Mã Độc Gigabud Tạo "Vùng Kín" Trên Android Để Vượt Mặt Lớp Bảo Mật Ngân Hàng

Mã Độc Gigabud Tạo "Vùng Kín" Trên Android Để Vượt Mặt Lớp Bảo Mật Ngân Hàng

Mã độc đánh cắp tài khoản ngân hàng Gigabud vừa nâng cấp thủ đoạn vô cùng tinh vi bằng cách tạo ra một không gian làm việc (work profile) giả mạo trên điện thoại, giúp chúng dễ dàng qua mặt các trình quét virus và âm thầm bòn rút tiền của nạn nhân.

Trong bối cảnh các mối đe dọa an toàn an ninh mạng ngày càng biến hóa khôn lường, công ty bảo mật Group-IB vừa công bố một báo cáo đáng báo động vào ngày 9 tháng 9 về sự tiến hóa của mã độc Gigabud. Dòng mã độc ngân hàng (banking trojan) này hiện đã có khả năng cài đặt thêm một ứng dụng Android thứ hai để tạo ra "hồ sơ công việc" (work profile) trên thiết bị nhiễm bệnh, sau đó lén lút thả một ứng dụng ngân hàng đã bị can thiệp vào bên trong không gian này. Trên hệ điều hành Android, hồ sơ công việc vốn là một vùng không gian riêng biệt thường được dành riêng cho các ứng dụng của doanh nghiệp, tách bạch hoàn toàn với không gian cá nhân của người dùng. Sự phân tách này vô tình trở thành lỗ hổng hoàn hảo để mã độc ẩn nấp khỏi các đợt quét kiểm tra phần mềm độc hại (malware) do ứng dụng ngân hàng thực thụ thực hiện, khiến cho các giao dịch lừa đảo diễn ra êm thấm mà không kích hoạt cảnh báo. Nhóm nghiên cứu đã xác nhận toàn bộ chuỗi lây nhiễm tinh vi này trên các thiết bị tại Indonesia.

Gigabud thực chất là một loại mã độc truy cập từ xa (RAT), cung cấp cho kẻ tấn công quyền điều khiển điện thoại trực tiếp để đe dọa quyền riêng tư của nạn nhân. Hoạt động từ năm 2022 và được cho là thuộc về một nhóm tội phạm mạng mang tên GoldFactory, loại virus này thường len lỏi vào điện thoại dưới vỏ bọc các ứng dụng giả mạo của hãng hàng không quốc gia, cơ quan thuế hoặc cổng thông tin chính phủ được tải xuống từ bên ngoài cửa hàng ứng dụng chính thức. Ngay ở lần khởi chạy đầu tiên, ứng dụng sẽ yêu cầu cấp quyền Trợ năng (Accessibility), quyền vẽ lên trên các ứng dụng khác và quyền chạy ngầm. Việc người dùng vô tình cấp quyền Trợ năng chính là thời khắc họ giao nộp hoàn toàn quyền kiểm soát thiết bị cho kẻ gian. Sau đó, chúng sẽ tự động gửi danh sách toàn bộ ứng dụng trên máy về máy chủ để xác định mục tiêu ngân hàng. Khi nạn nhân mở ứng dụng ngân hàng thật, một màn hình đăng nhập giả mạo sẽ lập tức hiện đè lên trên để ghi lại thao tác gõ phím, trong khi một lớp phủ tàng hình thứ hai sẽ âm thầm đánh cắp luôn cả mật mã khóa màn hình điện thoại. Nhờ đó, tin tặc có thể tự động chạm và gõ phím để thực hiện giao dịch trái phép, đồng thời che giấu mọi hoạt động bằng một màn hình đen kịt.

Để tạo ra "vùng cấm" tàng hình, Gigabud sử dụng một ứng dụng phụ mang tên Vwork. Ứng dụng này có kiến trúc hoạt động tương tự như Shelter – một công cụ mã nguồn mở hợp pháp dùng để cô lập các ứng dụng – nhưng điểm khác biệt cốt lõi là Vwork hoàn toàn nằm dưới sự thao túng của hệ thống mã độc. Chỉ với một cửa sổ thông báo duy nhất bằng tiếng Trung, Vwork có thể tự động vượt qua các bước kiểm tra, thiết lập hồ sơ công việc và nhân bản ứng dụng ngân hàng giả mạo vào đó. Hậu quả của chiến dịch này vô cùng nặng nề: chỉ tính riêng từ tháng 2 đến tháng 7 năm 2026 tại Indonesia, Group-IB đã ghi nhận khoảng 1.469 thiết bị bị khống chế cùng 1.281 lượt đăng nhập đáng ngờ, dẫn đến mức thiệt hại ước tính lên tới 960.000 USD. Ngoài Indonesia, các mẫu Gigabud tích hợp Vwork cũng đã được phát hiện nhắm mục tiêu tới hàng loạt quốc gia khác như Brazil, Colombia, Ai Cập, Philippines, Thái Lan và Mexico.

Để tự vệ trước thủ đoạn cướp đoạt tài sản tinh vi này và duy trì một môi trường kỹ thuật số an toàn, sự chủ động kiểm tra thiết bị là vô cùng cần thiết. Đầu tiên, bạn hãy ngay lập tức xem xét điện thoại của mình có chứa "hồ sơ công việc" đáng ngờ nào không bằng cách vào mục Cài đặt (Settings), chọn Mật khẩu và tài khoản (Passwords and accounts). Nếu thấy xuất hiện tab "Công việc" (Work) hoặc các biểu tượng ứng dụng có đính kèm hình chiếc cặp táp nhỏ mà bạn không hề tự tay thiết lập, hãy chọn "Xóa hồ sơ công việc" (Remove Work Profile) và nhấn Xóa để dọn dẹp sạch mọi dữ liệu mờ ám bên trong. Quan trọng nhất, để chặn đứng nguy cơ thâm nhập của phần mềm gián điệp (spyware) và mã độc, bạn chỉ nên tải ứng dụng từ các cửa hàng chính thức được kiểm duyệt, kiên quyết từ chối cấp quyền Trợ năng (Accessibility) cho bất kỳ ứng dụng nào không thuộc nhóm công cụ hỗ trợ khuyết tật, đồng thời hãy chuyển sang sử dụng các phương thức xác thực hai yếu tố (2FA) an toàn hơn thay vì chỉ phụ thuộc vào tin nhắn SMS truyền thống cho các giao dịch ngân hàng của mình.

Hương - Theo TheHackerNews