Một chiến dịch phát tán mã độc mang tên Midnight Mimosa đã được phát hiện trên hàng nghìn điện thoại Android giá rẻ tại hơn 150 quốc gia. Đáng chú ý, mã độc được cài trực tiếp vào phần mềm hệ thống của thiết bị trước khi đến tay người dùng, cho phép âm thầm cài ứng dụng, gian lận quảng cáo và biến điện thoại thành máy chủ trung chuyển lưu lượng mạng.
Theo công bố của các nhà nghiên cứu bảo mật Bitdefender, chiến dịch này đã diễn ra trong khoảng hai năm. Những thiết bị bị ảnh hưởng bao gồm một số mẫu điện thoại mang tên Doogee S200 X, Cubot KINGKONG X và các thiết bị giả mạo sản phẩm của Samsung, Apple. Mexico, Pháp, Italy, Mỹ, Đức, Brazil và Tây Ban Nha là những quốc gia ghi nhận số lượng thiết bị bị ảnh hưởng cao nhất.
Theo công bố của các nhà nghiên cứu bảo mật Bitdefender, chiến dịch này đã diễn ra trong khoảng hai năm. Những thiết bị bị ảnh hưởng bao gồm một số mẫu điện thoại mang tên Doogee S200 X, Cubot KINGKONG X và các thiết bị giả mạo sản phẩm của Samsung, Apple. Mexico, Pháp, Italy, Mỹ, Đức, Brazil và Tây Ban Nha là những quốc gia ghi nhận số lượng thiết bị bị ảnh hưởng cao nhất.
Mã độc tồn tại ngay trong phần mềm hệ thống
Khác với các loại mã độc thường lây nhiễm khi người dùng tải ứng dụng không rõ nguồn gốc, Midnight Mimosa đã được tích hợp sẵn vào firmware – phần mềm điều khiển hoạt động cơ bản của điện thoại. Nhờ chạy với quyền hệ thống cao, mã độc có thể tự cài đặt hoặc gỡ bỏ ứng dụng, cấp các quyền nhạy cảm và thực thi mã được tải về từ máy chủ điều khiển từ xa mà không cần người dùng xác nhận.
Bitdefender phát hiện chiến dịch sau khi công nghệ giám sát bất thường của hãng cảnh báo một ứng dụng hệ thống có tên <span>com.android.system.lite</span> đang âm thầm cài đặt và gỡ bỏ các ứng dụng khác. Điều tra sâu hơn cho thấy đây là một phần của hệ thống mã độc có khả năng tải thêm các thành phần phục vụ những mục đích khác nhau.
Các nhà nghiên cứu xác định khoảng 32 ứng dụng được phân phối thông qua hệ thống này, ngụy trang dưới dạng công cụ thời tiết, quản lý tệp, khóa ứng dụng, nhận dạng ký tự và chỉnh sửa âm thanh. Một số ứng dụng có thể hiển thị quảng cáo trong các cửa sổ ẩn hoặc tự động tương tác với quảng cáo để tạo lượt hiển thị và lượt nhấp giả, qua đó trục lợi từ hoạt động quảng cáo.
Để hạn chế nguy cơ bị phát hiện, mã độc còn có khả năng tạm thời vô hiệu hóa Google Play Store trước khi cài ứng dụng khác, sau đó kích hoạt lại cửa hàng. Một số biến thể cũng chỉnh sửa thông tin ghi nhận nguồn cài đặt, khiến ứng dụng độc hại trông giống như được cài từ Google Play.
Bitdefender phát hiện chiến dịch sau khi công nghệ giám sát bất thường của hãng cảnh báo một ứng dụng hệ thống có tên <span>com.android.system.lite</span> đang âm thầm cài đặt và gỡ bỏ các ứng dụng khác. Điều tra sâu hơn cho thấy đây là một phần của hệ thống mã độc có khả năng tải thêm các thành phần phục vụ những mục đích khác nhau.
Các nhà nghiên cứu xác định khoảng 32 ứng dụng được phân phối thông qua hệ thống này, ngụy trang dưới dạng công cụ thời tiết, quản lý tệp, khóa ứng dụng, nhận dạng ký tự và chỉnh sửa âm thanh. Một số ứng dụng có thể hiển thị quảng cáo trong các cửa sổ ẩn hoặc tự động tương tác với quảng cáo để tạo lượt hiển thị và lượt nhấp giả, qua đó trục lợi từ hoạt động quảng cáo.
Để hạn chế nguy cơ bị phát hiện, mã độc còn có khả năng tạm thời vô hiệu hóa Google Play Store trước khi cài ứng dụng khác, sau đó kích hoạt lại cửa hàng. Một số biến thể cũng chỉnh sửa thông tin ghi nhận nguồn cài đặt, khiến ứng dụng độc hại trông giống như được cài từ Google Play.
