Ngành công nghiệp phần mềm độc hại Android khổng lồ của Nga tiết lộ

Công ty bảo mật di động Lookout đã phát hành một báo cáo ngày hôm nay tại DefCon cho thấy quy mô, phạm vi và sự phức tạp đáng kinh ngạc của các hoạt động phần mềm độc hại Android ở Nga. Báo cáo cho thấy phần lớn phần mềm độc hại Nga này không đến từ các cá nhân đơn độc trong tầng hầm, mà là các máy sản xuất phần mềm độc hại được bôi dầu tốt.

Nói chuyện với SecurityWatch, nhà nghiên cứu và kỹ sư phản ứng cao cấp Ryan Smith giải thích rằng sự quan tâm của Lookout đã được khơi gợi khi họ nhận thấy phần mềm độc hại SMS lừa đảo từ Nga chiếm tới 30% tổng số phần mềm độc hại mà công ty đang phát hiện. Trong sáu tháng, công ty đã phát hiện ra một ngành công nghiệp tiểu thủ phát triển xung quanh việc sản xuất và phân phối phần mềm độc hại Android.

Lừa đảo

Lookout phát hiện ra rằng 10 tổ chức chịu trách nhiệm cho khoảng 60 phần trăm phần mềm độc hại SMS của Nga ngoài kia. Chúng được tập trung xung quanh "HQ phần mềm độc hại" thực sự tạo ra các ứng dụng độc hại. Sau khi tải xuống, các ứng dụng này sử dụng mã ngắn SMS gửi hóa đơn cho nạn nhân thông qua nhà mạng không dây của họ. Ở Mỹ, chúng ta thường thấy những thứ này gắn liền với các tổ chức từ thiện như Hội Chữ thập đỏ.

Đây là cách thức hoạt động của trò lừa đảo: Malware HQ tạo ra các ứng dụng độc hại có thể được cấu hình để trông giống như mọi thứ. Họ cũng đăng ký và duy trì các mã ngắn với các nhà mạng không dây. Các chi nhánh hoặc những người làm việc thay mặt cho Malware HQ, tùy chỉnh phần mềm độc hại và tiếp thị nó thông qua các trang web và phương tiện truyền thông xã hội của họ.

Nạn nhân tìm thấy các trang web liên kết hoặc spam phương tiện truyền thông xã hội và tải xuống các ứng dụng độc hại. Khi ở trên thiết bị Android của nạn nhân, phần mềm độc hại sẽ gửi một hoặc nhiều tin nhắn SMS cao cấp mà thường sử dụng cho nạn nhân trong khoảng từ 3 đến 20 đô la.

Bởi vì Malware HQ sở hữu các mã ngắn, họ nhận được tiền từ nhà cung cấp dịch vụ của nạn nhân. Họ cắt giảm và đưa phần còn lại cho các chi nhánh, những người rõ ràng được trả lương như nhân viên bình thường dựa trên hiệu suất của họ. Smith cho biết Lookout đã quan sát một số chi nhánh kiếm được 12.000 USD mỗi tháng trong hơn năm tháng, cho thấy đây là một "doanh nghiệp" sinh lợi và ổn định.

Rất lớn về quy mô và độ phức tạp

Đây là một trò lừa đảo khá đơn giản và có lẽ là cách kiếm tiền trực tiếp nhất với phần mềm độc hại Android. Điều làm cho khám phá của Lookout đáng chú ý là quy mô và tính chất công ty kỳ lạ của các hoạt động.

Ví dụ, Malware HQ đã giúp các chi nhánh dễ dàng kinh ngạc khi tùy chỉnh phần mềm độc hại. Smith nói rằng Malware HQ đã tạo ra một số chủ đề để giúp các chi nhánh dễ dàng tùy chỉnh phần mềm độc hại. "Họ có thể làm cho nó trông giống như Skype, Google Play, bất cứ điều gì để lôi kéo người dùng tải xuống và tin rằng đó là sự thật", Smith nói.

Smith nói rằng các tổ chức HQ phần mềm độc hại cũng đang đẩy mạnh các bản cập nhật và mã mới cứ sau 1-2 tuần "giống như bất kỳ khởi động nhanh nào khác". Nhiều bản cập nhật này được thiết kế đặc biệt để trốn tránh các công ty bảo mật, thậm chí còn đi xa tới mức "mã hóa các phần của chương trình được giải mã trước khi chúng được sử dụng."

Ở phía bên kia của hoạt động, các chi nhánh tham gia rất nhiều vào công việc của họ nhưng cũng hay thay đổi. Smith cho biết, có các diễn đàn và trang web nơi các chi nhánh so sánh hoạt động của các HQ Malware khác nhau. Mặc dù thanh toán đều đặn là một mối quan tâm lớn, về cơ bản, dịch vụ khách hàng, hỗ trợ công nghệ liên kết là rất quan trọng. Nếu các chi nhánh không hài lòng với một Malware HQ cụ thể, họ sẽ chuyển sang một phần mềm khác.

Các HQ Malware cũng cố gắng làm cho các chi nhánh của họ thành công. Smith nói rằng các nhà lãnh đạo vòng sẽ thúc đẩy các chi nhánh bằng giải thưởng tiền mặt cho hiệu suất cao của một số người lớn tới 300.000 USD. Họ thậm chí còn tạo ra các nền tảng quảng cáo cho các chi nhánh để cung cấp thông tin tốt hơn về những trò gian lận nào hoạt động tốt hơn ở khu vực nào.

Lớp vải bạc

Trong khi thật đáng sợ khi thấy tội phạm được thực hiện trên quy mô lớn như vậy, và với tất cả các bẫy của sự bình thường, có một số tin tốt ở đây. Độc giả ở Mỹ có thể yên tâm, vì hầu hết các trò gian lận này sử dụng các mã ngắn cụ thể sẽ không hoạt động bên ngoài Nga và các quốc gia xung quanh.

Quan trọng hơn, Smith giải thích rằng bằng cách làm sáng tỏ toàn bộ mức độ của trò lừa đảo này, họ có thể cung cấp sự bảo vệ tốt hơn. "Bây giờ chúng tôi có thể buộc lại phân phối của họ, " Smith nói. Giờ đây, công ty dường như có thể chặn không chỉ mã Code thường xuyên bị thay đổi mà còn sàng lọc các máy chủ, địa chỉ IP và các điểm đánh dấu khác.

Điều này sẽ không ngăn chặn những kẻ lừa đảo hoàn toàn. Xét cho cùng, nếu họ đủ thông minh để sửa đổi mã của họ thì họ đủ thông minh để biết rằng các công ty bảo mật đang ở bên họ. Tuy nhiên Smith nói rằng đây có thể là một chiến thắng trong thời gian dài: "Để thực hiện những thay đổi họ cần thực hiện, nó sẽ tốn kém cho họ."

Và chúng tôi biết rằng đi sau ví là một cách tuyệt vời để chống lại phần mềm độc hại.

Nhấn vào đây để xem hình ảnh đầy đủ