GhostBat: Dòng mã độc Android mới chuyên nhắm vào ứng dụng tài chính

Các chuyên gia nghiên cứu an ninh mạng vừa phát hiện một chiến dịch tấn công tinh vi nhắm vào người dùng thiết bị di động hệ điều hành Android thông qua một biến thể mã độc mới mang tên GhostBat.

Phương thức lây nhiễm và phát tán mã độc

Chiến dịch tấn công của GhostBat bắt đầu bằng hình thức lừa đảo qua tin nhắn SMS (smishing). Kẻ gian gửi các thông báo giả mạo liên quan đến tiền phạt giao thông hoặc dịch vụ công. Các đường dẫn trong tin nhắn sẽ hướng dẫn người dùng tải về tệp APK độc hại từ những trang web giả mạo giao diện của cơ quan nhà nước hoặc cửa hàng ứng dụng Google Play.

Lạm dụng quyền trợ năng để chiếm quyền điều khiển

Ngay sau khi được cài đặt thành công trên thiết bị nạn nhân, GhostBat sẽ yêu cầu cấp quyền Accessibility Service. Mặc dù đây là một tính năng hỗ trợ tiêu chuẩn của Android, mã độc lại lợi dụng nó để theo dõi toàn bộ nội dung hiển thị trên màn hình và tương tác thay cho người dùng. Khi phát hiện các ứng dụng tài chính đang hoạt động, phần mềm độc hại sẽ tự động kích hoạt các mô-đun tấn công chuyên biệt.

Công nghệ tấn công GhostOverlay tinh vi

Điểm nguy hiểm nhất của GhostBat nằm ở kỹ thuật Ghost Overlay. Thay vì dùng màn hình đăng nhập giả mạo dễ bị người dùng phát hiện, mã độc tạo ra các vùng cảm ứng trong suốt che phủ lên bàn phím nhập mã PIN của ứng dụng ngân hàng thật. Mọi thao tác nhập liệu đều bị ghi lại, trong khi giao dịch vẫn diễn ra bình thường khiến nạn nhân hoàn toàn mất cảnh giác.

Kỹ thuật qua mặt hệ thống bảo mật

Nhóm phát triển mã độc sử dụng nhiều phương thức tải tệp khác nhau như container APK mã hóa, nạp payload trực tiếp trong bộ nhớ hoặc tải về từ xa. Biến thể mới nhất còn tích hợp thư viện native kết hợp chuỗi mã hóa phức tạp nhằm vô hiệu hóa các công cụ quét bảo mật thông thường. Hơn nữa, việc lạm dụng tính năng cấu hình từ xa giúp kẻ tấn công dễ dàng thay đổi máy chủ điều khiển mà không cần cập nhật ứng dụng.