Biến điện thoại thành trung gian chuyển tiếp lưu lượng mạng
Ngoài gian lận quảng cáo, Midnight Mimosa còn có khả năng biến thiết bị nhiễm mã độc thành proxy dân cư (residential proxy). Thông qua một thành phần được ngụy trang dưới dạng ứng dụng khóa màn hình, điện thoại có thể đăng ký với máy chủ điều khiển và nhận chỉ thị kết nối đến các máy chủ được chỉ định, sau đó chuyển tiếp lưu lượng mạng qua kết nối Internet của người dùng.
Cơ chế này có thể giúp kẻ tấn công che giấu nguồn gốc lưu lượng truy cập hoặc tiếp cận các hệ thống có thể kết nối từ thiết bị bị nhiễm. Khi đó, địa chỉ IP Internet của chủ điện thoại có nguy cơ xuất hiện như nguồn phát sinh những kết nối mà họ không hề chủ động thực hiện.
Cơ chế này có thể giúp kẻ tấn công che giấu nguồn gốc lưu lượng truy cập hoặc tiếp cận các hệ thống có thể kết nối từ thiết bị bị nhiễm. Khi đó, địa chỉ IP Internet của chủ điện thoại có nguy cơ xuất hiện như nguồn phát sinh những kết nối mà họ không hề chủ động thực hiện.
Bitdefender xác nhận hạ tầng điều khiển proxy vẫn hoạt động và tiếp nhận đăng ký thiết bị. Tuy nhiên, trong quá trình thử nghiệm, các nhà nghiên cứu không nhận được đích chuyển tiếp lưu lượng nên chưa thể xác nhận liệu hạ tầng này có đang thực sự được sử dụng để chuyển tiếp lưu lượng hay không.
Các nhà nghiên cứu cũng phát hiện 13 ứng dụng Android trên Google Play có chứa mã gian lận quảng cáo liên quan đến chiến dịch và liên lạc với hạ tầng đã biết của Midnight Mimosa. Những ứng dụng này không có quyền hệ thống cao như thành phần được cài sẵn trong firmware, nhưng vẫn có thể hiển thị quảng cáo bên ngoài giao diện ứng dụng, kể cả khi người dùng không trực tiếp sử dụng chúng.
Khó loại bỏ mã độc bằng cách gỡ ứng dụng thông thường
Một vấn đề đáng lo ngại là mã độc nằm trong phân vùng hệ thống và có quyền cao, do đó người dùng không thể xử lý triệt để chỉ bằng thao tác gỡ ứng dụng thông thường. Theo Bitdefender, việc loại bỏ mã độc có thể đòi hỏi làm sạch firmware hoặc vô hiệu hóa thành phần độc hại thông qua Android Debug Bridge (ADB), vốn cần kiến thức kỹ thuật nhất định.
Một số người dùng Doogee và Cubot cũng từng phản ánh trên diễn đàn XDA về các ứng dụng đáng ngờ tự xuất hiện trở lại sau khi bị xóa. Có trường hợp mã độc xuất hiện sau khi cài bản cập nhật firmware chính thức và quay lại khi người dùng cài lại bản cập nhật đó. Một số người cho biết nhà sản xuất đã phát hành firmware khắc phục, nhưng nguyên nhân mã độc được đưa vào phần mềm thiết bị vẫn chưa được làm rõ công khai.
Hiện chưa có kết luận xác định bên nào chịu trách nhiệm đưa mã độc vào firmware hoặc việc can thiệp xảy ra ở giai đoạn nào trong chuỗi cung ứng. Vụ việc cho thấy rủi ro an ninh không chỉ đến từ ứng dụng người dùng chủ động tải xuống, mà còn có thể xuất phát từ phần mềm được cài đặt trước khi thiết bị được bán ra. Vì vậy, việc lựa chọn thiết bị từ nhà sản xuất có uy tín, kiểm tra thông báo cập nhật bảo mật và thận trọng với các mẫu điện thoại giá rẻ không rõ nguồn gốc vẫn là những biện pháp cần thiết.
Một số người dùng Doogee và Cubot cũng từng phản ánh trên diễn đàn XDA về các ứng dụng đáng ngờ tự xuất hiện trở lại sau khi bị xóa. Có trường hợp mã độc xuất hiện sau khi cài bản cập nhật firmware chính thức và quay lại khi người dùng cài lại bản cập nhật đó. Một số người cho biết nhà sản xuất đã phát hành firmware khắc phục, nhưng nguyên nhân mã độc được đưa vào phần mềm thiết bị vẫn chưa được làm rõ công khai.
Hiện chưa có kết luận xác định bên nào chịu trách nhiệm đưa mã độc vào firmware hoặc việc can thiệp xảy ra ở giai đoạn nào trong chuỗi cung ứng. Vụ việc cho thấy rủi ro an ninh không chỉ đến từ ứng dụng người dùng chủ động tải xuống, mà còn có thể xuất phát từ phần mềm được cài đặt trước khi thiết bị được bán ra. Vì vậy, việc lựa chọn thiết bị từ nhà sản xuất có uy tín, kiểm tra thông báo cập nhật bảo mật và thận trọng với các mẫu điện thoại giá rẻ không rõ nguồn gốc vẫn là những biện pháp cần thiết.
Sửa lần cuối:
