Tin nhắn mã hóa vẫn bị đọc trộm: Trojan Sturnus đang đe dọa người dùng Android

[MinhSec]

Một mối đe dọa Android mới vừa được các chuyên gia ThreatFabric phát hiện: Sturnus một trojan ngân hàng tinh vi có khả năng vượt qua nhiều lớp bảo mật hiện nay, bao gồm cả mã hóa đầu cuối của WhatsApp, Telegram và Signal.

Được đặt theo tên loài chim sáo đá vì cách giao tiếp “ồn ào và hỗn loạn”, Sturnus cho thấy một mức độ nguy hiểm vượt xa các loại phần mềm độc hại ngân hàng từng thấy trước đây.

Cách Sturnus vượt qua mã hóa đầu cuối và đánh cắp dữ liệu ngân hàng​

Dù các ứng dụng nhắn tin dùng mã hóa đầu cuối, Sturnus không hack vào hệ thống mã hóa. Thay vào đó, nó lợi dụng Dịch vụ Trợ năng (Accessibility Service) một quyền hệ thống cực mạnh trên Android.

Khi người dùng mở ứng dụng nhắn tin (đã được giải mã trên màn hình), Sturnus sẽ:

• đọc toàn bộ nội dung tin nhắn trực tiếp từ thiết bị
• xem danh bạ
• theo dõi tin nhắn đến đi theo thời gian thực

Trojan này còn có khả năng:

• tạo màn hình đăng nhập ngân hàng giả (HTML overlay) cực giống thật
• ghi lại mọi thao tác chạm và nhập liệu bằng keylogger nâng cao
• chiếm quyền điều khiển từ xa để tự động thực hiện giao dịch
• bật màn hình đen để che giấu hoạt động gian lận trong nền

Nghiêm trọng hơn, Sturnus tự bảo vệ chính nó bằng cách kích hoạt quyền Quản trị viên Thiết bị (Device Administrator). Nếu người dùng cố gỡ cài đặt, trojan sẽ tự ngắt hoạt động để tránh bị phát hiện.

Mục tiêu và mức độ nguy hiểm​

Theo ThreatFabric, Sturnus đang trong giai đoạn thử nghiệm nhưng đã hoạt động đầy đủ chức năng. Mục tiêu ban đầu là các tổ chức tài chính tại Nam và Trung Âu, nhưng cấu trúc của nó cho thấy kế hoạch mở rộng quy mô tấn công toàn cầu.

Chuyên gia bảo mật Aditya Sood nhận định Sturnus đặc biệt nguy hiểm vì sử dụng nhiều lớp mã hóa (plain-text + RSA + AES) khi giao tiếp với máy chủ điều khiển C2. Điều này giúp nó:

• hòa trộn với lưu lượng mạng bình thường
• tránh bị phát hiện bởi công cụ bảo mật
• gây khó khăn cho việc phân tích kỹ thuật

Sood cảnh báo: khả năng đọc tin nhắn từ các ứng dụng mã hóa đầu cuối khiến nguy cơ rò rỉ thông tin nhạy cảm trong doanh nghiệp tăng cao, đặc biệt với những người đang xử lý dữ liệu quan trọng.

Khuyến cáo: tuyệt đối không cài APK từ nguồn ngoài Google Play, và nếu nghi ngờ bị nhiễm, cần theo dõi ngay các dấu hiệu bất thường trên thiết bị.(hackread.com)

 

Được phối hợp thực hiện bởi các chuyên gia của Bkav, cộng đồng An ninh mạng Việt Nam WhiteHat và cộng đồng Khoa học công nghệ VnReview