Người dùng Android hãy cẩn thận: Phần mềm độc hại mới Crocodilus tránh được Google Play Protect và đánh cắp tiền điện tử bằng các cửa sổ bật lên giả mạo – Ví của bạn có an toàn không?

Phần mềm độc hại Android mới Crocodilus nhắm mục tiêu vào ví tiền điện tử bằng các chiến thuật kỹ thuật xã hội tiên tiến

Một phần mềm độc hại Android mới có tên Crocodilus đang gây lo ngại cho người dùng thiết bị di động, đặc biệt là những người sử dụng ví tiền điện tử.

Gần đây được phát hiện bởi các chuyên gia phòng chống gian lận tạiMối đe dọa , phần mềm độc hại này được thiết kế để lừa người dùng cung cấp thông tin đăng nhập ví nhạy cảm của họ, đặc biệt là cụm từ hạt giống, thông qua sự kết hợp giữa các lớp phủ lừa đảo và các kỹ thuật kỹ thuật xã hội tinh vi.

Mặc dù gần đây phát hiện mục tiêu là người dùng ở Tây Ban Nha và Thổ Nhĩ Kỳ, khả năng tiên tiến của phần mềm độc hại này cho thấy có thể sẽ có sự triển khai rộng rãi hơn.

Cách Crocodilus khai thác các tính năng trợ năng để vượt qua bảo mật

Crocodilus hoạt động thông qua một trình thả tùy chỉnh giúp bỏ qua các biện pháp bảo mật của Android 13 trở lên, tránh bị phát hiện bởi Google Play Protect.

Sau khi cài đặt, ứng dụng sẽ yêu cầu cấp quyền cho Dịch vụ trợ năng, một tính năng được thiết kế để hỗ trợ người dùng khuyết tật, nhưng trong trường hợp này, tính năng này được sử dụng để theo dõi nội dung màn hình và tương tác với các ứng dụng.

Nguồn: ThreatFabric

Bằng cách tận dụng các quyền này, Crocodilus có thể thực hiện nhiều hành động khác nhau mà không bị chủ sở hữu thiết bị phát hiện.

Tính năng nguy hiểm nhất của phần mềm độc hại này là lớp phủ cảnh báo giả nhắc nhở người dùng sao lưu khóa ví trong vòng 12 giờ, có nguy cơ mất quyền truy cập vào ví.

Lời nhắc này được thiết kế để dụ nạn nhân tiết lộ cụm từ hạt giống, sau đó phần mềm độc hại sẽ ghi lại cụm từ này bằng trình ghi khả năng truy cập.

Nguồn: ThreatFabric

Với thông tin quan trọng này, kẻ tấn công sẽ giành được quyền kiểm soát hoàn toàn ví.

Mối đe dọa ngày càng tăng với khả năng truy cập từ xa

Crocodilus không chỉ là một công cụ đánh cắp thông tin xác thực.

Nó cũng hoạt động như một Trojan truy cập từ xa (RAT), cung cấp cho tội phạm mạng quyền kiểm soát thiết bị bị nhiễm.

Nguồn: Nước ép

Phần mềm độc hại này có thể mô phỏng cử chỉ, vuốt trên màn hình và chụp ảnh màn hình, bao gồm cả ảnh chụp màn hình của các ứng dụng xác thực hai yếu tố như Google Authenticator.

Điều này có nghĩa là nó không chỉ có thể đánh cắp cụm từ hạt giống mà còn có thể vượt qua xác thực đa yếu tố (MFA), khiến nó trở thành mối đe dọa đáng kể đối với cả ví tiền điện tử và tài khoản ngân hàng.

Khi hoạt động, phần mềm độc hại thậm chí có thể tắt tiếng thiết bị hoặc phủ một màn hình đen để ẩn hoạt động của nó khỏi người dùng.

Điều này khiến nạn nhân gần như không thể phát hiện bất kỳ hành vi bất thường nào trong khi dữ liệu của họ đang bị thu thập.

Nhắm mục tiêu đến người dùng ở Tây Ban Nha và Thổ Nhĩ Kỳ – Nhưng khả năng triển khai rộng rãi hơn là có thể

Hiện tại, Crocodilus chủ yếu nhắm mục tiêu vào người dùng ở Tây Ban Nha và Thổ Nhĩ Kỳ, có bằng chứng cho thấy kẻ tạo ra phần mềm độc hại này đang tập trung vào các khu vực này.

