Một chiến dịch có tên Midnight Mimosa đang thu hút sự chú ý đến một vấn đề dễ bị bỏ qua khi mua một chiếc điện thoại giá rẻ: chiếc điện thoại có thể đã bị xâm nhập ngay từ khi bạn nhận được. Theo báo cáo từ GBHackers, Midnight Mimosa là một chiến dịch mã độc Android lan rộng, biến những chiếc điện thoại thông minh giá rẻ thành cỗ máy gian lận quảng cáo. Vụ việc này là một ví dụ rõ ràng về cách mã độc Android cài sẵn có thể xây dựng một botnet proxy từ thiết bị của những người dùng bình thường mà họ không hề hay biết.

Bản tóm tắt công khai khá ngắn gọn, vì vậy bài viết này chỉ tập trung vào những gì đã được báo cáo và giải thích cơ chế tổng quát bằng các thuật ngữ chung. Ở những chỗ thông tin chi tiết về chiến dịch chưa được xác nhận, chúng tôi sẽ nói rõ điều đó.

Cách Midnight Mimosa chiếm đoạt điện thoại Android giá rẻ

Điểm mấu chốt trong báo cáo là chiến dịch này nhắm vào những chiếc điện thoại thông minh giá rẻ và sử dụng chúng để gian lận quảng cáo. Góc tiếp cận được gợi ý cho câu chuyện này, và cách thức mà loại mối đe dọa này thường hoạt động, là mã độc đã có sẵn trên thiết bị trước khi chủ sở hữu bật máy lần đầu. Điều này khác với lời khuyên thông thường về việc tránh các ứng dụng đáng ngờ, bởi vì người mua không làm gì sai.

Mã độc cài sẵn có xu hướng hiệu quả với kẻ tấn công vì một vài lý do:

  • Nó có thể được nhúng vào firmware hoặc các ứng dụng cấp hệ thống, nên có thể tồn tại qua một lần khôi phục cài đặt gốc.
  • Nó không cần người dùng phê duyệt tải xuống hoặc nhấp vào một liên kết độc hại.
  • Nó chạy âm thầm trong nền, nên có thể không có dấu hiệu rõ ràng nào của sự cố.

Bản tóm tắt nguồn không nêu chi tiết những thương hiệu, mẫu máy hay các bước trong chuỗi cung ứng nào có liên quan, vì vậy chúng tôi không thể nói những chiếc điện thoại nào bị ảnh hưởng. Độc giả nên thận trọng với bất kỳ tuyên bố nào về các mẫu máy cụ thể cho đến khi các nhà nghiên cứu công bố chúng.

Cách mạng lưới proxy dân cư biến kết nối của bạn thành nút thoát của người khác

Một botnet proxy hoạt động bằng cách cho thuê các thiết bị bị nhiễm làm điểm chuyển tiếp. Thay vì máy chủ của kẻ tấn công tự gửi yêu cầu, lưu lượng được định tuyến qua điện thoại và đi ra ngoài thông qua kết nối mạng gia đình hoặc di động của chủ sở hữu. Đối với trang web ở đầu bên kia, yêu cầu dường như đến từ một người bình thường trên một nhà mạng bình thường.

Điều đó rất có giá trị đối với gian lận quảng cáo. Các lượt hiển thị và nhấp quảng cáo giả mạo khó bị lọc hơn nhiều khi chúng dường như xuất phát từ nhiều địa chỉ dân cư và di động thực sự. Chiếc điện thoại trở thành một công cụ lao động không hay biết trong âm mưu này.

Đối với chủ sở hữu, hậu quả có thể bao gồm:

  • Sử dụng dữ liệu không rõ nguyên nhân, vì lưu lượng của người lạ tiêu tốn gói cước hoặc băng thông của bạn.
  • Rủi ro danh tiếng, vì hoạt động phát ra từ địa chỉ IP của bạn có thể bị quy trách nhiệm cho bạn, chẳng hạn như bị các dịch vụ gắn cờ hoặc chặn.
  • Hiệu suất chậm hơn và pin hao nhanh hơn, do thiết bị phải làm những việc bạn không hề yêu cầu.
  • Nguy cơ phơi nhiễm tiềm ẩn, vì một thiết bị chạy mã ẩn với đặc quyền hệ thống có thể làm nhiều hơn công việc duy nhất mà nó được báo cáo.

Điểm cuối cùng là một rủi ro tổng quát, không phải là một phát hiện đã được xác nhận về Midnight Mimosa.

Tại sao VPN không thể bảo vệ một thiết bị đã bị xâm nhập

VPN là những công cụ hữu ích, nhưng chúng có một nhiệm vụ cụ thể: mã hóa lưu lượng giữa thiết bị của bạn và máy chủ VPN, đồng thời ẩn địa chỉ IP của bạn khỏi các trang web bạn truy cập. Chúng giả định rằng bản thân thiết bị là đáng tin cậy.

