Vì sao lừa đảo biết chính xác số tài khoản ngân hàng, mật khẩu, mã PIN của người dùng?

Theo Malwarebytes Mobile Security, các nhà nghiên cứu đã phân tích một loại mã độc Android mới có tên Rokarolla, một trojan ngân hàng có khả năng chiếm quyền kiểm soát thiết bị, đánh cắp thông tin đăng nhập ngân hàng và tài khoản của hơn 200 ứng dụng, đồng thời âm thầm theo dõi phần lớn hoạt động của người dùng trên điện thoại.

Trên thiết bị bị nhiễm, Rokarolla đánh cắp thông tin đăng nhập ngân hàng và tài khoản tiền mã hóa. Nó cũng sử dụng màn hình khóa giả để thu thập mã PIN, hình vẽ mở khóa hoặc mật khẩu của người dùng.

Khi người dùng mở một ứng dụng ngân hàng hoặc tiền mã hóa nằm trong danh sách mục tiêu của Rokarolla, mã độc sẽ tải xuống và hiển thị một trang đăng nhập giả giống hệt giao diện của ứng dụng chính thức. Mọi thông tin người dùng nhập vào trang giả này, bao gồm tên đăng nhập, mật khẩu và số thẻ, đều được truyền tới kẻ tấn công.

Ngoài ra, Rokarolla lợi dụng các tính năng Trợ năng (Accessibility) của Android để theo dõi hoạt động trên toàn bộ thiết bị. Mã độc có thể nhận diện màn hình WhatsApp bằng cách tìm kiếm những nhãn quen thuộc như “Chats” (Trò chuyện) và “Calls” (Cuộc gọi), trích xuất thông tin liên hệ, đọc tin nhắn SMS và gửi các tin nhắn mới.

Những khả năng này có thể cho phép Rokarolla chặn hoặc thu thập mật khẩu dùng một lần (OTP) và mã xác thực hai yếu tố (2FA).

Rokarolla cũng có thể kiểm soát tin nhắn SMS và các cuộc gọi điện thoại, qua đó chặn các cảnh báo bảo mật và che giấu những dấu hiệu cho thấy tài khoản hoặc thiết bị đang bị gian lận.

Mã độc còn có khả năng ghi lại mọi nội dung người dùng nhập vào và mọi thứ hiển thị trên màn hình. Nếu người dùng sao chép và dán địa chỉ ví tiền mã hóa, phần mềm độc hại có thể âm thầm thay thế địa chỉ đó bằng một địa chỉ ví thuộc về kẻ tấn công.

Một số tính năng khác giúp Rokarolla duy trì trạng thái ẩn mình, trong đó có khả năng ẩn biểu tượng ứng dụng, chuyển thiết bị sang chế độ im lặng, vô hiệu hóa Google Play Protect và ngăn màn hình chuyển sang trạng thái ngủ.

Rokarolla phát tán bằng cách nào?

Rokarolla được phát tán thông qua các website bất hợp pháp, nơi mã độc được cung cấp dưới dạng những phiên bản giả mạo của các ứng dụng phổ biến như TikTok hoặc Chrome.

Thay vì chuyển người dùng tới Google Play Store chính thức, các website độc hại này dụ họ tải trực tiếp ứng dụng về thiết bị. Đây là hình thức được gọi là “cài đặt ngoài nguồn chính thức” (sideloading).

Sau khi được cài đặt, ứng dụng giả mạo đóng giả Google Play Protect, sau đó âm thầm tải xuống và cài đặt phần mềm độc hại thực hiện cuộc tấn công.

Để có được những quyền cần thiết, ứng dụng giả mạo yêu cầu hàng loạt quyền truy cập mở rộng, bao gồm quyền sử dụng các tính năng Trợ năng, quyền đọc SMS và quyền truy cập thông báo.

Do những yêu cầu này có thể trông giống các yêu cầu cấp quyền hợp pháp, nhiều người dùng có thể chấp thuận mà không nhận ra những rủi ro đi kèm.

Làm thế nào để bảo vệ bản thân?

Để tránh những trojan ngân hàng như Rokarolla, người dùng nên tuân thủ một số nguyên tắc sau:

• Không tin tưởng các ứng dụng tự nhận là Google Play Protect hoặc một thành phần hệ thống khác. Người dùng không bao giờ phải tự cài đặt thủ công những thành phần này.
• Sử dụng phần mềm bảo mật chống mã độc được cập nhật thường xuyên, có khả năng bảo vệ theo thời gian thực và bảo vệ khi truy cập web trên thiết bị.
• Không cài đặt ứng dụng bên ngoài Google Play Store. Mặc dù đôi khi phần mềm độc hại vẫn có thể lọt vào Google Play Store, nguy cơ ở các nguồn khác cao hơn đáng kể.
• Từ chối các quyền truy cập mở rộng đối với những ứng dụng được tải xuống từ đường link hoặc website, đặc biệt nếu ứng dụng yêu cầu quyền sử dụng tính năng Trợ năng, quyền gửi SMS hoặc khả năng quản lý cuộc gọi, ngay cả khi những quyền này có vẻ phù hợp với mục đích mà ứng dụng công bố.
• Trên thực tế, mọi yêu cầu truy cập các tính năng Trợ năng đều cần được xử lý thận trọng. Nếu một ứng dụng không phải là công cụ hỗ trợ người khuyết tật hoặc không có lý do rõ ràng để sử dụng tính năng Trợ năng nhưng lại yêu cầu quyền này, người dùng nên từ chối và cân nhắc liệu nguồn cung cấp ứng dụng có thực sự đáng tin cậy hay không.
• Kiểm tra kỹ màn hình đăng nhập của các ứng dụng ngân hàng và tiền mã hóa. Nếu có bất kỳ điều gì trông bất thường hoặc người dùng liên tục nhận được nhiều yêu cầu đăng nhập, hãy đóng ứng dụng và mở lại từ biểu tượng chính thức của ứng dụng.