ToxicPanda 2.0 cho thấy một xu hướng đáng chú ý trong thế giới mã độc di động: thay vì chỉ tìm cách ẩn mình sau biểu tượng ứng dụng giả mạo, mã độc bắt đầu lạm dụng chính các cơ chế tin cậy của Android để kiểm soát thiết bị sâu hơn. Theo BleepingComputer và phân tích của Zimperium, biến thể mới của ToxicPanda đã mở rộng mục tiêu lên 349 ứng dụng tài chính, ngân hàng, tiền mã hóa và ví điện tử, đồng thời hỗ trợ 167 lệnh điều khiển từ xa.
Điểm đáng chú ý nhất không chỉ nằm ở số lượng mục tiêu. ToxicPanda 2.0 xin quyền VPN Service để tạo một giao diện mạng cục bộ trên thiết bị, từ đó kiểm soát lưu lượng đi qua. Khi đã có quyền này, mã độc có thể chặn liên lạc tới Google Play và Google Play Services, làm suy yếu các cơ chế xác minh ứng dụng, cập nhật, Play Protect hoặc những tín hiệu can thiệp hợp pháp được thiết kế để bảo vệ người dùng.
Quyền VPN không chỉ dành cho ứng dụng bảo mật
Trên Android, quyền VPN Service vốn phục vụ các ứng dụng mạng riêng ảo, tường lửa cá nhân, lọc DNS hoặc công cụ kiểm soát lưu lượng. Khi người dùng cấp quyền, ứng dụng có thể trở thành điểm trung gian xử lý kết nối mạng của thiết bị. Với ứng dụng hợp pháp, điều này giúp mã hóa lưu lượng, lọc tên miền độc hại hoặc áp dụng chính sách bảo mật. Với mã độc, cùng một quyền đó có thể trở thành vị trí thuận lợi để chặn, chuyển hướng hoặc trì hoãn những kết nối quan trọng.
Trong trường hợp ToxicPanda 2.0, Zimperium cho biết mã độc chặn liên lạc tới Google Play trước khi trích xuất và cài đặt payload, sau đó tiếp tục xin quyền Accessibility Service. Trình tự này rất nguy hiểm vì lớp bảo vệ từ kho ứng dụng và dịch vụ nền của Google có thể bị làm mờ đúng vào thời điểm thiết bị cần được kiểm tra nhiều nhất.
Accessibility và Wireless ADB làm tăng mức độ kiểm soát
Sau khi có Accessibility Service, mã độc có thể thao tác giao diện, đọc hoặc mô phỏng hành vi người dùng và dẫn nạn nhân qua các màn hình cấp quyền. Phân tích mới cho thấy ToxicPanda 2.0 còn tự động hóa Android Wireless Debugging Bridge, thường được gọi là Wireless ADB. Đây là công cụ dòng lệnh cho phép thực thi lệnh shell trên Android qua Wi-Fi, vốn được thiết kế cho nhà phát triển và kỹ thuật viên.
Theo Zimperium, mã độc dùng quyền Accessibility để bật Developer Options, kích hoạt Wireless Debugging, lấy mã ghép nối ADB gồm sáu chữ số cùng cổng kết nối, rồi tự kết nối tới dịch vụ ADB cục bộ của thiết bị. Khi đạt được quyền shell, mã độc có thể cấp thêm quyền rộng hơn cho chính nó, vô hiệu hóa một số ràng buộc chạy nền, bật thành phần quan trọng và củng cố khả năng bám trụ.
Phishing overlay và đánh cắp mã PIN
ToxicPanda 2.0 hỗ trợ lớp phủ lừa đảo cho 349 ứng dụng tại 16 quốc gia, bao gồm ngân hàng, tài chính, tiền mã hóa và ví điện tử. Lớp phủ có thể vô hình hoặc được thiết kế để trông giống giao diện hợp pháp, khiến người dùng nhập thông tin nhạy cảm trong khi mã độc âm thầm ghi nhận thao tác. Một module riêng còn nhắm vào mã PIN của 140 ứng dụng tài chính và tiền mã hóa, đồng thời có khả năng cập nhật danh sách mục tiêu động.
