Hãng bảo mật Trend Micro vừa phát hiện hơn 800 ứng dụng được nhúng với phần mềm độc hại Xavier Android đã được tải xuống hàng triệu lần từ kho Google Play Store.
Đây là một phần mềm độc hại của Trojan nhằm đánh cắp thông tin của người dùng một cách thầm lặng. Tác động của Xavier đã phổ biến rộng rãi và dựa trên dữ liệu từ dịch vụ Mobile App Reputation Service của Trend Micro, hãng phần mềm này đã phát hiện hơn 800 ứng dụng nhúng với phần mềm độc hại của Xavier Android đã được tải xuống hàng triệu lần từ Google Play và cung cấp các giải pháp bảo mật di động đa lớp để bảo vệ người dùng khỏi mối đe dọa này. Các ứng dụng này bao gồm các tiện ích như chỉnh sửa ảnh, chuyển đổi hình nền và nhạc chuông.
Trend Micro phát hiện ra rằng Xavier có một số tính năng đáng chú ý khác biệt với các phần mềm độc hại khác. Trước tiên, nó đi kèm với một hành vi nguy hiểm nhúng và tải mã từ máy chủ từ xa, sau đó tải và thực hiện lệnh. Thứ hai, nó đạt tới độ bảo mật cao nhằm tự bảo vệ mình khỏi bị phát hiện thông qua việc sử dụng các phương pháp như mã hóa String, mã hóa dữ liệu Internet, và phát hiện giả lập.
Khả năng rò rỉ của Xavier rất khó phát hiện do cơ chế tự bảo vệ cho phép nó thoát được cả phân tích tĩnh và động. Xavier cũng có khả năng tải về và thực hiện các mã độc hại khác, thậm chí nguy hiểm hơn cả phần mềm độc hại.
Hành vi của Xavier phụ thuộc vào đường dẫn tải xuống và mã URL được cấu hình bởi máy chủ từ xa. Để tránh bị phát hiện, Xavier mã hóa liên tục tất cả các chuỗi, làm cho việc phát hiện tĩnh và phân tích thủ công khó khăn hơn. Nó thực hiện hành động thông qua truyền qua mạng HTTPS để ngăn chặn lưu lượng truy cập và không bị phát hiện.
“Việc cập nhật và vá các thiết bị di động sẽ giúp giữ cho phần mềm độc hại tránh xa các lỗ hổng. Ngoài ra, người dùng và doanh nghiệp cũng có thể xem xét các giải pháp bảo mật di động đa lớp như Trend Micro Mobile Security dành cho Android cũng có trên Google Play. Ngoài ra, còn có Trend Micro Mobile Security For Enterprise cung cấp khả năng quản lý thiết bị, tuân thủ và quản lý ứng dụng, bảo vệ dữ liệu và cung cấp cấu hình, cũng như bảo vệ các thiết bị khỏi các cuộc tấn công sử dụng lỗ hổng, ngăn chặn truy cập trái phép vào ứng dụng cũng như phát hiện và ngăn chặn các trang web độc hại và gian lận.” – Nilesh Jain, Giám đốc Quốc gia (Ấn Độ và SAARC) của Trend Micro cho biết.
Ông nói thêm: “Cách dễ nhất để tránh một phần mềm độc hại khôn ngoan như Xavier là không tải xuống và cài đặt các ứng dụng từ nguồn không rõ, ngay cả khi chúng đến từ các cửa hàng ứng dụng hợp pháp như Google Play. Trend Micro cũng gợi ý người dùng đọc các nhận xét từ người dùng khác đã tải xuống các ứng dụng. Những người dùng khác có thể là một nguồn thông tin chi tiết, đặc biệt là nếu họ có thể chỉ ra liệu một ứng dụng cụ thể có triển khai hành vi đáng ngờ hay không.”
Số lượng tải xuống Xavier lớn nhất đến từ các quốc gia ở Đông Nam Á như Việt Nam, Philippines và Indonesia, còn số lượt tải xuống ít hơn thì từ Hoa Kỳ và châu Âu. Xavier là thành viên của chủng AdDown đã tồn tại trong hơn hai năm. Phiên bản đầu tiên, được gọi là joymobile, xuất hiện vào đầu năm 2015. Phiên bản này đã có khả năng thực hiện mã từ xa. Phiên bản được gọi là Xavier xuất hiện vào tháng 9 năm 2016 với một mã được sắp xếp hợp lý hơn. Phiên bản đầu tiên của Xavier đã gỡ cài đặt và kiểm tra rootkit APK (Android Package Kit), nhưng thêm mã hóa dữ liệu với thuật toán TEA.