Gần mười triệu người dùng Android đã bị nhiễm ứng dụng quét mã vạch phổ biến "Barcode Scanner" sau khi ứng dụng hợp pháp này bị biến chất thành phần mềm độc hại. Hành vi độc hại của phần mềm đã bị các nhà nghiên cứu tại công ty bảo mật Malwarebytes phát hiện và báo cáo cho Google, dẫn đến việc ứng dụng bị xóa khỏi cửa hàng ứng dụng.
Vào cuối tháng 12 năm ngoái, các nhà nghiên cứu bắt đầu nhận được những cuộc gọi cầu cứu từ người dùng thiết bị Android. Công ty cho biết những người dùng này thấy quảng cáo tự nhiên xuất hiện trên trình duyệt mặc định của họ. Điều kỳ lạ nhất về hiện tượng quảng cáo tràn lan này là không ai trong số họ cài đặt bất kỳ ứng dụng nào gần đây. Tuy nhiên, tất cả các ứng dụng họ đã cài đặt kể từ đó đều đến trực tiếp từ Google Play.
Quảng cáo bật lên tiếp tục cho đến khi một trong những nạn nhân của phần mềm độc hại phát hiện ra rằng quảng cáo đến từ một ứng dụng được cài đặt từ lâu có tên là Máy quét mã vạch.
Các nhà nghiên cứu đã nhanh chóng bổ sung tính năng phát hiện này sau khi một người dùng báo cáo và Google đã gỡ bỏ ứng dụng khỏi cửa hàng . Nhiều người dùng đã sử dụng ứng dụng này trên thiết bị di động của họ trong một thời gian dài, bao gồm cả một người dùng đã cài đặt nó trong nhiều năm.
Sau bản cập nhật được phát hành vào tháng 12 , ứng dụng Barcode Scanner từ chỗ là một trình đọc mã QR và tạo mã vạch, một tiện ích hữu ích cho thiết bị di động, đã biến thành phần mềm độc hại hoàn toàn. Mặc dù Google đã gỡ bỏ ứng dụng này, nhưng công ty bảo mật tin rằng bản cập nhật đã được thực hiện vào ngày 4 tháng 12 năm 2020, làm thay đổi chức năng của ứng dụng, khiến nó gửi quảng cáo mà không có cảnh báo.
Trong khi nhiều nhà phát triển kết hợp quảng cáo vào phần mềm của họ để cung cấp các phiên bản miễn phí và các ứng dụng trả phí chỉ đơn giản là không hiển thị quảng cáo, trong những năm gần đây, sự thay đổi đã xảy ra chỉ sau một đêm. Các ứng dụng tài nguyên hữu ích cho phần mềm quảng cáo đang ngày càng trở nên phổ biến hơn.
“SDK quảng cáo có thể đến từ các công ty bên thứ ba khác nhau và là nguồn thu nhập cho nhà phát triển ứng dụng. Đó là một tình huống đôi bên cùng có lợi, ”Malwarebytes lưu ý. “Người dùng nhận được ứng dụng miễn phí, trong khi nhà phát triển ứng dụng và nhà phát triển SDK quảng cáo được trả tiền. Nhưng thỉnh thoảng, một công ty SDK quảng cáo có thể thay đổi điều gì đó và quảng cáo có thể bắt đầu trở nên quá khích.
Đôi khi, các bên thứ ba có thể tham gia vào các hoạt động quảng cáo "hung hăng", nhưng trường hợp của đầu đọc mã vạch này thì không phải vậy. Thay vào đó, các nhà nghiên cứu cho biết mã độc đã được đưa vào bản cập nhật tháng 12 và được giấu kín để tránh bị phát hiện. Bản cập nhật cũng được ký bằng cùng một chứng chỉ bảo mật được sử dụng trong các phiên bản trước của ứng dụng Android.
“Không, trong trường hợp của Máy quét mã vạch, mã độc hại đã được thêm vào mà không có trong các phiên bản trước của ứng dụng. Ngoài ra, mã được thêm vào đã sử dụng tính năng làm xáo trộn mạnh để tránh bị phát hiện. Để xác minh rằng nó đến từ cùng một nhà phát triển ứng dụng, chúng tôi xác nhận rằng nó đã được ký bằng chứng chỉ số giống như các phiên bản sạch trước đó ”.
Việc Google gỡ bỏ ứng dụng khỏi Google Play không có nghĩa là ứng dụng sẽ biến mất khỏi các thiết bị bị ảnh hưởng . Đây chính là vấn đề mà người dùng đã cài đặt ứng dụng Barcode Scanner gặp phải. Để giải quyết vấn đề này, người dùng phải tự tay gỡ cài đặt ứng dụng độc hại này.
Các nhà nghiên cứu không thể xác định chính xác ứng dụng đọc mã vạch đã là một ứng dụng hợp pháp trên cửa hàng Google Play trong bao lâu trước khi nó trở nên độc hại.
“Dựa trên số lượng lớn lượt cài đặt và phản hồi của người dùng, chúng tôi tin rằng nó đã tồn tại trong nhiều năm. Thật đáng sợ khi chỉ với một bản cập nhật, một ứng dụng có thể trở nên độc hại trong khi vẫn nằm trong tầm kiểm soát của Google Play Protect. Tôi khó hiểu rằng một nhà phát triển ứng dụng với một ứng dụng phổ biến có thể biến nó thành phần mềm độc hại. Có phải kế hoạch ngay từ đầu là để một ứng dụng không hoạt động, chờ đến khi trở nên phổ biến không? Tôi đoán chúng ta sẽ không bao giờ biết được, ”báo cáo của các nhà điều tra cho biết.
Nguồn: https://blog.malwarebytes.com/