Một loại mã độc mới mang tên RatHat đang khiến giới nghiên cứu an ninh mạng chú ý khi được phát hiện có khả năng lợi dụng công nghệ AI để thực hiện các lệnh trên thiết bị Android.
Mã độc này có thể âm thầm thu thập thông tin đăng nhập, mã xác thực và dữ liệu liên quan đến tài chính của người dùng.
Theo các chuyên gia bảo mật, RatHat thường được phát tán dưới dạng những ứng dụng quen thuộc. Người dùng có thể bị dẫn tới các trang web giả mạo giao diện Google Play Store rồi được yêu cầu tải về một ứng dụng tưởng như hợp pháp.
Đáng chú ý, sau khi cài đặt, ứng dụng độc hại yêu cầu quyền hỗ trợ tiếp cận (Accessibility). Đây vốn là tính năng hợp pháp của Android, được thiết kế để hỗ trợ người gặp khó khăn khi thao tác với thiết bị. Tuy nhiên, khi rơi vào tay mã độc, quyền này có thể trở thành công cụ để thực hiện hàng loạt thao tác trên điện thoại.
Từ một quyền hỗ trợ đến quyền kiểm soát sâu
RatHat được cho là lợi dụng quyền hỗ trợ tiếp cận để điều hướng các thiết lập trên thiết bị, kích hoạt tính năng Wireless Debugging rồi cấp cho chính nó quyền truy cập ADB Shell. Đây là chuỗi thao tác có thể giúp mã độc tiến sâu hơn vào hệ thống Android.
Sau đó, RatHat triển khai một tác nhân được hỗ trợ bởi AI để thực hiện các lệnh hệ thống và thu thập thông tin. Mã độc còn sử dụng một ứng dụng proxy nhằm chuyển dữ liệu thu thập được từ thiết bị về máy chủ do kẻ tấn công kiểm soát.
Điểm đáng chú ý là hoạt động của RatHat được phát hiện có liên quan đến nhiều ứng dụng tài chính phổ biến. Các nhà nghiên cứu của Zimperium và Malwarebytes đã ghi nhận 162 ứng dụng bị nhiễm mã độc, trong khi dữ liệu được chuyển về 12 máy chủ do nhóm đứng sau cuộc tấn công vận hành.
Không giống những loại mã độc tống tiền thường khiến người dùng nhanh chóng nhận ra thiết bị gặp vấn đề, RatHat có xu hướng hoạt động âm thầm trong nền. Điều này khiến nạn nhân có thể không nhận biết điện thoại đã bị xâm nhập cho tới khi dữ liệu quan trọng bị thu thập.
Những dữ liệu nào có thể bị đánh cắp?
Theo các chuyên gia bảo mật, RatHat có khả năng ghi lại những nội dung xuất hiện trên màn hình điện thoại. Đây có thể là nguồn dữ liệu quan trọng nếu người dùng đang đăng nhập tài khoản ngân hàng, ứng dụng tài chính hoặc các dịch vụ trực tuyến.
Các thông tin có nguy cơ bị thu thập gồm tên đăng nhập, mật khẩu và mã xác thực hai yếu tố. Mã độc còn có khả năng ghi nhận thao tác chạm trên màn hình, qua đó hỗ trợ xác định mã PIN hoặc hình thức mở khóa bằng hình vẽ.
Tin nhắn SMS cũng nằm trong phạm vi dữ liệu mà RatHat có thể tiếp cận. Điều này đáng chú ý bởi nhiều dịch vụ vẫn sử dụng SMS để gửi mã xác thực cho người dùng.
Một điểm khác khiến việc xử lý RatHat trở nên phức tạp là khả năng giả dạng các ứng dụng khác và thay đổi hành vi với sự hỗ trợ của hệ thống AI. Vì vậy, việc phát hiện hoặc gỡ bỏ ứng dụng ban đầu chưa chắc đã loại bỏ toàn bộ thành phần độc hại khỏi thiết bị.
Các chuyên gia được Báo Nhân Dân dẫn lại cho rằng trong trường hợp thiết bị đã bị nhiễm RatHat, chỉ xóa ứng dụng ban đầu có thể chưa đủ. Người dùng có thể phải khôi phục cài đặt gốc để loại bỏ những tệp ẩn mà mã độc đã tạo ra.
Để hạn chế nguy cơ, người dùng Android được khuyến cáo không mở các liên kết đáng ngờ được gửi qua SMS hoặc email, đặc biệt khi những liên kết này yêu cầu tải và cài đặt ứng dụng. Khi cần cài đặt phần mềm mới, người dùng nên kiểm tra kỹ nguồn phát hành và ưu tiên tải ứng dụng từ Google Play chính thức.
Theo CNET, Zimperium và Malwarebytes
Huỳnh Duy
