Ứng dụng RedAlert bị nhiễm mã độc Trojan

Tội phạm mạng đã tạo ra một phiên bản độc hại của ứng dụng RedAlert được thiết kế để bắt chước sát sao nền tảng cảnh báo khẩn cấp hợp pháp. Thoạt nhìn, ứng dụng giả mạo này trông có vẻ chân thực, sao chép thiết kế, chức năng và trải nghiệm người dùng tổng thể của dịch vụ chính hãng. Tuy nhiên, ẩn bên trong phần mềm giả mạo này là phần mềm gián điệp được thiết kế để xâm nhập vào thiết bị và trích xuất thông tin nhạy cảm.

Mục tiêu chính của ứng dụng bị nhiễm Trojan là thu thập dữ liệu cá nhân và vị trí của nạn nhân mà họ không hề hay biết. Sau khi được cài đặt, phần mềm độc hại hoạt động âm thầm bên cạnh giao diện ứng dụng tưởng chừng như bình thường, cho phép hoạt động độc hại không bị phát hiện trong thời gian dài.

Các chiến dịch nhắn tin SMSing là phương thức phân phối chính.

Ứng dụng độc hại này được phát tán thông qua các cuộc tấn công lừa đảo qua tin nhắn SMS, thường được gọi là smishing. Trong các chiến dịch này, tội phạm mạng gửi các tin nhắn văn bản lừa đảo có vẻ như đến từ các nguồn chính thức, chẳng hạn như Bộ Tư lệnh Hậu phương Israel. Các tin nhắn thường cảnh báo người nhận về một bản cập nhật bảo mật khẩn cấp và hướng dẫn họ tải xuống phiên bản mới nhất của ứng dụng RedAlert.

Liên kết được nhúng trong tin nhắn không dẫn đến cửa hàng ứng dụng chính thức. Thay vào đó, nó hướng dẫn nạn nhân tải xuống một tệp cài đặt độc hại. Khi người dùng làm theo hướng dẫn và cài đặt tệp bên ngoài Cửa hàng Google Play chính thức, một thủ thuật được gọi là cài đặt thủ công (sideloading), phiên bản ứng dụng bị nhiễm Trojan sẽ được cài đặt trên thiết bị.

Vẻ ngoài chân thực được thiết kế để tránh gây nghi ngờ.

Sau khi khởi chạy, ứng dụng giả mạo này sao chép rất sát nền tảng RedAlert chính thống. Giao diện, bố cục và chức năng tổng thể đều giống hệt ứng dụng gốc. Nó thậm chí còn hiển thị các cảnh báo tấn công bằng tên lửa thật, củng cố ảo tưởng về tính xác thực và ngăn người dùng nhận ra ngay lập tức rằng thiết bị của họ đã bị xâm nhập.

Sự khác biệt chính trở nên rõ ràng trong quá trình khởi chạy ban đầu. Trong khi ứng dụng RedAlert hợp pháp chỉ yêu cầu quyền gửi thông báo, phiên bản độc hại lại yêu cầu thêm các quyền truy cập không cần thiết.

Ứng dụng giả mạo yêu cầu các quyền sau:

• Truy cập vào danh bạ của thiết bị.
• Cho phép đọc tin nhắn SMS
• Truy cập dữ liệu vị trí và GPS

Các quyền này không cần thiết để gửi cảnh báo khẩn cấp. Tuy nhiên, ứng dụng độc hại lại trình bày chúng như là cần thiết, khuyến khích người dùng cấp quyền truy cập.

Giám sát ngầm và thu thập dữ liệu liên tục

Sau khi cài đặt, ứng dụng bị nhiễm Trojan bắt đầu hoạt động ngầm. Thay vì chờ cấp quyền truy cập đầy đủ, phần mềm độc hại liên tục theo dõi các quyền đã được cấp. Ngay khi có ít nhất một quyền khả dụng, quá trình thu thập dữ liệu sẽ bắt đầu ngay lập tức.

Phần mềm gián điệp trích xuất nhiều loại thông tin cá nhân từ thiết bị bị xâm nhập và truyền dữ liệu đến các máy chủ do kẻ tấn công kiểm soát. Thông tin thu thập được có thể bao gồm:

• Tin nhắn SMS và siêu dữ liệu tin nhắn
• Danh sách liên hệ và thông tin liên quan
• Dữ liệu vị trí GPS thời gian thực

Thông tin này được tự động gửi đến cơ sở hạ tầng chỉ huy và kiểm soát từ xa do tội phạm mạng điều khiển.

Rủi ro về an ninh và an toàn cá nhân

Việc thu thập trái phép dữ liệu cá nhân và vị trí tạo ra những rủi ro bảo mật đáng kể cho nạn nhân. Việc lộ tin nhắn riêng tư và danh bạ có thể cho phép kẻ tấn công thực hiện các hoạt động đánh cắp danh tính hoặc phát động các cuộc tấn công kỹ thuật xã hội có mục tiêu cao.

Theo dõi vị trí là một mối đe dọa thậm chí còn nghiêm trọng hơn. Việc giám sát chuyển động của một người theo thời gian thực có thể khiến cá nhân đó gặp nguy hiểm về thể chất, đặc biệt là ở những khu vực đang có xung đột hoặc trong các trường hợp giám sát có mục tiêu.

Việc truy cập vào tin nhắn SMS cũng tạo cơ hội cho kẻ tấn công chặn bắt mã xác thực. Bằng cách thu thập những tin nhắn này, tội phạm mạng có thể vượt qua các biện pháp bảo vệ xác thực hai yếu tố và truy cập trái phép vào các tài khoản trực tuyến, có khả năng dẫn đến chiếm đoạt tài khoản và gây thêm thiệt hại về tài chính hoặc cá nhân.

Đánh giá cuối kỳ: Mối đe dọa phần mềm gián điệp được ngụy trang dưới dạng công cụ an toàn

Ứng dụng RedAlert bị nhiễm mã độc cho thấy cách các tác nhân độc hại lợi dụng các dịch vụ khẩn cấp đáng tin cậy để lừa đảo người dùng và xâm nhập thiết bị của họ. Bằng cách giả mạo một ứng dụng hợp pháp và phát tán nó thông qua các chiến dịch lừa đảo qua tin nhắn (smishing) đầy thuyết phục, kẻ tấn công có thể truy cập vào dữ liệu cá nhân nhạy cảm mà không gây ra nghi ngờ ngay lập tức.

Những người nghi ngờ rằng phiên bản độc hại này đã được cài đặt nên gỡ bỏ ứng dụng ngay lập tức và kiểm tra lại quyền truy cập thiết bị cũng như phần mềm đã cài đặt để đảm bảo không còn quyền truy cập trái phép nào.