Điện thoại , Máy tính bảng , Android

Mã độc NoVoice lây nhiễm 2,3 triệu thiết bị Android toàn cầu

Chiến dịch mã độc NoVoice quy mô lớn được phát hiện bởi McAfee Labs đã tấn công hơn 2,3 triệu thiết bị Android thông qua các ứng dụng ngụy trang trên Google Play.

Một chiến dịch phần mềm độc hại trên Android mang tên Operation NoVoice vừa được McAfee Labs công bố. Mã độc này đã lẩn trốn trong các ứng dụng vô hại trên Google Play và chiếm quyền kiểm soát hơn 2,3 triệu thiết bị trên thế giới. Đây là một hệ thống rootkit có khả năng tự phục hồi, không bị xóa bỏ ngay cả khi khôi phục cài đặt gốc.

NoVoice là gì và mức độ nguy hiểm?

NoVoice (lấy tên theo tệp âm thanh R.raw.novioce trong mã nguồn) là phần mềm độc hại đa tầng:

Vượt rào Google Play: Xuất hiện trong hơn 50 ứng dụng khác nhau.
Chiếm quyền Root: Tận dụng 22 lỗ hổng để tấn công nhân hệ thống và trình điều khiển GPU.
Tồn tại vĩnh viễn: Can thiệp phân vùng hệ thống, khiến việc khôi phục cài đặt gốc trở nên vô hiệu.
Tự chữa lành: Tiến trình Watchdog kiểm tra thiết bị mỗi 60 giây để tự động cài đặt lại nếu bị xóa.

Tin tặc ngụy trang mã độc bên trong các công cụ dọn dẹp bộ nhớ, thư viện ảnh và trò chơi giải đố thông qua kỹ thuật Polyglot, giấu mã độc trong tệp hình ảnh PNG.

Mã độc NoVoice đã lây
nhiễm 2,3 triệu thiết bịAndroid

Cách thức tấn công và mục tiêu

Mã độc chạy ngầm khi mở ứng dụng, thực hiện kiểm tra thiết bị ảo để tránh bị phát hiện bởi chuyên gia bảo mật, sau đó kết nối máy chủ C2 nhận các bản exploit riêng biệt cho từng chipset. Mục tiêu lớn nhất của NoVoice là đánh cắp phiên đăng nhập WhatsApp, trích xuất cơ sở dữ liệu mã hóa để sao chép tài khoản của nạn nhân sang máy khác.

Mã độc NoVoice đã lây
nhiễm 2,3 triệu thiết bịAndroid

Cuộc tấn công nhắm vào các thiết bị chạy Android 7 trở xuống hoặc có bản cập nhật bảo mật trước ngày 01/05/2021, ảnh hưởng nặng ở các khu vực như Nigeria, Ethiopia, Algeria, Ấn Độ và Kenya.