Tìm hiểu về FakeCall – mã độc sử dụng kỹ thuật Mishing nhắm vào thiết bị di động

Nhóm nghiên cứu bảo mật của zLabs đã theo dõi sự phát triển một biến thể mới của mã độc FakeCall. Đây là một hình thức Vishing (voice phishing), trong đó kẻ tấn công sử dụng cuộc gọi giả mạo hoặc tin nhắn thoại để lừa nạn nhân cung cấp thông tin nhạy cảm như thông tin đăng nhập, số thẻ tín dụng hoặc chi tiết tài khoản ngân hàng.

1. Các hình thức “Mishing” trong FakeCall

Mishing là thuật ngữ bao hàm các kỹ thuật lừa đảo nhắm mục tiêu vào thiết bị di động, lợi dụng các đặc điểm của các thiết bị này như cuộc gọi, nhắn tin và camera. FakeCall bao gồm các hình thức mishing sau:

1. Vishing (voice phishing): Kẻ tấn công sử dụng cuộc gọi giả mạo để lừa nạn nhân tiết lộ thông tin nhạy cảm hoặc thực hiện các hành động bất thường.
2. Smishing (SMS phishing): Kẻ tấn công phát tán những tin nhắn SMS lừa đảo nhằm dụ dỗ nạn nhân nhấp vào liên kết độc hại hoặc chia sẻ thông tin nhạy cảm.
3. Quishing (QR code phishing): Lợi dụng mã QR độc hại để tấn công lừa đảo.
4. Email-based mobile phishing: Kẻ tấn công tạo ra những email được thiết kế đặc biệt để thực hiện lừa đảo khi truy cập thông qua ứng dụng email trên di động.

Đặc biệt, FakeCall là có cơ chế tấn công Vishing cực kỳ tinh vi, lợi dụng mã độc để kiểm soát gần như hoàn toàn thiết bị di động, bao gồm cả việc chặn các cuộc gọi đến và đi. Điều này dẫn đến việc nạn nhân sẽ bị chuyển hướng cuộc gọi đến các số điện thoại độc hại do kẻ tấn công kiểm soát trong khi giao diện trên điện thoại nạn nhân vẫn hiện số điện thoại cuộc gọi bình thường.

2. Cách thức hoạt động của FakeCall

Cuộc tấn công này bắt đầu khi nạn nhân tải xuống một tệp APK vào thiết bị Android. Tệp này được coi là một dropper và nhiệm vụ chính của nó là cài đặt các payload độc hại (FakeCall) vào thiết bị của nạn nhân.

Mã độc FakeCall được thiết kế để giao tiếp với Command and Control (C2) server, cho phép nó nhận lệnh để thực hiện các hành động khác nhau nhằm lừa đảo người dùng.

Hình 1: Attack chain của FakeCall

Khi được khởi chạy, ứng dụng sẽ yêu cầu người dùng đặt nó làm trình xử lý cuộc gọi mặc định. Sau khi được thiết lập làm trình xử lý cuộc gọi mặc định, ứng dụng sẽ có khả năng quản lý tất cả các cuộc gọi đến và đi. Kết hợp với OutgoingCallReceiver, ứng dụng bắt lấy intent android.intent.action.NEW_OUTGOING_CALL và trích xuất số điện thoại bằng cách sử dụng hàm getResultData(). Ứng dụng sau đó hiển thị một giao diện giả mạo ứng dụng com.android.dialer gốc, nhưng được các tích hợp chức năng độc hại.

Hình 2: Giao diện giả mạo của FakeCall trên máy nạn nhân

3. Các tính năng của biến thể FakeCall mới

Bluetooth Receiver và Screen Receiver

Biến thể mới của FakeCall bổ sung thêm các tính năng như Bluetooth Receiver (giám sát trạng thái Bluetooth) và Screen Receiver (giám sát trạng thái màn hình bật/tắt). Dù chưa có bằng chứng về hành vi độc hại từ các tính năng này, nhưng chúng có thể đóng vai trò như các chức năng mới trong các phiên bản tiếp theo.

Accessibility Service

Một tính năng nổi bật khác là Accessibility Service cho phép mã độc điều khiển giao diện người dùng và ghi lại các sự kiện trên màn hình. Các tính năng điển hình bao gồm:

• Monitoring Dialer Activity: Giám sát hoạt động quay số, cho phép mã độc nhận diện khi người dùng thực hiện cuộc gọi.
• Automatic Permission Granting: Tự động cấp quyền mà không cần sự cho phép của người dùng.
• Remote Control: Điều khiển từ xa toàn bộ giao diện thiết bị, cho phép kẻ tấn công giả lập các tương tác của người dùng.