Mã độc cũng có thể giả mạo màn hình khóa Android để thu thập mã PIN, hình mở khóa hoặc mật khẩu thiết bị. Một số mẫu được phân tích còn dùng màn hình cập nhật hệ thống giả nhằm che giấu hoạt động độc hại đang diễn ra. Đây là kỹ thuật đánh vào thói quen tin tưởng của người dùng: khi thấy thông báo cập nhật hoặc yêu cầu hệ thống, nhiều người có xu hướng làm theo thay vì nghi ngờ.
Cơ chế duy trì hiện diện trên thiết bị
Một lệnh đáng chú ý có tên autoBoot dùng để nhận diện nhà sản xuất thiết bị và mở các phần cài đặt tự khởi động hoặc quản lý pin tương ứng. Zimperium cho biết cách tiếp cận này nhằm vượt qua các biện pháp tiết kiệm pin thường chặn tiến trình nền trên Xiaomi, OPPO, Vivo, Samsung và Huawei. Với mã độc ngân hàng, duy trì hiện diện lâu dài rất quan trọng vì kẻ tấn công cần chờ đúng thời điểm nạn nhân mở ứng dụng tài chính hoặc nhập thông tin xác thực.
BleepingComputer cho biết ToxicPanda 2.0 được phân phối qua các bucket Amazon AWS do kẻ tấn công kiểm soát. Cách phân phối này không làm AWS trở thành bên độc hại, nhưng cho thấy tội phạm mạng tiếp tục tận dụng hạ tầng đám mây phổ biến để tăng độ tin cậy bề ngoài và giảm chi phí vận hành.
Bài học cho người dùng Android
Người dùng nên đặc biệt thận trọng với mọi ứng dụng xin quyền VPN, Accessibility hoặc Wireless Debugging, nhất là khi ứng dụng không có lý do rõ ràng để cần các quyền này. Một ứng dụng đèn pin, tối ưu pin, cập nhật hệ thống không rõ nguồn gốc hoặc tiện ích tài chính tải ngoài kho chính thức không nên cần quyền kiểm soát mạng hay trợ năng sâu như vậy.
Thiết bị Android nên được cài ứng dụng từ nguồn tin cậy, bật Play Protect, tránh cài tệp APK từ liên kết lạ và kiểm tra định kỳ danh sách ứng dụng có quyền Accessibility. Nếu thiết bị xuất hiện màn hình cập nhật bất thường, yêu cầu cấp quyền liên tục, pin tụt nhanh, ứng dụng ngân hàng hiển thị giao diện lạ hoặc Google Play không thể hoạt động bình thường, người dùng nên ngắt mạng, sao lưu dữ liệu cần thiết và kiểm tra bằng công cụ bảo mật đáng tin cậy.
Khuyến nghị cho tổ chức
Với tổ chức có nhân viên dùng thiết bị Android để truy cập email, ứng dụng tài chính hoặc hệ thống nội bộ, chính sách quản lý thiết bị di động cần kiểm soát chặt nguồn cài đặt ứng dụng và quyền nhạy cảm. Các công cụ MDM hoặc EDR di động nên giám sát thay đổi bất thường ở VPN profile, Accessibility Service, Developer Options và Wireless Debugging. Đây là những tín hiệu có thể xuất hiện trước khi thông tin đăng nhập hoặc phiên giao dịch bị chiếm đoạt.
ToxicPanda 2.0 không chỉ là một biến thể mã độc ngân hàng mới. Nó là lời nhắc rằng quyền hệ thống hợp pháp có thể trở thành công cụ tấn công nếu người dùng bị dẫn dụ cấp nhầm. Trong bối cảnh thiết bị di động ngày càng gắn với tài khoản ngân hàng, ví điện tử và xác thực đa yếu tố, bảo mật Android cần được nhìn như một phần của an ninh danh tính, không chỉ là vấn đề của riêng điện thoại.
VNCyberS tổng hợp từ BleepingComputer và Zimperium
Tiếng Việt
English