Mirax Android RAT: Chiến dịch tấn công ngân hàng qua quảng cáo ứng dụng streaming

• Mối đe dọa: Chiến dịch Mirax Android RAT nhắm vào khách hàng ngân hàng tại Trung Đông, Thổ Nhĩ Kỳ và Châu Phi.
• Cơ chế: Lợi dụng quảng cáo trong các ứng dụng streaming để dẫn dụ người dùng tải xuống trình cài đặt độc hại.
• Tác động: Chiếm quyền điều khiển thiết bị, đánh cắp thông tin đăng nhập, chặn SMS và thực hiện giao dịch trái phép.
• Kỹ thuật: Lạm dụng Accessibility Service để kiểm soát giao diện và vượt qua các cơ chế bảo mật.

Một chiến dịch mã độc ngân hàng trên Android đang biến các quảng cáo trong ứng dụng streaming thành con đường xâm nhập nguy hiểm nhằm đánh cắp thông tin xác thực và rút tiền từ tài khoản người dùng. Mirax, một loại Remote Access Trojan (RAT), cho phép tội phạm mạng theo dõi thiết bị bị nhiễm, chặn mã xác thực bảo mật và trực tiếp thao tác trên các ứng dụng ngân hàng từ thiết bị của nạn nhân.

Theo báo cáo từ các nhà nghiên cứu bảo mật tại Group-IB, hàng ngàn thiết bị Android của khách hàng ngân hàng bán lẻ tại khu vực Trung Đông, Thổ Nhĩ Kỳ và Châu Phi đã bị lây nhiễm trong khoảng thời gian từ tháng 3 đến tháng 9 năm 2026. Mặc dù các số liệu hiện có chỉ phản ánh những trường hợp lây nhiễm và gian lận được các nhà điều tra và ngân hàng ghi nhận, thiệt hại thực tế đã lên tới hàng triệu đô la Mỹ.

Cơ chế lây nhiễm và kỹ thuật khai thác của Mirax RAT

Các bằng chứng kỹ thuật cho thấy quá trình lây nhiễm bắt đầu từ các ứng dụng streaming có uy tín thấp được tải xuống từ Google Play. Các quảng cáo và liên kết video trong ứng dụng này sẽ điều hướng người dùng đến một trình cài đặt riêng biệt nằm ngoài cửa hàng ứng dụng chính thức. Phương thức này khác biệt so với các cuộc tấn công qua ứng dụng streaming Perseus, vốn sử dụng các ứng dụng IPTV giả mạo thông qua hình thức sideloading, nhưng cả hai đều khai thác nhu cầu giải trí của người dùng.

Một trong những trình cài đặt được xác nhận đã giả mạo ứng dụng "TikTok 18+", một ứng dụng không liên quan đến TikTok hoặc ByteDance. Trình cài đặt này thực hiện tải xuống payload Mirax, sau đó giả dạng thành Google Play Services bằng cách sử dụng một ký tự Cyrillic trông giống với chữ "o" trong bảng chữ cái Latin. Việc ngụy trang này khiến các yêu cầu cấp quyền nguy hiểm trông như thể chúng đến từ một thành phần hệ thống quen thuộc.

Quyền truy cập Accessibility Service là điểm mấu chốt trong chuỗi tấn công. Mirax thúc đẩy nạn nhân kích hoạt quyền này, sau đó sử dụng nó để đọc nội dung màn hình và điều khiển giao diện người dùng. Các cuộc tấn công lớp phủ (overlay) ngân hàng tương tự kết hợp việc lạm dụng quyền với các màn hình đăng nhập giả mạo, giúp kẻ tấn công thu thập thông tin xác thực trong khi người dùng tin rằng họ đang tương tác với các ứng dụng hợp pháp.

Mirax cũng thực hiện chặn tin nhắn SMS và thông báo, ghi lại thông tin nhập liệu và thu thập mã PIN, mật khẩu hoặc hình vẽ mở khóa màn hình. Kẻ vận hành có thể phát lại các thông tin này để mở khóa điện thoại khi không có người giám sát, mở phiên làm việc ngân hàng, thêm người thụ hưởng và khởi tạo các giao dịch chuyển tiền.

Khả năng điều khiển từ xa và né tránh phát hiện

Mirax tách biệt các khả năng cài đặt khỏi các chỉ dẫn nhắm mục tiêu. Các lớp phủ ngân hàng và ánh xạ ứng dụng được tải về từ cơ sở hạ tầng Command-and-Control (C2) sau khi cài đặt thay vì được đóng gói sẵn bên trong ứng dụng Android. Hoạt động quan sát được nhắm vào hơn 20 gói ứng dụng ngân hàng và ví điện tử, cùng với các sàn giao dịch tiền điện tử toàn cầu.

Hai kênh WebSocket tách biệt các lệnh điều khiển khỏi dữ liệu bị đánh cắp, trong khi HTTP long-polling đóng vai trò là cơ chế dự phòng. Kẻ vận hành có thể thay đổi từ xa các máy chủ, cổng, cài đặt TLS và khoảng thời gian polling. DNS-over-HTTPS được kích hoạt mặc định, làm giảm khả năng hiển thị thông qua giám sát DNS cục bộ. Do đó, việc kiểm tra tĩnh không thể tiết lộ mọi mục tiêu hoặc cấu hình được triển khai chống lại một nạn nhân cụ thể.

⚠️ Cảnh báo quan trọng: Module SOCKS5 của Mirax biến các điện thoại bị xâm nhập thành các proxy dân cư (residential proxies). Điều này cho phép kẻ tấn công định tuyến lưu lượng độc hại thông qua kết nối của nạn nhân, làm suy yếu các cơ chế kiểm tra dựa trên uy tín IP và vị trí địa lý.

Mã độc này ẩn biểu tượng trình khởi chạy, ngẫu nhiên hóa tên gói và khôi phục hoạt động sau khi khởi động lại thiết bị. Nó có thể chặn màn hình gỡ cài đặt, chặn các ứng dụng bảo mật và hiển thị lớp phủ màu đen hoặc thông báo cập nhật giả mạo trong khi các hoạt động gian lận vẫn diễn ra bên dưới. Các nhà nghiên cứu khuyến nghị người dùng nên kiểm tra việc lạm dụng Accessibility, hoạt động điều khiển từ xa và chia sẻ màn hình cùng với các nỗ lực giao dịch.

Bảng chỉ số nhận diện mối đe dọa (IoCs)

Các ngân hàng nên tăng cường giám sát các giao dịch đáng ngờ và tạm dừng thanh toán để xác minh khách hàng. Người dùng được khuyến cáo từ chối các yêu cầu Accessibility bất ngờ từ các ứng dụng giải trí, tránh tải xuống các file APK từ quảng cáo và tìm kiếm hỗ trợ gỡ bỏ khi một ứng dụng đáng ngờ từ chối bị xóa. Mặc dù các chỉ số nhận diện (IoCs) vẫn hữu ích, việc xoay vòng các định danh khiến cho phương pháp phát hiện dựa trên hành vi trở nên thiết yếu hơn bao giờ hết.