Mã độc Konfety 'ngụy trang' để tấn công điện thoại Android

Theo TechRadar, các nhà nghiên cứu bảo mật cảnh báo về biến thể mới của phần mềm độc hại Konfety trên Android. Biến thể này được đánh giá là tinh vi và khó phát hiện hơn các phiên bản trước.

Dữ liệu từ nhóm nghiên cứu bảo mật Zimperium zLabs (Mỹ) cho biết những tin tặc của Konfety đã tìm ra cách đánh lừa các chương trình phân tích bằng cách "bóp méo" cấu trúc tệp tin cài đặt (APK). Điều này giúp nó để ẩn mình, khiến các công cụ bảo mật không thể phân tích và phát hiện.

Đầu tiên, mã độc Konfety bật một "cờ hiệu" kỹ thuật số bên trong tệp tin cài đặt. Máy sẽ báo rằng tệp đã được mã hóa trong khi thực tế thì không. Khi các công cụ bảo mật khi cố gắng đọc sẽ bị treo, báo lỗi hoặc hiểu sai về tệp.

Sau đó, mã độc tiếp tục khai báo rằng tệp sử dụng định dạng nén lạ. Cách này khiến phần mềm diệt virus không thể giải nén và phân tích nội dung bên trong. Theo chuyên gia, kỹ thuật này làm quá trình dịch ngược mã nguồn trở nên phức tạp và khó tiếp cận.

Ngoài việc can thiệp vào tệp APK, Konfety sử dụng nhiều thủ thuật để duy trì và phát tán. Một trong số đó là chiêu "ứng dụng kép". Mã độc giả dạng ứng dụng hợp pháp trên kho tải chính thức, trong khi bản độc hại được phát tán từ nguồn ngoài.

Khi cài đặt, ứng dụng độc hại tự ẩn biểu tượng khỏi màn hình. Nó còn sử dụng giới hạn địa lý để né tránh các nhà nghiên cứu bảo mật ở một số khu vực. Nếu được kích hoạt ở các khu vực như Mỹ, Đức hoặc Hàn Quốc, Konfety sẽ tự động ngưng hoạt động nhằm tránh bị phân tích.

Sau khi xâm nhập thiết bị, Konfety sử dụng bộ công cụ quảng cáo CaramelAds SDK. Mã độc liên tục chuyển hướng người dùng đến trang web lừa đảo, hiển thị yêu cầu cài đặt ứng dụng không rõ nguồn gốc và kích hoạt thông báo rác trên trình duyệt.

"Biến thể mới nhất này thể hiện sự tinh vi của tin tặc. Thủ đoạn này được thiết kế để vượt qua các khâu kiểm tra bảo mật, khiến việc phát hiện và phân tích trở nên khó khăn hơn đối với các chuyên gia", các chuyên gia kết luận.