Phone Listener Service

Tính năng này hoạt động như một kênh giao tiếp trung gian giữa phần mềm độc hại và máy chủ Command and Control (C2), cho phép kẻ tấn công đưa ra lệnh và thực hiện hành động trên thiết bị bị nhiễm. Một số câu lệnh được liệt kê ở bên dưới:

Hơn thế nữa, biến thể mới này cũng có thêm các lệnh nâng cao hơn nhằm phục vụ cho mục đích kiểm soát , tương tác với thiết bị của nạn nhân:

4. Mức độ ảnh hưởng

Chức năng chính của mã độc này là giám sát các cuộc gọi đi và truyền thông tin này tới máy chủ Command and Control (C2) bên ngoài. Tuy nhiên, mức độ ảnh hưởng của nó là rất đáng kể:

• Identity Fraud (Lừa đảo danh tính): Bằng cách lừa người dùng đặt nó trình xử lý cuộc gọi mặc định, ứng dụng có thể thao túng việc quay số bằng cách thay thế số hợp pháp bằng số giả mạo thông qua phương thức setResultData(), đánh lừa người dùng để thực hiện các cuộc gọi lừa đảo.
• Hijack Calls (Chiếm đoạt cuộc gọi): Mã độc có thể chặn và kiểm soát các cuộc gọi đến và đi, thậm chí là tạo cuộc gọi giả. Người dùng có thể không nhận thức được điều này cho đến khi họ gỡ bỏ ứng dụng hoặc khởi động lại thiết bị.

Ví dụ một kịch bản tấn công đó là:

• Khi nạn nhân cố gắng liên hệ với tổ chức tài chính của họ, mã độc sẽ chuyển hướng cuộc gọi này đến một số giả mạo do kẻ tấn công kiểm soát.
• Ứng dụng độc hại này sẽ đánh lừa người dùng bằng cách hiển thị một giao diện cuộc gọi giả mạo giống y hệt giao diện gọi điện của Android, và hiển thị trên máy nạn nhân số điện thoại thật của ngân hàng.
• Nạn nhân sẽ không nhận thức được sự giả mạo này vì kẻ tấn công cũng bắt chước lại các hành vi giống như một ngân hàng thực sự để lừa nạn nhân.
• Cuối cùng, kẻ tấn công lừa nạn nhân tiết lộ những thông tin nhạy cảm và sử dụng nó để truy cập trái phép vào các tài khoản tài của nạn nhân.

5. Khuyến nghị

Phía FPT Threat Intelligence khuyến nghị tổ chức và cá nhân một số cách để phòng chống mã độc này:

• Giáo dục và nâng cao nhận thức cho người dùng: Tăng cường nhận thức về các mối đe dọa Vishing, Smishing và Quishing.
• Không tải xuống ứng dụng từ nguồn không rõ ràng: Khuyến nghị người dùng chỉ nên cài đặt ứng dụng từ Google Play hoặc các nguồn đáng tin cậy.
• Cẩn trọng với quyền ứng dụng: Trước khi cấp quyền cho ứng dụng, người dùng nên kiểm tra xem yêu cầu đó có hợp lý với chức năng của ứng dụng không.
• Sử dụng phần mềm bảo mật di động: Cài đặt ứng dụng bảo mật di động có chức năng chống mã độc.
• Cập nhật phần mềm và hệ điều hành thường xuyên: Google và các nhà sản xuất điện thoại thường xuyên phát hành các bản vá bảo mật. Cập nhật thiết bị giúp người dùng tránh được các lỗ hổng bảo mật mà mã độc có thể khai thác.
• Giới hạn quyền hạn ứng dụng: Sử dụng tính năng hạn chế quyền truy cập theo nhu cầu, cho phép người dùng chỉ cấp quyền khi ứng dụng thực sự cần và tạm ngưng khi không cần thiết.
• Sử dụng xác thực đa yếu tố (MFA): Áp dụng xác thực đa yếu tố cho các tài khoản ngân hàng và tài khoản quan trọng.
• Theo dõi các biến thể mã độc mới: Sử dụng các dịch vụ Threat Intelligence để nhận thông báo mới nhất về các mã độc, chiến dịch độc hại.

6. IOCs liên quan tới mã độc FakeCall

Hashes

Package name

IPs

Domains

7. Tham khảo

1. Mishing in Motion: Uncovering the Evolving Functionality of FakeCall Malware
2. FakeCall Android Trojan Evolves with New Evasion Tactics and Expanded Espionage Capabilities