Phần mềm độc hại Android lây nhiễm hơn 11 triệu thiết bị

Các chuyên gia bảo mật tại Kaspersky gần đây đã phát hiện hai ứng dụng trên Play Store chứa trojan phần mềm độc hại ảnh hưởng đến hơn 11 triệu thiết bị Android.

Theo Kaspersky, đây là phiên bản mới của trojan có tên Necro nhằm vào người dùng từ hai nguồn: một mặt thông qua ứng dụng hợp pháp trên Google Play Store, một mặt thông qua các cửa hàng ứng dụng không chính thức (hay sideloading) bằng cách phiên bản tùy chỉnh của các ứng dụng sửa đổi như Spotify hoặc Minecraft. Theo báo cáo, số lượng nạn nhân phần mềm độc hại thông qua con đường sideloading bị nhiễm cao hơn nhiều.

Kaspersky cho biết, họ bắt đầu điều tra một ứng dụng Spotify đã sửa đổi có tên là Spotify Plus, được quảng cáo là cung cấp các tính năng Spotify Premium miễn phí. Trong khi ứng dụng này tuyên bố là “Đã xác minh bảo mật”, phân tích của Kaspersky phát hiện ra rằng những tuyên bố này là sai khi ứng dụng cho phép trojan lây nhiễm các thiết bị này. Họ cũng tìm thấy trojan trong các phiên bản đã sửa đổi của WhatsApp, gồm “GBWhatsApp” và “FMWhatsApp”.

Ngoài ra, Kaspersky cho biết họ tìm thấy Necro trong một loạt các bản tùy chỉnh của trò chơi, bao gồm Minecraft, Stumble Guys, Car Parking Multiplayer và Melon Sandbox. Kaspersky nhấn mạnh rằng không thể nói có bao nhiêu nạn nhân từ các nguồn không chính thức này. Tất cả những gì chúng ta có thể đếm được là số lượt tải xuống từ các ứng dụng bị ảnh hưởng trong Play Store.

Trong số tất cả các ứng dụng bị ảnh hưởng mà Kaspersky phát hiện trong Google Play Store, trojan Necro đã lây nhiễm hơn 11 triệu thiết bị Android. Ứng dụng lớn nhất trong loạt ứng dụng này cho đến nay là ứng dụng Wuta Camera với hơn 10 triệu lần tải xuống. Ứng dụng này không phải lúc nào cũng độc hại khi các nhà nghiên cứu phát hiện trojan đầu tiên xuất hiện trong phiên bản 6.3.2.148 của ứng dụng. Kể từ đó nó đã bị xóa, vì vậy ứng dụng hiện an toàn để tải xuống.

Max Browser cũng chứa Trojan và đã được tải xuống hơn 1 triệu lần. Phiên bản đầu tiên của ứng dụng chứa trojan là 1.2.0, nhưng kể từ khi Kaspersky báo cáo ứng dụng, Google đã xóa Max Browser khỏi cửa hàng ứng dụng của họ.

Được biết, sau khi được cài đặt trên thiết bị, phần mềm độc hại Necro có thể thực hiện một số chức năng. Theo giải thích của BleepingComputer, các phần tải trọng của Necro có thể kích hoạt các plugin độc hại để chạy phần mềm quảng cáo để mở liên kết của nó bằng các cửa sổ vô hình; các chương trình chạy nhiều tập lệnh khác nhau; các chương trình kích hoạt đăng ký gian lận và các công cụ định tuyến lưu lượng độc hại qua thiết bị.

Trên thực tế, việc tải xuống ứng dụng không chính thức hoặc chính thức trong trường hợp của Max Browser và Wuta Camera sẽ tạo ra tiền cho kẻ tấn công vì người dùng vô tình mở quảng cáo và chạy các đăng ký gian lận trong nền.

Kaspersky cho biết người dùng nên kiểm tra điện thoại Android của mình để tìm bất kỳ ứng dụng Play Store nào được đề cập ở trên hay không. Nếu có Wuta Camera, hãy đảm bảo cập nhật ứng dụng ngay lập tức hoặc xóa ứng dụng đó khỏi điện thoại. Nếu có Max Browser, hãy xóa ngay nó vì chưa có phiên bản an toàn của ứng dụng này.

Ngoài ra, hãy xóa bất kỳ ứng dụng đã sửa đổi nào được nêu trong bài viết này nếu người dùng có chúng trên smartphone của mình và hãy cảnh giác với các bản tải xuống không chính thức trong tương lai. Việc tải xuống ứng dụng từ nguồn bên ngoài chắc chắn sẽ mở ra nhiều cơ hội tấn công cho tin tặc vì có ít hoạt động kiểm tra và quy định hơn.