Theo Neowin, được biết đến với tên gọi GhostCtrl, các nhà nghiên cứu tại Trend Micro cho biết phần mềm độc hại này dường như là biến thể của OmniRAT, một công cụ quản trị từ xa dành cho Android. Nó được cho như là một phần trong chiến dịch rộng lớn nhắm tới các bệnh viện của Israel sau cuộc tấn công của sâu RETADUP hồi tháng 6 vừa qua.
Báo cáo cho biết, có ba phiên bản của phần mềm độc hại. Phiên bản đầu tiên đánh cắp thông tin và kiểm soát các chức năng của thiết bị, trong khi phiên bản thứ hai bổ sung các tính năng mới để khai thác. Phiên bản còn lại kết hợp tất cả các tính năng của các phiên bản cũ và thêm các thành phần độc hại hơn vào hệ thống.
Phiên bản mới nhất của GhostCtrl giờ đây có thể giám sát nhật ký cuộc gọi, tin nhắn văn bản, số liên lạc, số điện thoại, vị trí và lịch sử duyệt web. Hơn nữa, nó có khả năng ghi lại thông tin phiên bản Android của nạn nhân, mức pin và Bluetooth. Vấn đề thậm chí còn tồi tệ hơn nữa khi nó có thể giám sát nạn nhân bằng cách âm thầm ghi lại âm thanh và video.
GhostCtrl được phân phối thông qua các ứng dụng giả mạo ứng dụng hợp pháp WhatsApp hoặc Pokemon GO. Sau khi tệp APK đã được cài đặt trên thiết bị của nạn nhân, một chương trình được gọi là com.android.engine được yêu cầu cài đặt với nội dung đánh lừa người dùng nghĩ rằng đó là một thành phần an toàn. Chương trình này liên lạc với máy chủ Command & Control (C&C) của phần mềm độc hại, sau đó thực hiện việc ghi lại hoặc ăn cắp dữ liệu từ nạn nhân.
Cuối cùng, GhostCtrl có khả năng trở thành mã độc tống tiền (ransomware) trên thiết bị di động. Nó có thể khóa màn hình, đặt lại mật khẩu và root thiết bị. Trong quá trình này, nó cũng có thể ăn cắp thêm thông tin và gửi chúng đến máy chủ C&C.
Trend Micro khuyến cáo người dùng các thiết bị Android nên thường xuyên cập nhật phiên bản mới và thực hiện sao lưu dữ liệu thường xuyên. Người dùng cũng nên sử dụng các tiện ích bảo mật danh tiếng để phát hiện các ứng dụng đáng ngờ và độc hại.
Bình luận (0)