Các họ mã độc Android nhắm vào ứng dụng ngân hàng, crypto từ 800+ với tỷ lệ phát hiện gần như bằng 0: Zimperium

Tin tức Cổng, ngày 25 tháng 4 — Công ty an ninh mạng Zimperium đã xác định bốn họ mã độc đang hoạt động—RecruitRat, SaferRat, Astrinox và Massiv—nhắm vào hơn 800 ứng dụng trên các lĩnh vực ngân hàng, tiền mã hóa và mạng xã hội. Các chiến dịch sử dụng các kỹ thuật chống phân tích tiên tiến và can thiệp APK ở mức cấu trúc để duy trì tỷ lệ phát hiện gần như bằng 0 trước các cơ chế bảo mật truyền thống dựa trên chữ ký.

Kẻ tấn công sử dụng các trang web lừa đảo, lời mời làm việc gian dối, cập nhật phần mềm giả mạo, các trò lừa qua tin nhắn văn bản và các mồi nhử quảng cáo để lừa người dùng cài đặt các ứng dụng Android độc hại. Khi đã cài đặt, phần mềm độc hại yêu cầu quyền Trợ năng để ẩn biểu tượng ứng dụng, chặn các nỗ lực gỡ cài đặt, đánh cắp mã PIN và mật khẩu thông qua các màn hình khóa giả mạo, chặn/thu thập mã OTP, ghi lại màn hình thiết bị theo thời gian thực và phủ các trang đăng nhập giả mạo lên các ứng dụng ngân hàng hoặc crypto hợp pháp.

Các cuộc tấn công phủ (overlay) là cốt lõi của chiến lược thu thập thông tin đăng nhập. Phần mềm độc hại giám sát ứng dụng đang ở nền trước bằng Dịch vụ Trợ năng và phát hiện khi nạn nhân mở một ứng dụng tài chính, sau đó tải về một đoạn mã HTML độc hại và phủ nó lên giao diện hợp pháp để tạo ra một lớp vỏ lừa đảo thuyết phục.

Các chiến dịch sử dụng liên lạc HTTPS và WebSocket để hòa trộn lưu lượng độc hại với hoạt động bình thường của ứng dụng, và một số biến thể còn sử dụng thêm các lớp mã hóa để né tránh phát hiện tốt hơn.