Lại phát hiện phần mềm gián điệp được tích hợp sẵn trong những chiếc Android giá rẻ

Lại một lần nữa tin xấu lại đến với người dùng Android.

Một số smartphone và tablet giá rẻ của Android được xuất xưởng kèm với các firmware độc hại, có thể ngấm ngầm thu thập dữ liệu về thiết bị nhiễm mã độc, hiển thị quảng cáo trên các ứng dụng đang chạy và tải xuống các file APK không mong muốn vào thiết bị của nạn nhân.

Các nhà nghiên cứu bảo mật từ công ty chống virus của Nga, Dr.Web đã khám phá ra hai loại Trojan Downloader, được tích hợp trong firmware của một số lượng lớn thiết bị Android chạy trên chip MediaTek, hiện đang được tiếp thị tại Nga.

 

Các Trojan này, được phát hiện với tên Android.Downloader.473.origin và Android.Sprovider.7, có khả năng thu thập dữ liệu từ các thiết bị bị nhiễm, liên lạc với các máy chủ ra lệnh và điều khiển của chúng, tự động cập nhật, ngấm ngầm tải xuống và cài đặt các ứng dụng khác dựa trên các câu lệnh nó nhận được từ máy chủ, và khởi chạy mỗi khi thiết bị khởi động lại hoặc bật lên.

Danh sách các thiết bị Android bị ảnh hưởng bởi firmware độc hại này bao gồm:

Lenovo A319, Lenovo A6000, MegaFon Login 4 LTE, Bravis NB85, Bravis NB105, Irbis TZ85, Irbis TX97, Irbis TZ43, Irbis tz56, Pixus Touch 7.85 3G, SUPRA M72KG, SUPRA M729G, SUPRA V2N10, Itell K3300, Digma Plane 9.7 3G, General Satellite GS700, Nomi C07000, Optima 10.1 3G TT1040MG, Marshal ME-711, 7 MID, Explay Imperium 8, Perfeo 9032_3G, Prestigio MultiPad Wize 3021 3G, Prestigio MultiPad PMT5001 3G, Ritmix RMD-1121, Oysters T72HM 3G, Irbis tz70, and Jeka JK103.

“Người ta biết rằng, những tên tội phạm mạng có thể tạo ra thu nhập cho mình bằng cách tăng lượng tải xuống các ứng dụng và phân phối các phần mềm quảng cáo.” Các nhà nghiên cứu chỉ ra. “Vì vậy, cả hai loại Trojan này đã được các nhà gia công bất lương, những người tham gia vào việc tạo ra các file image hệ thống trên thiết bị, tích hợp với firmware Android để kiếm tiền từ người dùng.”

 

Trojan Android.Sprovider.7 đã được phát hiện trong firmware của những chiếc smartphone Lenovo A319 và Lenovo A6000 (Chiếc A319 hiện đã dừng bán ở Việt Nam trong khi chiếc A6000 vẫn đang được bày bán). Trojan này có nhiều khả năng khác nhau, bao gồm:

- Tải xuống, cài đặt và chạy các file APK.

- Mở các đường link cụ thể trong trình duyệt.

- Thực hiện cuộc gọi đến những số nhất định bằng cách sử dụng ứng dụng tiêu chuẩn trong hệ thống.

- Chạy ứng dụng cuộc gọi tiêu chuẩn trong hệ thống, trong đó một số điện thoại cụ thể đã được quay số.

- Hiển thị quảng cáo bên trên các ứng dụng đang chạy.

- Hiển thị quảng cáo trên thanh status.

- Tạo ra một shortcut trên màn hình chính.

- Cập nhật module độc hại.

Chiếc MegaFon Login.

Mặt khác, Android.Downloader.473.origin cũng được tìm thấy trong các thiết bị còn lại, có thể tải xuống và cài đặt các chương trình độc hại và các ứng dụng không mong muốn, bao gồm một chương trình quảng cáo có tên H5GameCenter.

Ứng dụng H5GameCenter hiển thị một hình ảnh hộp nhỏ bên trên các ứng dụng đang chạy, và không có lựa chọn nào để vô hiệu hóa nó. Ngay cả khi người dùng bị lây nhiễm xóa ứng dụng này đi, trojan trong firmware sẽ tự động cài đặt lại nó.

Tháng trước, các nhà nghiên cứu bảo mật từ Kryptowire đã phát hiện backdoor ẩn trong firmware của nhiều điện thoại Android giá rẻ bán ở Mỹ, cũng có thể âm thầm thu thập dữ liệu về người sở hữu điện thoại và gửi nó tới máy chủ Trung Quốc mà không cho người dùng biết.

Phần mềm backdoor trên firmware đó được công ty Trung Quốc có tên Shanghai AdUps Technology phát triển, và được các nhà nghiên cứu cho biết phần mềm này đã tiến hành cập nhật cho hơn 700 triệu thiết bị trên toàn cầu.

Một nghiên cứu riêng biệt khác vào tháng trước của hãng đánh giá bảo mật BitSight đã khám phá ra một lỗ hổng trong firmware Ragentek, được sử dụng trên một số thiết bị Android giá rẻ, có thể cho phép kẻ tấn công thực thi từ xa đoạn code độc hại với quyền root ưu tiên, và hoàn toàn chiếm được quyền kiểm soát thiết bị.

Theo TheHackerNews

Nguồn: Genk.vn