Phát hiện chiến dịch Midnight Mimosa: Mã độc cài sẵn trên hàng nghìn thiết bị Android

• Chiến dịch Midnight Mimosa: Hàng nghìn thiết bị Android tại hơn 150 quốc gia bị nhiễm mã độc ngay từ cấp độ firmware trước khi đến tay người dùng.
• Cơ chế tấn công: Mã độc sử dụng chứng chỉ hệ thống để chiếm quyền kiểm soát, tự động cài đặt/gỡ bỏ ứng dụng và vô hiệu hóa Google Play Protect.
• Khả năng nguy hiểm: Hỗ trợ gian lận quảng cáo, thiết lập đường hầm TCP (proxy) và tải xuống các module độc hại từ xa mà không cần sự can thiệp của người dùng.

Các nhà nghiên cứu an ninh mạng vừa công bố báo cáo chi tiết về chiến dịch tấn công mang tên Midnight Mimosa, nhắm vào các thiết bị Android giá rẻ trên toàn cầu. Điểm đáng chú ý của chiến dịch này là mã độc được cài đặt sẵn trực tiếp vào firmware của thiết bị, cho phép kẻ tấn công duy trì quyền truy cập hệ thống mà không cần người dùng phải tải xuống bất kỳ ứng dụng độc hại nào hay nhấp vào các liên kết lừa đảo.

Cơ chế hoạt động và kỹ thuật né tránh

Mã độc trong chiến dịch này bắt đầu bằng một ứng dụng hệ thống độc hại được ký bằng chứng chỉ nền tảng Android (Android platform certificate). Vị trí đặc quyền này cho phép nó thực hiện các hành vi như cài đặt gói ứng dụng, gỡ bỏ phần mềm, cấp quyền truy cập nhạy cảm và thay đổi các thiết lập bảo mật của hệ điều hành. Để tránh sự phát hiện từ Google Play Protect, mã độc thực hiện kỹ thuật vô hiệu hóa tạm thời gói Google Play Store trước khi cài đặt các payload bổ sung, sau đó khôi phục lại trạng thái ban đầu.

Các thành phần chính của mã độc được ẩn giấu bên trong một thư viện native. Khi được kích hoạt, thư viện này sử dụng thuật toán mã hóa RC4 để giải nén một framework Java ẩn. Framework này sau đó thiết lập kết nối với các máy chủ điều khiển (C2), nhận cấu hình và tải xuống các plugin định dạng DEX hoặc JAR. Điều này cho phép kẻ tấn công thay đổi hành vi của mã độc một cách linh hoạt mà không cần thay thế ứng dụng hệ thống gốc.

Phân tích các module độc hại

Các plugin được tải xuống đảm nhận nhiều vai trò khác nhau, từ gian lận quảng cáo đến quản lý ứng dụng âm thầm. Một số module tạo ra các lượt xem, nhấp chuột và sự kiện chuyển đổi quảng cáo giả mạo thông qua các cửa sổ ẩn. Các nhà nghiên cứu đã xác định ít nhất 32 ứng dụng bị ngụy trang, bao gồm các công cụ như ứng dụng thời tiết, khóa ứng dụng, máy quét văn bản và trình quản lý tệp.

⚠️ Cảnh báo quan trọng: Khả năng tải xuống mã mới từ xa đồng nghĩa với việc hành vi của mã độc có thể thay đổi bất cứ lúc nào. Ngoài các module quảng cáo, mã độc còn chứa phần mềm proxy có khả năng đăng ký thiết bị và mở các đường hầm TCP hai chiều, biến thiết bị của nạn nhân thành một điểm trung chuyển lưu lượng mạng trái phép.

Bảng tổng hợp các chỉ số IOCs

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Việc kiểm tra các ứng dụng đã tải xuống là không đủ để giải quyết các mối đe dọa đã được nhúng sâu vào phần mềm của thiết bị. Người dùng và các quản trị viên hệ thống cần lưu ý rằng các thiết bị giá rẻ, đặc biệt là các dòng máy sử dụng chip MediaTek hoặc các thiết bị không rõ nguồn gốc, có nguy cơ cao bị ảnh hưởng. Để phát hiện và ngăn chặn, các đội ngũ SOC cần tích hợp các chỉ số IOCs vào hệ thống giám sát.

Việc làm sạch thiết bị đòi hỏi sự can thiệp vào firmware, không chỉ đơn thuần là gỡ bỏ các ứng dụng hiển thị. Các tổ chức nên thực hiện kiểm tra định kỳ các kết nối mạng bất thường từ thiết bị di động của nhân viên, đặc biệt là các kết nối đến các tên miền lạ hoặc lưu lượng truy cập TCP không xác định. Tham khảo thêm các tài liệu về MITRE ATT&CK để hiểu rõ hơn về các kỹ thuật xâm nhập firmware và cách thức phòng chống.