Hàng ngàn phần mềm gián điệp trên kho ứng dụng Android chờ cơ hội tấn công người dùng

SonicSpy là một trong hơn 1.000 phần mềm gián điệp tấn công thiết bị dùng Android ngay chính trên Play Store, đã cho thấy sự nguy hiểm của nó.

Mới đây, các chuyên gia phát hiện 3 phần mềm tin nhắn trên Play Store của hệ điều hành Android có thể phát tán phần mềm gián điệp, ăn cắp dữ liệu người dùng ứng dụng SonicSpy. Đó chỉ mới là một trong số hàng ngàn phần mềm tương tự đang ẩn nấp đâu đó trên kho ứng dụng của Android.

Các chuyên gia dự báo hiện có hơn 1.000 phần mềm gián điệp có khả năng theo dõi hầu như mọi hoạt động của người sử dụng trên thiết bị dùng Android đã bị lây nhiễm.

Phần mềm SonicSpy nhiều khả năng xuất phát từ Iraq, có thể được hacker điều khiển để thực hiện tới 73 mệnh lệnh khác nhau. Nó có khả năng lén ghi âm các cuộc gọi và thậm chí mọi thứ người dùng điện thoại nói khi ở gần. Nó còn chụp hình, tạo cuộc gọi, gửi tin nhắn tới các số điện thoại đã được các hacker chỉ định sẵn, theo dõi lịch sử cuộc gọi và danh bạ cũng như thông tin về các điểm truy cập Wi-Fi...

Điều đáng sợ là SonicSpy lại được quảng cáo là một phần mềm tin nhắn và bề ngoài nó hoạt động như một trình nhắn tin thực sự. Bên dưới lớp vỏ bọc thì phần mềm này đánh cắp dữ liệu để truyền về một máy chủ ở một nơi nào không ai rõ.

SonicSpy được phát hiện bởi các nhà nghiên cứu ứng dụng diệt virus trên điện thoại Lookout sau khi họ tìm ra 3 biến thể của nó trên Play Store. Cả 3 biến thể đều được ngụy trang là các phần mềm nhắn tin gồm sonic, hulk messenger và troy chat.

Mặc dù Google đã lần lượt loại bỏ chúng nhưng vẫn còn rất nhiều biến thể khác đang trôi nổi trên các app store của bên thứ 3 (ví dụ như AppVN của Việt Nam) chạy trên Android. Ngưởi dùng Android có thể đã tải chúng hàng ngàn lần. Theo Google, sonic đã được tải về 1.000 - 5000 lần trước khi bị hãng này xóa khỏi Android.

Khi được tải xuống và cài vào điện thoại, SonicSpy sẽ ẩn khỏi tầm mắt của người dùng bằng bằng viện ẩn biểu tượng trong launcher, kết nối tới máy chủ tải về và cài đặt một phiên bản đã chỉnh sửa của phần mềm tin nhắn Telegram. Phần mềm đã chỉnh sửa này chứa nhiều lỗ hổng giúp hacker chiếm quyền kiểm soát thiết bị.

Qua phân tích một mẫu SonicSpy, các nhà nghiên cứu an ninh mạng phát hiện nó khá giống với một phần mềm gián điệp khác tên Spynote, ứng dụng bị phát hiện hồi giữa năm ngoái.

Cả 2 ứng dụng gián điệp này đều dùng chung một đoạn mã, cùng tận dụng các dịch vụ DNS động và đều chạy thông qua cổng 2222. Do đó các nhà nghiên cứu nghi ngờ 2 "con malware" này có thể cùng phục vụ cho một chiến dịch tấn công mạng.

Tài khoản đứng đằng sau chúng đều có tên là "iraqwebservice", được biết đến với chiến thuật tấn công cơ bản là lừa người dùng sử dụng và ngầm chuyển dữ liệu ra bên ngoài. Các nhà nghiên cứu cũng cảnh báo dù SonicSpy đã bị loại bỏ khỏi Play Store nhưng nhiều nó sẽ vẫn có khả năng trà trộn vào một lần nữa. 

Hiện hơn 1,4 tỷ người dùng Android và Google luôn cố gắng bảo vệ thiết bị của họ an toàn trước malware. Tuy nhiên, những phần mềm nguy hiểm như trên thi thoảng vẫn có thể lọt vào Play Store do cấu trúc mở của Android, đòi hỏi người dùng phải tự ý thức cẩn thận.

Theo VnReview

Nội dung liên quan:

>> Người hùng giải cứu thế giới khỏi virus WannaCry bị bắt vì... tạo ra phần mềm gián điệp

>> Chân dung nam sinh 22 tuổi, "Người hùng" giải cứu thế giới khỏi sự lây lan của virut WannaCry

>> Những dấu hiệu cho thấy mã độc WannaCry được tạo ra bởi hacker Triều Tiên