Phần mềm độc hại khiến người dùng ngân hàng điêu đứng

Phần mềm độc hại TrickMo mới

Trong một bài phân tích được công bố tuần trước, nhà nghiên cứu bảo mật Aazim Yaswant (Zimperium) cho biết những tính năng bổ sung này cho phép kẻ tấn công hoạt động trên thiết bị ngay cả khi thiết bị bị khóa.

TrickMo được phát hiện lần đầu tiên vào năm 2019. Phần mềm độc hại này có tên như vậy là vì liên quan đến nhóm tội phạm mạng TrickBot, có khả năng cấp quyền điều khiển từ xa đối với các thiết bị bị nhiễm, cũng như đánh cắp mật khẩu một lần (OTP) dựa trên SMS và hiển thị lớp phủ màn hình để thu thập thông tin đăng nhập.

Tháng trước, công ty an ninh mạng Cleafy của Ý đã tiết lộ phiên bản cập nhật của phần mềm độc hại TrickMo với cơ chế cải tiến để tránh phân tích, và cấp cho nó thêm quyền thực hiện nhiều hành động độc hại khác nhau trên thiết bị, bao gồm thực hiện các giao dịch trái phép.

Một số biến thể mới của phần mềm độc hại này cũng được trang bị khả năng thu thập mã PIN, hình vẽ mở khóa (pattern) bằng cách hiển thị giao diện người dùng (UI) giả mạo, lừa nạn nhân thao tác.

Giao diện người dùng (UI) là một trang HTML được lưu trữ trên một trang web bên ngoài và hiển thị ở chế độ toàn màn hình, do đó tạo cảm giác rằng đó là màn hình mở khóa hợp pháp.

Trong trường hợp người dùng không nghi ngờ gì khi nhập mã mở khóa hoặc mã PIN, thông tin cùng với mã định danh thiết bị duy nhất sẽ được truyền đến máy chủ do kẻ tấn công kiểm soát ("android.ipgeo[.]at") dưới dạng yêu cầu HTTP POST.

Rủi ro lan rộng

"Những thông tin đăng nhập bị đánh cắp này không chỉ giới hạn ở thông tin ngân hàng mà còn bao gồm cả những thông tin được sử dụng để truy cập vào các tài nguyên của công ty như VPN, và các trang web nội bộ", Yaswant cho biết. Điều này cho thấy tầm quan trọng của việc bảo vệ các thiết bị di động, vì chúng có thể đóng vai trò là bước đệm cho các cuộc tấn công mạng nhắm vào các tổ chức.

Một khía cạnh đáng chú ý khác là mục tiêu của TrickMo. Phần mềm độc hại này thu thập dữ liệu từ các ứng dụng thuộc nhiều danh mục như ngân hàng, doanh nghiệp, việc làm và tuyển dụng, thương mại điện tử, giao dịch, phương tiện truyền thông xã hội, phát trực tuyến và giải trí, VPN, chính phủ, giáo dục, viễn thông và chăm sóc sức khỏe.

Sự phát triển này diễn ra trong bối cảnh xuất hiện một chiến dịch trojan ngân hàng Android ErrorFather mới, sử dụng một biến thể của Cerberus để thực hiện gian lận tài chính.

Symantec thuộc sở hữu của Broadcom cho biết: "Sự xuất hiện của ErrorFather làm nổi bật mối nguy hiểm dai dẳng của phần mềm độc hại được sử dụng lại, vì tội phạm mạng vẫn tiếp tục khai thác mã nguồn bị rò rỉ nhiều năm sau khi phần mềm độc hại Cerberus ban đầu bị phát hiện".

Theo dữ liệu từ Zscaler ThreatLabz, các cuộc tấn công di động có động cơ tài chính liên quan đến phần mềm độc hại ngân hàng đã tăng 29%, trong giai đoạn từ tháng 6 năm 2023 đến tháng 4 năm 2024 so với năm trước.

Trong khung thời gian này, Ấn Độ là mục tiêu hàng đầu của các cuộc tấn công di động, chiếm 28% tổng số các cuộc tấn công, tiếp theo là Hoa Kỳ, Canada, Nam Phi, Hà Lan, Mexico, Brazil, Nigeria, Singapore và Philippines.