Điểm chính

  • YuanKong là dòng mã độc RAT mới trên hệ điều hành Android chuyên đánh cắp dữ liệu ngân hàng.
  • Mã độc này lạm dụng tính năng Accessibility và Wireless Debugging để kiểm soát thiết bị ở cấp độ shell.
  • Cơ quan chức năng và người dùng cần cảnh giác với các tệp APK lạ và tắt chế độ gỡ lỗi không dây khi không cần thiết.

Các nhà nghiên cứu bảo mật vừa phát hiện YuanKong, một loại mã độc Trojan truy cập từ xa (RAT) trên Android có khả năng kiểm soát thiết bị nạn nhân một cách tinh vi nhằm đánh cắp thông tin tài chính.

Cấu trúc và phương thức hoạt động

Thay vì chỉ tập trung vào các quyền thông thường như quản lý tin nhắn hay danh bạ, mã độc YuanKong khai thác triệt để các dịch vụ trợ năng (Accessibility) cùng tính năng điều khiển màn hình để thu thập dữ liệu đăng nhập từ các ứng dụng ngân hàng và thanh toán trực tuyến.

Qua quá trình phân tích kỹ thuật, các chuyên gia ghi nhận cấu trúc phân tầng của mã độc này. Ứng dụng ban đầu đóng vai trò là một dropper chứa mã độc được ngụy trang kỹ lưỡng, tự động giải nén sau khi hoàn tất cài đặt trên thiết bị. Dữ liệu được mã hóa bằng thuật toán XOR cơ bản, giúp payload tự khôi phục mà chưa cần kết nối ngay với máy chủ điều khiển.

Kỹ thuật tấn công và giao tiếp mạng

Ngay sau khi kích hoạt thành công, YuanKong kết nối đến máy chủ C2 thông qua giao thức WebSocket và Socket.IO. Mặc dù kênh truyền tải được bảo vệ bằng TLS, các gói tin JSON bên trong lại không được mã hóa bổ sung, tạo điều kiện cho các nhà nghiên cứu dễ dàng nắm bắt các lệnh điều khiển như chụp ảnh màn hình, truyền tải tệp hay định vị vị trí.

Một điểm đặc biệt nguy hiểm là việc YuanKong lợi dụng tính năng gỡ lỗi không dây (Wireless Debugging) của Android. Thông qua quyền trợ năng, mã độc tự động kích hoạt chế độ gỡ lỗi, trích xuất thông tin ghép nối và kết nối trực tiếp với dịch vụ Android Debug Bridge (ADB) nội bộ. Nhờ đó, kẻ tấn công có được quyền hạn ở cấp độ shell để cài đặt các tập lệnh duy trì sự hiện diện mà không cần thiết bị phải root.

Biện pháp phòng ngừa

Để đối phó với mối đe dọa này, các đội ngũ bảo mật cần tăng cường giám sát các chứng chỉ số cùng những hành vi bất thường liên quan đến Wireless Debugging. Việc áp dụng các nguồn thông tin tình báo đe dọa (Threat Intelligence) đóng vai trò cốt lõi trong việc nhận diện sớm hạ tầng mạng của YuanKong. Về phía người dùng, tuyệt đối không cài đặt ứng dụng dạng APK từ nguồn trôi nổi và luôn vô hiệu hóa tính năng gỡ lỗi không dây khi không sử dụng.