Việc sử dụng mã gỡ lỗi bằng tiếng Thổ Nhĩ Kỳ cho thấy nguồn gốc có thể có, nhưng khi phần mềm độc hại phát triển, phạm vi tiếp cận của nó dự kiến ​​sẽ mở rộng.

Phương thức lây nhiễm ban đầu chính xác vẫn chưa rõ ràng, nhưng các chuyên gia cho rằng người dùng đang bị lừa tải xuống phần mềm độc hại thông qua các trang web độc hại, chương trình khuyến mại trên mạng xã hội, quảng cáo giả mạo và cửa hàng ứng dụng của bên thứ ba.

Aleksandar Eremin, người đứng đầu bộ phận tình báo về mối đe dọa di động tại ThreatFabric, giải thích,

“Crocodilus đang ngụy trang thành các ứng dụng liên quan đến tiền điện tử và sử dụng các kỹ thuật kỹ thuật xã hội cụ thể để khiến nạn nhân tiết lộ bí mật được lưu trữ bên trong các ứng dụng ví tiền điện tử.”

Ông tiếp tục nhấn mạnh sự quan tâm ngày càng tăng của tội phạm mạng trong việc nhắm vào người dùng tiền điện tử và ví của họ.

Mối đe dọa từ phần mềm độc hại dưới dạng dịch vụ đang gia tăng

Mặc dù là người mới trong thế giới mối đe dọa di động, Crocodilus đã nhanh chóng chứng minh rằng nó có khả năng cạnh tranh với các dịch vụ phần mềm độc hại đã có uy tín trên thị trường tội phạm mạng ngầm.

Các tính năng của nó, bao gồm điều khiển từ xa, ghi dữ liệu và khả năng bỏ qua các ứng dụng MFA, khiến nó trở thành một công cụ cực kỳ hiệu quả trong tay tội phạm mạng.

Eremin nhấn mạnh rằng mặc dù Crocodilus là mối đe dọa tương đối mới trong lĩnh vực phần mềm độc hại di động, nhưng khả năng mở rộng của nó có thể đưa nó trở thành đối thủ cạnh tranh mạnh mẽ với các hoạt động phần mềm độc hại dưới dạng dịch vụ đã có tiếng trên thị trường ngầm.

Bảo vệ bản thân khỏi Crocodilus

Mặc dù Crocodilus là mối đe dọa nghiêm trọng, người dùng vẫn có thể thực hiện các biện pháp để giảm thiểu rủi ro.

Đầu tiên và quan trọng nhất, người dùng không bao giờ nên chia sẻ cụm từ hạt giống của ví tiền điện tử của mình.

Không có ứng dụng hợp pháp nào yêu cầu điều này thông qua cửa sổ bật lên hoặc thông báo.

Việc lưu trữ cụm từ hạt giống ngoại tuyến ở một vị trí an toàn là rất quan trọng.

Nguồn: freepik

Ngoài ra, người dùng nên tránh cài đặt ứng dụng từ nguồn của bên thứ ba, bao gồm liên kết trong tin nhắn SMS hoặc quảng cáo trên mạng xã hội.

Sử dụng Google Play Store là lựa chọn an toàn nhất vì nơi này luôn được giám sát chặt chẽ để phát hiện các ứng dụng độc hại.

Bật Google Play Protect và thường xuyên cập nhật hệ điều hành Android và các ứng dụng là điều cần thiết để ngăn chặn phần mềm độc hại.

Người dùng cũng nên thận trọng khi cấp cho ứng dụng những quyền không cần thiết, đặc biệt là liên quan đến quyền Dịch vụ trợ năng hoặc quyền Quản trị thiết bị.

Để tăng cường bảo vệ, hãy cân nhắc cài đặt các ứng dụng bảo mật di động uy tín và sử dụng khóa xác thực hai yếu tố dựa trên phần cứng.

Bằng cách luôn cảnh giác và thực hiện các biện pháp tốt nhất, người dùng có thể giảm đáng kể nguy cơ trở thành nạn nhân của Crocodilus hoặc phần mềm độc hại tương tự.