khả năng truyền thông tin này đến các thực thể có đầu óc xấu xa. Ngoài ra, nó có thể thay thế và tải lên các nội dung được sao chép vào khay nhớ tạm của thiết bị, chuyển tiếp chúng đến một máy chủ từ xa do những kẻ tấn công kiểm soát.

Phần mềm độc hại SpinOk đã được ngụy trang dưới dạng Bộ công cụ phát triển phần mềm (SDK) tiếp thị. Do đó, nó có thể được các nhà phát triển tích hợp vào nhiều ứng dụng và trò chơi khác nhau, bao gồm cả những ứng dụng và trò chơi có thể truy cập dễ dàng trên Cửa hàng Google Play. Phương pháp phân phối này cho phép mô-đun bị nhiễm phần mềm gián điệp có khả năng xâm nhập vào nhiều loại phần mềm Android, gây ra mối đe dọa đáng kể đối với quyền riêng tư và bảo mật của người dùng. Thật vậy, theo các chuyên gia của infosec, các ứng dụng Android bị nhiễm SpinOk đã được tải xuống và cài đặt hơn 421 triệu lần.

Phần mềm độc hại SpinOk được tìm thấy đã được đưa vào nhiều ứng dụng trên Google Play Store

Mô-đun trojan SpinOk, cùng với một số biến thể của nó, đã được xác định trong nhiều ứng dụng được phân phối qua Cửa hàng Google Play. Mặc dù một số ứng dụng trong số này vẫn chứa Bộ công cụ phát triển phần mềm (SDK) bị xâm nhập, nhưng những ứng dụng khác đã có bộ công cụ này trong các phiên bản cụ thể hoặc đã bị xóa hoàn toàn khỏi cửa hàng. Tuy nhiên, người ta đã phát hiện ra rằng phần mềm độc hại dành cho thiết bị di động này đã có mặt trong tổng số 101 ứng dụng khác nhau, tổng cộng đã thu được hơn 421.000.000 lượt tải xuống. Do đó, một số lượng đáng kể chủ sở hữu thiết bị Android, lên tới hàng trăm triệu, có nguy cơ trở thành nạn nhân của hoạt động gián điệp mạng.

Trong số các ứng dụng bị phát hiện mang phần mềm gián điệp SpinOk có số lượt tải xuống nhiều nhất là:

• • Trình chỉnh sửa video Noizz với tối thiểu 100 triệu lượt cài đặt.

• • Ứng dụng chia sẻ và truyền tệp, Zapya, với 100 triệu lượt cài đặt khác.

• • VFly (trình chỉnh sửa và tạo video), MVBit (trình tạo trạng thái video MV) và Biudo (trình chỉnh sửa và tạo video) mỗi ứng dụng có tối thiểu 50 triệu lượt cài đặt.

Cần chỉ ra rằng Phần mềm độc hại SpinOk đã có trong một số phiên bản của Zapya nhưng đã bị xóa với phiên bản 6.4.1 của ứng dụng.

Sự hiện diện của mô-đun Trojan này trong các ứng dụng được sử dụng rộng rãi này gây ra mối đe dọa đáng kể đối với quyền riêng tư và bảo mật của người dùng. Cần có hành động ngay lập tức để giảm thiểu rủi ro tiềm ẩn liên quan đến các ứng dụng bị xâm nhập này.

Phần mềm độc hại SpinOk Mobile thu thập nhiều loại dữ liệu nhạy cảm dưới vỏ bọc là các chức năng hữu ích

Mô-đun SpinOk tự thể hiện như một công cụ hấp dẫn trong các ứng dụng, cung cấp cho người dùng các trò chơi nhỏ, hệ thống nhiệm vụ cũng như sức hấp dẫn của các giải thưởng và phần thưởng. Tuy nhiên, khi kích hoạt, Bộ công cụ phát triển phần mềm Trojan (SDK) này sẽ thiết lập kết nối với máy chủ Command-and-Control (C&C) và truyền một bộ chi tiết kỹ thuật toàn diện về thiết bị bị nhiễm. Những chi tiết này bao gồm dữ liệu cảm biến từ các thành phần như con quay hồi chuyển và từ kế, có thể được sử dụng để xác định môi trường giả lập và điều chỉnh hành vi của mô-đun để tránh bị các nhà nghiên cứu bảo mật phát hiện. Để làm xáo trộn thêm các hoạt động của nó trong quá trình phân tích, mô-đun Trojan bỏ qua cài đặt proxy của thiết bị, cho phép nó che giấu các kết nối mạng.

Thông qua giao tiếp với máy chủ C&C, mô-đun nhận danh sách các URL, sau đó nó sẽ tải trong WebView để hiển thị các biểu ngữ quảng cáo. Đồng thời, SDK Trojan này nâng cao khả năng của mã JavaScript bị hỏng được thực thi trong các trang Web đã tải này, giới thiệu một loạt chức năng trong quy trình. Chúng bao gồm khả năng truy cập và liệt kê các tệp trong các thư mục được chỉ định, kiểm tra sự tồn tại của các tệp hoặc thư mục cụ thể trên thiết bị, truy xuất tệp từ thiết bị và thao tác với nội dung của khay nhớ tạm.

Những khả năng bổ sung này cung cấp cho những người vận hành mô-đun Trojan phương tiện để thu thập thông tin và tệp bí mật từ thiết bị của người dùng. Chẳng hạn, các ứng dụng kết hợp SpinOk Trojan có thể được tận dụng để thao túng các tệp mà chúng có thể truy cập. Những kẻ tấn công thực hiện điều này bằng cách chèn mã cần thiết vào các trang HTML của các biểu ngữ quảng cáo, cho phép chúng trích xuất dữ liệu và tệp nhạy cảm từ những người dùng vô tình.