Nếu mã độc đã chạy với quyền truy cập sâu trên điện thoại, nó nằm ở phía thiết bị của đường hầm mã hóa đó. Nó có thể hoạt động bên ngoài sự bảo vệ của VPN, hoặc thậm chí định tuyến lưu lượng của chính nó theo những cách mà người dùng không bao giờ thấy. VPN không loại bỏ mã ở cấp firmware, và nó không ngăn một thiết bị bị nhiễm được đăng ký làm nút proxy.

Đây là lý do tại sao tính toàn vẹn của thiết bị và quyền riêng tư mạng là những vấn đề riêng biệt. VPN có thể giảm những gì ISP hoặc nhà điều hành Wi-Fi công cộng nhìn thấy. Nó không thể biến một chiếc điện thoại không đáng tin cậy thành đáng tin cậy. Để tìm hiểu về cách dữ liệu bị đánh cắp hoặc bị phơi nhiễm tạo ra một loại rủi ro khác, hãy xem bài viết của chúng tôi về các cáo buộc rò rỉ KYC trong vụ vi phạm dữ liệu SBI, nơi vấn đề nằm ở một đơn vị nắm giữ dữ liệu chứ không phải thiết bị của người dùng.

Cách đánh giá điện thoại giá rẻ và phát hiện hoạt động proxy ẩn

Bạn không cần phải tránh hoàn toàn những chiếc điện thoại giá phải chăng, nhưng một vài thói quen sẽ giảm rủi ro của bạn.

Trước khi mua:

  • Mua từ các nhà bán lẻ và nhà cung cấp uy tín, những nơi có thể cung cấp tài liệu về firmware và chính sách cập nhật của họ.
  • Hãy cảnh giác với những mức giá có vẻ quá thấp đến mức vô lý, hoặc với những người bán không có kênh hỗ trợ rõ ràng.
  • Kiểm tra xem điện thoại có được chứng nhận chạy các dịch vụ của Google và có nhận được các bản vá bảo mật thường xuyên hay không.

Sau khi mua:

  • Xem lại danh sách ứng dụng, bao gồm cả ứng dụng hệ thống, để tìm bất cứ thứ gì bạn không nhận ra. Lưu ý rằng một số thành phần độc hại ẩn dưới những cái tên chung chung.
  • Xem mức sử dụng dữ liệu theo từng ứng dụng trong phần cài đặt. Việc sử dụng nền nhiều từ một ứng dụng không quen thuộc là một dấu hiệu cảnh báo.
  • Chú ý đến tình trạng hao pin không rõ nguyên nhân, nóng máy khi không sử dụng, hoặc gói dữ liệu hết sớm.
  • Tránh cài đặt firmware không chính thức hoặc của bên thứ ba từ các nguồn chưa được xác minh.

Điều này có ý nghĩa gì với bạn

Nếu bạn sở hữu một chiếc điện thoại Android giá rẻ, Midnight Mimosa là một lời nhắc nhở để kiểm tra chính thiết bị, chứ không chỉ các ứng dụng bạn cài đặt. Rủi ro không chỉ giới hạn ở dữ liệu của bạn: kết nối của bạn có thể bị sử dụng để mang lưu lượng của người khác và để thực hiện gian lận. Vì VPN không thể khắc phục một chiếc điện thoại đã bị xâm nhập, hãy coi nó như một lớp bảo vệ chứ không phải là phương thuốc chữa trị.

Nếu bạn phát hiện dấu hiệu của hoạt động ẩn, hãy ngừng sử dụng điện thoại cho các tác vụ nhạy cảm như ngân hàng, thay đổi mật khẩu quan trọng từ một thiết bị tin cậy khác, và liên hệ với nhà sản xuất hoặc người bán. Thay thế điện thoại bằng một chiếc từ nhà cung cấp có firmware đã được xác minh có thể là cách khắc phục đáng tin cậy duy nhất.

Những điểm chính cần ghi nhớ

  • Kiểm tra chiếc điện thoại hiện tại của bạn trong tuần này: xem mức sử dụng dữ liệu, các ứng dụng đã cài đặt và ứng dụng hệ thống, và bất kỳ firmware không chính thức nào.
  • Mua từ các nhà cung cấp có firmware đã được xác minh và chính sách cập nhật bảo mật rõ ràng.
  • Không dựa vào VPN để bảo vệ một thiết bị có thể đã bị nhiễm.
  • Sử dụng một thiết bị thứ hai đáng tin cậy để thay đổi mật khẩu nếu bạn nghi ngờ bị xâm nhập.

Mã độc Android cài sẵn tạo ra một botnet proxy là một vấn đề chuỗi cung ứng, và biện pháp phòng vệ tốt nhất bắt đầu từ lúc mua hàng. Để tìm hiểu thêm về cách bảo vệ thiết bị của bạn và hiểu VPN có thể làm gì và không thể làm gì, hãy duyệt qua các hướng dẫn về VPN và bảo mật thiết bị trên vpn.social.