Lỗ hổng Zero-Click 'SMS of Death' trên Android: Nguy cơ gián đoạn dịch vụ từ xa

Cơ chế tấn công: Lỗ hổng nằm trong hàm WapPushOverSms.decodeWapPdu(), cho phép kích hoạt lỗi NegativeArraySizeException thông qua tin nhắn WAP Push được định dạng sai.
Tác động: Gây treo tiến trình com.android.phone, ngắt cuộc gọi hiện tại và có khả năng làm hỏng cơ sở dữ liệu SQLite, khiến thiết bị không thể khởi động lại dịch vụ điện thoại.
Trạng thái: Google hiện phân loại đây là vấn đề phi bảo mật và từ chối phát hành bản vá (Won't Fix).
Phạm vi ảnh hưởng: Đã xác nhận trên các thiết bị Pixel 9 (firmware tháng 4/2026) và nhiều dòng Samsung Galaxy.

Phân tích kỹ thuật lỗ hổng SMS of Death

Các nhà nghiên cứu bảo mật vừa công bố chi tiết về một lỗ hổng zero-click nghiêm trọng trên hệ điều hành Android, được đặt tên là 'SMS of Death'. Lỗ hổng này cho phép kẻ tấn công làm gián đoạn dịch vụ viễn thông của thiết bị mục tiêu mà không cần bất kỳ sự tương tác nào từ người dùng. Điểm mấu chốt của cuộc tấn công nằm ở cách thức Android xử lý các tin nhắn WAP Push, một loại dữ liệu đặc biệt không hiển thị trong hộp thư đến thông thường.

Lỗi xuất phát từ hàm WapPushOverSms.decodeWapPdu() trong mã nguồn Android. Khi xử lý tin nhắn, hệ thống đọc độ dài tiêu đề từ thông điệp dưới dạng một số nguyên dài (long), sau đó thực hiện chuyển đổi sang một số nguyên có dấu (signed integer) nhỏ hơn mà không thực hiện kiểm tra phạm vi (range check). Điều này dẫn đến việc tạo ra các giá trị âm không hợp lệ.

Cơ chế khai thác và thực thi mã độc

Cụ thể, khi kẻ tấn công gửi chuỗi byte 88 80 80 80 00, hệ thống sẽ chuyển đổi giá trị này thành -2147483648. Khi Android cố gắng khởi tạo một mảng byte với kích thước âm này, ngoại lệ NegativeArraySizeException sẽ được kích hoạt, dẫn đến việc tiến trình com.android.phone bị buộc dừng đột ngột. Do đây là tiến trình hệ thống cốt lõi, việc nó bị treo sẽ khiến thiết bị mất khả năng thực hiện cuộc gọi và kết nối mạng di động.

# Mô phỏng cấu trúc payload gây lỗi trong WAP Push PDU: 88 80 80 80 00

Người dùng mục tiêu sẽ không nhận được bất kỳ thông báo nào, và số điện thoại của kẻ gửi cũng được ẩn giấu hoàn toàn. Trong các thử nghiệm, mỗi tin nhắn gửi đến gây ra tình trạng mất dịch vụ từ 1 đến 2 giây. Đáng chú ý, do nhà mạng thường tự động gửi lại các tin nhắn chưa được xác nhận, một tin nhắn duy nhất có thể gây ra tình trạng gián đoạn lặp đi lặp lại trong suốt một tuần.

Tác động nghiêm trọng và rủi ro dữ liệu

Khi kẻ tấn công gửi liên tiếp khoảng 30 tin nhắn, hậu quả sẽ trở nên nghiêm trọng hơn nhiều. Các vụ treo tiến trình liên tục gây xung đột với quá trình ghi dữ liệu vào bộ nhớ SMS, dẫn đến hỏng cơ sở dữ liệu SQLite lưu trữ tin nhắn. Sau khi cơ sở dữ liệu bị hỏng, ứng dụng điện thoại sẽ bị treo ngay lập tức mỗi khi khởi động lại thiết bị, khiến điện thoại trở nên vô dụng đối với các chức năng cơ bản.

Loại thực thể	Giá trị / Chỉ số	Mô tả tác động
Tiến trình bị ảnh hưởng	com.android.phone	Dịch vụ viễn thông cốt lõi bị treo
Ngoại lệ kỹ thuật	NegativeArraySizeException	Lỗi bộ nhớ do kích thước mảng âm
Payload mẫu	88 80 80 80 00	Chuỗi byte kích hoạt lỗi
Cơ sở dữ liệu	SQLite (SMS store)	Dữ liệu bị hỏng sau khi tấn công dồn dập

Việc khôi phục thiết bị sau khi bị tấn công là vô cùng khó khăn. Khôi phục cài đặt gốc (Factory Reset) chỉ mang lại hiệu quả tạm thời vì nhà mạng sẽ tiếp tục gửi lại payload bị lỗi đã được lưu trong hàng đợi của trạm phát sóng. Các nhà nghiên cứu khuyến cáo rằng việc tháo SIM vật lý sang một thiết bị không chạy Android là cách duy nhất để xác nhận tin nhắn và xóa các bản ghi bị hỏng thông qua ADB.

Khuyến nghị phòng thủ và hạn chế rủi ro

Mặc dù Google đã bổ sung các biện pháp bảo vệ chống lại việc hạ cấp mạng 2G và các kỹ thuật SMS blaster trong Android 17, nhưng các tính năng này không giải quyết được lỗ hổng phân tích cú pháp (parsing bug) này. Hiện tại, người dùng không có bản vá trực tiếp từ nhà sản xuất.

Giám sát lưu lượng: Các quản trị viên hệ thống và người dùng doanh nghiệp nên theo dõi các dấu hiệu bất thường của dịch vụ điện thoại.
Sử dụng giải pháp bảo mật: Cân nhắc sử dụng các ứng dụng bảo mật có khả năng lọc tin nhắn SMS độc hại từ cấp độ hệ thống.
Cảnh giác với eSIM: Đối với người dùng sử dụng eSIM, việc khôi phục thiết bị sau khi bị tấn công sẽ phức tạp hơn nhiều so với SIM vật lý, do đó cần sao lưu dữ liệu thường xuyên.

⚠️ Cảnh báo quan trọng: Lỗ hổng này hiện chưa có bản vá chính thức từ Google. Người dùng cần thận trọng với các tin nhắn lạ và cân nhắc việc vô hiệu hóa các tính năng tự động nhận tin nhắn WAP Push nếu có thể thông qua các tùy chọn cấu hình nâng cao của nhà mạng hoặc thiết bị.