Khi Malware biết hóa trang: Konfety trở lại và nguy hại hơn xưa

Hãy tưởng tượng, bạn đang mua sắm tại một cửa hàng quen thuộc. Bạn nhận ra logo, biển hiệu, thậm chí cả nhân viên bán hàng đều giống hệt như mọi khi, nhưng lại không biết là toàn bộ cửa hàng đó là ngụy trang tinh vi, đằng sau những chiếc kệ hàng quen thuộc là một tổ chức tội phạm đang rình rập. Đó chính xác là điều đang xảy ra với phiên bản mới của Malware Konfety - một mối đe dọa đã học cách "hóa trang" hoàn hảo.

Các thủ đoạn của hacker ngày càng tinh vi, biến hóa

Màn ngụy trang hoàn hảo

Bí quyết đầu tiên của Konfety nằm ở việc "làm giả giấy tờ" một cách khôn ngoan. Trong cấu trúc file APK (về bản chất là file ZIP), mỗi file đều có một "thẻ căn cước" gọi là General Purpose Bit Flag. Konfety đã học cách làm giả thẻ này bằng cách đặt bit 0 thành 1, tạo ấn tượng rằng file đã được mã hóa, trong thực tế thì không. Kết quả? Các công cụ phân tích sẽ bị "choáng váng", crash hoặc tưởng rằng file bị hỏng không đọc được.

Nhưng đó chỉ là khởi đầu. Konfety còn sử dụng chiêu trò "song sinh ma quỷ" (dual-app deception) cực kỳ nguy hiểm. Hãy nghĩ về nó như một cặp anh em song sinh: một đứa ngoan ngoãn xuất hiện trên các cửa hàng ứng dụng chính thức, còn đứa kia - phiên bản ác độc - lại lẩn khuất ở những nơi khác. Khi đã xâm nhập vào thiết bị, Konfety thể hiện khả năng trốn chạy chuyên nghiệp.

Ẩn mình hoàn toàn: Icon ứng dụng sẽ biến mất khỏi màn hình, như thể nó chưa bao giờ tồn tại.

Phân biệt địa lý: Sử dụng geofencing để tránh "mặt" những nhà phân tích và nghiên cứu bảo mật.

Ngụy trang hoàn hảo: Giả mạo cả phương thức nén file để làm rối loạn quá trình phân tích.

Mục tiêu thực sự: Biến điện thoại thành công cụ lừa đảo

Sau khi "an cư lạc nghiệp" thành công, Konfety bắt đầu thực hiện nhiệm vụ thực sự của mình thông qua CaramelAds SDK. Nó không chỉ phá hoại, mà còn là một "nhân viên marketing" tội phạm cực kỳ chuyên nghiệp:

Chuyển hướng lưu lượng: Đưa người dùng đến các trang web độc hại mà họ không hề muốn truy cập.

Ép buộc cài đặt: Liên tục thúc giục người dùng cài đặt các ứng dụng đáng ngờ khác.

Spam thông báo: Biến trình duyệt thành một cỗ máy thông báo khó chịu không ngừng nghỉ.

Cảnh báo từ chuyên gia

Các nhà nghiên cứu cảnh báo: "Những kẻ đứng sau Konfety có khả năng thích nghi cực cao. Chúng liên tục thay đổi mạng lưới quảng cáo mục tiêu và cập nhật phương pháp để tránh bị phát hiện. Phiên bản mới nhất cho thấy sự tinh vi của chúng khi cố ý can thiệp vào cấu trúc ZIP của APK".

Đây là một chiến dịch tấn công có hệ thống, được thiết kế để vượt qua các biện pháp bảo mật và làm phức tạp hóa nỗ lực phân tích của các chuyên gia bảo mật.

Làm thế nào để tự bảo vệ mình?

Trước mối đe dọa ngày càng tinh vi này, người dùng cần tuân thủ một số lưu ý thói quen để "sinh tồn trên cõi mạng":

Chỉ tải ứng dụng từ các cửa hàng chính thức như Google Play Store; kiểm tra kỹ lưỡng trước khi cài đặt bất kỳ ứng dụng nào; cảnh giác với các thông báo quảng cáo đột xuất; cập nhật thường xuyên hệ điều hành và phần mềm bảo mật; không click vào các liên kết đáng ngờ hoặc cài đặt ứng dụng từ nguồn không xác định.

Konfety đã chứng minh rằng trong thế giới số, kẻ thù có thể xuất hiện dưới vỏ bọc của những thứ tưởng chừng vô hại nhất. Sự cảnh giác và kiến thức là vũ khí tốt nhất để chống lại những mối đe dọa ngày càng tinh vi này.

Bùi Tú