Theo các nhà nghiên cứu hãng bảo mật ThreatFnai ở Amsterdam (Hà Lan), phần mềm độc hại khó chịu này chỉ ghi lại mọi diễn biến trên màn hình điện thoại của người dùng. Ngoài tác động của điều đó là sau đó, việc trẻ con nhắm vào những thứ như ngân hàng và các ứng dụng mạng xã hội của bạn là một trò chơi của trẻ.

“Chúng tôi đang thấy một trojan ngân hàng Android có tính năng ghi màn hình và ghi nhật ký khóa chính để thu thập thông tin đăng nhập một cách tự động. Các tác nhân đã chọn tránh xa chiến lược lớp phủ HTML phổ biến mà chúng ta thường thấy trong các trojan ngân hàng Android khác”. Về cơ bản, chiến lược này cho phép nó chỉ ghi lại những gì được hiển thị trên màn hình, từ đó thu các kết quả cuối cùng một cách có hiệu quả.

Người dùng điện thoại hệ điều hành Android nên cảnh giác với phần mềm độc hại Brunhilda. Ảnh minh họa

Phần mềm độc hại có tên Brunhilda được cho là khởi nguồn cho cuộc tấn công Vultur nhắm vào điện thoại Android. Tom's Guide lưu ý rằng Brunhilda thực sự có thể được tìm thấy trong một số ứng dụng thể dục, xác thực và bảo mật điện thoại. Thậm chí, một số ứng dụng này có mặt trên Google Play Store. Nếu người dùng tình cờ tải xuống một trong những ứng dụng bị nhiễm đó, họ có thể không thấy bất cứ điều gì sai sót. Tuy nhiên, đằng sau hậu trường, Brunhilda sẽ tự động tải xuống phần mềm độc hại Android. Theo ThreatFainst, Brunhilda có thể đã lây nhiễm ước tính khoảng 30.000 chiếc điện thoại.

Nhóm ThreatFnai cho biết “Các mối đe dọa ngân hàng trên nền tảng di động không còn chỉ dựa trên các cuộc tấn công lớp phủ nổi tiếng mà đang phát triển thành phần mềm độc hại giống RAT, kế thừa các thủ thuật hữu ích như phát hiện các ứng dụng nền để bắt đầu quay màn hình”.

Nhóm ThreatFnai cảnh báo rằng đây là một mối đe dọa ở cấp độ hoàn toàn mới vì nó mở đường cho nhiều loại gian lận trên thiết bị. Nhóm nói “Với Vultur, gian lận có thể xảy ra trên thiết bị bị nhiễm của nạn nhân. Các cuộc tấn công này có thể mở rộng và tự động vì các hành động để thực hiện gian lận có thể được viết theo kịch bản trên phần mềm độc hại, sau đó được gửi dưới dạng các lệnh được sắp xếp theo trình tự”.

Người dùng có thể tự cứu mình khỏi cuộc tấn công của Vultur bằng cách không để ứng dụng bị nhiễm virus sử dụng Accessibility Services của điện thoại. Ngoài ra, biểu tượng “truyền” sẽ xuất hiện trong thông báo của thiết bị Android bị nhiễm khi nó gửi dữ liệu đến máy chủ trung tâm.

Gần đây, một nhóm nghiên cứu tại Zimperium zLabs cũng đã phát hiện một phần mềm độc hại Android mới có khả năng ghi âm cuộc gọi, thu thập thông tin từ video, hình ảnh, vị trí GPS. Phần mềm độc hại mới với tên gọi là Android /Trojan.Spy.FakeSysUpdate (hay gọi tắt là FakeSysUpdate) ngụy trang thành một ứng dụng cập nhật hệ thống nhằm mục tiêu đánh cắp dữ liệu, tin nhắn, hình ảnh và chiếm quyền kiểm soát điện thoại Android. Từ đó, đối tượng tấn công có thể ghi lại cuộc gọi điện thoại, âm thanh, chụp ảnh, xem lại lịch sử trình duyệt, truy cập tin nhắn WhatsApp,…

FakeSysUpdate không có sẵn trên cửa hàng Google Play và hiện chưa rõ cách nó được phân phối đến các thiết bị Android. Sau khi FakeSysUpdate được cài cắm vào một thiết bị, thiết bị mục tiêu sẽ được kết nối tới máy chủ C&C với các thông tin như phần trăn pin, số liệu thống kê bộ nhớ, mã thông báo nhận được từ dịch vụ nhắn tin Firebase,… Chức năng và khả năng lọc dữ liệu của phần mềm độc hại được kích hoạt trong nhiều điều kiện, chẳng hạn như thêm liên hệ mới, nhận tin nhắn SMS hoặc ứng dụng mới được cài đặt,…

Tác giả: An Dương (T/h)

Nguồn tin: vietq.vn