45 ngàn thiết bị Android dính mã độc “siêu lì lợm”, gỡ mãi chẳng xong

Phần mềm độc hại bền bỉ đến nỗi các nhà nghiên cứu bảo mật phải lắc đầu ngao ngán. Thậm chí khi thiết lập thiết bị về trạng thái nhà sản xuất cũng không thể làm sạch.

xHelper được phát hiện lần đầu tiên vào tháng 3 và năm tháng sau đó đã lây nhiễm trên khoảng 32.000 điện thoại. Tính đến tháng 10, con số đã lên 45.000 thiết bị bị lây nhiễm. Symantec cho biết mỗi ngày có khoảng 131 điện thoại mới bị nhiễm xHelper. Vào tháng 8, MalwareBytes đã liệt kê iHelper trong danh sách 10 phần mềm độc hại hàng đầu của họ. May mắn duy nhất là xHelper tương đối lành tính khi chỉ hiển thị quảng cáo bật lên và thông báo không mong muốn.

Các nhà nghiên cứu bảo mật cho biết ứng dụng độc hại đang được phân phối thông qua các trang web khuyến khích người dùng tải xuống thiết bị của mình. Sau khi cài đặt, ứng dụng sẽ gửi các thông báo và quảng cáo bật lên trên thiết bị nhiễm độc. Cả Malwarebytes và Symantec đều lưu ý rằng các hoạt động bất chính của ứng dụng dường như chỉ giới hạn ở những lời nhắc khuyến khích người dùng tải xuống các ứng dụng khác hoặc chơi trò chơi trực tuyến. Đó có thể là nguồn doanh thu chính của nhóm đứng đằng sau phần mềm độc hại vì mỗi lần nhấp hoặc cài đặt sẽ giúp chúng kiếm được khoản tiền nhỏ.

Nhưng có lẽ điều đáng chú ý nhất ở xHelper đó là ứng dụng không thể xóa khỏi thiết bị. Ứng dụng không chỉ thích hoạt động âm thầm mà còn nhảy qua nhiều vòng khác nhau và sử dụng mã hóa để che giấu quá trình cài đặt. Phát hiện là bước đầu tiên trong việc chống lại phần mềm độc hại, nhưng do thiết kế che giấu cả cài đặt và sự tồn tại khiến việc gỡ bỏ gần như không thể.

Malwarebytes cho thấy xHelper có hai phiên bản: bán tàng hình và tàng hình hoàn toàn. Nhưng trong cả hai cấu hình, xHelper không tạo biểu tượng hoặc shortcut để đảm bảo người dùng không nhận thấy sự hiện diện của ứng dụng trên thiết bị. Điều này cũng ngăn họ gỡ bỏ phần mềm khỏi thiết bị. Cách duy nhất mà một người smartphone thông thường nhận thấy sự hiện diện của xHelper là từ biểu tượng thông báo đi kèm trong phiên bản bán tàng hình của ứng dụng. Phiên bản tàng hình hoàn toàn thậm chí không có điều đó.

Không có biểu tượng trình khởi chạy, xHelper được thiết kế để tự động bắt đầu chạy như một dịch vụ nền trước dựa trên các kích hoạt khác nhau, chẳng hạn như khi thiết bị được khởi động. Khi đã xong, ngay cả khi người dùng gỡ cài đặt ứng dụng mà xHelper đi kèm, phần mềm độc hại sẽ tiếp tục cư trú trên thiết bị của họ.

Sự tồn tại của xHelper có nghĩa là ứng dụng có thể tự khởi động lại để đảm bảo tiếp tục đẩy quảng cáo về phía người dùng. Ngay cả khi đã loại bỏ dịch vụ hoàn toàn, xHelper vẫn sẽ xuất hiện lại một cách không ngờ tới trên điện thoại của người dùng. Không dừng lại, việc đưa điện thoại trở lại thiết lập gốc cũng không thoát khỏi xHelper vì ứng dụng chắc chắn sẽ quay trở lại. Các nhà nghiên cứu tại Symantec cho đến nay vẫn chưa thể giải mã được cơ chế mà qua đó ứng dụng có thể tự hồi sinh ngay cả sau khi thiết bị được khôi phục cài đặt gốc.

Để giữ cho thiết bị của mình an toàn nhất có thể, người dùng không nên tải các ứng dụng bên ngoài Play Store. Ngoài ra, hãy thật cẩn thận về các trang chuyển hướng người dùng đến các trang web khác và không bao giờ nhấp vào bất cứ điều gì nếu biết ứng dụng sẽ chuyển hướng đến một trang web không xác định.

Mặc dù xHelper thực hiện các hoạt động lành tính nhưng các nhà nghiên cứu của Symantec lưu ý rằng ứng dụng cũng thiết lập các kết nối đến một máy chủ từ xa nhằm mục đích nhận lệnh. Điều này có thể dễ dàng cho phép phần mềm độc hại chuyển từ một mối phiền toái không mong muốn sang một mối đe dọa bảo mật đáng kể có khả năng cài đặt các ứng dụng độc hại khác trên thiết bị hoặc thậm chí chiếm quyền điều khiển điện thoại hoàn toàn. Khả năng đó cùng với sự bền bỉ của xHelper khiến phần mềm độc hại này trở thành một mối đe dọa khủng khiếp trong lĩnh vực di động.

An Nhiên