GhostBat: Mã độc Android mới nhắm mục tiêu 60 ứng dụng ngân hàng tại Ấn Độ

• Mối đe dọa mới: GhostBat nhắm mục tiêu vào 60 ứng dụng ngân hàng, UPI và ví điện tử thông qua kỹ thuật lừa đảo smishing.
• Cơ chế tấn công: Lợi dụng Android Accessibility Service để ghi lại thao tác người dùng và đánh cắp mã PIN thông qua lớp phủ trong suốt (Ghost Overlay).
• Khả năng né tránh: Sử dụng nhiều lớp loader, mã hóa payload và Firebase Remote Config để thay đổi cấu hình C2 từ xa.
• Khuyến nghị: Chỉ cài đặt ứng dụng từ cửa hàng chính thức và thận trọng khi cấp quyền truy cập Accessibility cho các ứng dụng lạ.

Các nhà nghiên cứu bảo mật vừa phát hiện một chiến dịch tấn công mạng tinh vi sử dụng biến thể mã độc Android mới có tên là GhostBat. Mã độc này đang nhắm mục tiêu trực tiếp vào người dùng của hơn 60 ứng dụng ngân hàng, UPI, ví điện tử và các nền tảng fintech tại Ấn Độ. Không chỉ dừng lại ở việc đánh cắp tin nhắn SMS, GhostBat đã tiến hóa với khả năng giám sát hoạt động thời gian thực và chiếm quyền điều khiển thông qua các kỹ thuật lạm dụng tính năng hệ thống.

Phân tích kỹ thuật chiến dịch tấn công

Chiến dịch này bắt đầu bằng kỹ thuật smishing (SMS phishing), nơi kẻ tấn công gửi các tin nhắn giả mạo thông báo phạt giao thông hoặc dịch vụ chính phủ. Các liên kết trong tin nhắn dẫn dụ nạn nhân truy cập vào các trang web giả mạo mParivahan hoặc eChallan, hoặc các trang tải xuống giả dạng Google Play Store để cài đặt tệp APK độc hại.

Sau khi được cài đặt, GhostBat yêu cầu quyền Accessibility Service. Đây là một tính năng hỗ trợ của Android nhưng bị mã độc lạm dụng để đọc nội dung màn hình và tương tác với các ứng dụng khác. Khi quyền này được cấp, mã độc sẽ theo dõi danh sách các ứng dụng tài chính đang chạy và kích hoạt các module tấn công tương ứng.

Kỹ thuật Ghost Overlay và đánh cắp mã PIN

Điểm đáng chú ý nhất của GhostBat là tính năng Ghost Overlay. Thay vì hiển thị một trang đăng nhập giả mạo dễ bị phát hiện, mã độc đặt các vùng cảm ứng trong suốt đè lên bàn phím PIN của ứng dụng ngân hàng chính chủ. Khi người dùng nhập mã PIN, mã độc sẽ ghi lại các chữ số đó và thực hiện các thao tác tương ứng để giao dịch vẫn diễn ra bình thường, khiến nạn nhân không hề hay biết tài khoản của mình đã bị xâm nhập.

Cơ chế loader và khả năng điều khiển từ xa

Các nhà nghiên cứu đã quan sát thấy ít nhất sáu loại loader hoặc dropper khác nhau, bao gồm các container APK được mã hóa, tải payload trong bộ nhớ (in-memory DEX loading) và tải APK từ xa. Mẫu mã độc mới nhất sử dụng thư viện native libnetbridge.so cùng chuỗi mã hóa phức tạp để giải nén payload cuối cùng, gây khó khăn cho các công cụ quét mã độc cơ bản.

Ngoài ra, GhostBat sử dụng Firebase Remote Config (ví dụ dự án andromeda-d389d) để thay đổi cấu hình từ xa mà không cần phân phối lại tệp APK. Điều này cho phép kẻ tấn công thay đổi địa chỉ máy chủ C2 hoặc các tính năng của mã độc một cách linh hoạt, làm phức tạp hóa quá trình săn tìm mối đe dọa (Threat Hunting).

Bảng chỉ số IOCs (Indicators of Compromise)

⚠️ Cảnh báo quan trọng: Người dùng tuyệt đối không cài đặt tệp APK từ các nguồn không xác định hoặc qua liên kết trong tin nhắn SMS. Hãy kiểm tra kỹ quyền truy cập của ứng dụng, đặc biệt là quyền Accessibility, và liên hệ ngay với ngân hàng nếu phát hiện các giao dịch bất thường.