Trojan tấn công người dùng di động Việt Nam

Hiện nay, hơn 1.000 biến thể của các ứng dụng này đã được phát hiện và trong những năm vừa qua và Kaspersky đã chặn hơn 1.500 cài đặt.

Google Cloud Messaging hoặc GCM cho phép tin nhắn dung lượng nhỏ (tối đa 4 KB) được gửi thông qua máy chủ của Google từ các thiết bị di động của họ dưới định dạng JSON. Các thông điệp này có thể chứa bất kỳ dữ liệu nào như liên kết, thông tin quảng cáo hoặc lệnh.

Để sử dụng dịch vụ này, đầu tiên nhà phát triển phải nhận được một ID duy nhất, được sử dụng để đăng ký cho các ứng dụng với GCM. Sau khi đăng ký, các nhà phát triển có thể gửi dữ liệu đến tất cả hoặc một vài thiết bị mà các ứng dụng đã được đăng ký và cài đặt. Dịch vụ này được sử dụng để xác định tọa độ của điện thoại bị đánh cắp, cài đặt điện thoại từ xa, gửi tin nhắn về việc cập nhật mới của các trò chơi, sản phẩm mới, và nhiều hơn nữa. Kaspersky Lab đã phát hiện một vài chương trình độc hại sử dụng GCM như là một C&C. Hiện tại số lượng chương trình độc hại sử dụng GCM vẫn còn tương đối thấp và chỉ có một số trong số đó là đang phổ biến ở một số quốc gia Tây Âu, CIS, và Châu Á.

Tại Việt Nam, kể từ tháng 5/2012, Kaspersky Lab đã phát hiện Trojan-SMS.AndroidOS.Agent.az. Trojan này đóng vai trò vỏ bọc cho một trang web khiêu dâm tiếng Việt và sẽ gửi tin nhắn văn bản đến một số điện thoại có trả phí. Hiện nay, hơn 1.000 biến thể của các ứng dụng này đã được phát hiện và trong những năm vừa qua đã chặn hơn 1.500 cài đặt.

Trojan này đã được phát hiện chủ yếu ở Việt Nam, một số ít ở Nga, Italia, Indonesia và Malaysia. Mục tiêu Trojan này nhắm đến có thể là người dùng Việt Nam vì tất cả các văn bản hiển thị cho người dùng là tiếng Việt. Ngoài ra, các chuyên gia Kaspersky Lab tiến hành thử nghiệm với một số điện thoại của người Nga, không nhận được bất kỳ tin nhắn nào. Tuy nhiên, kinh nghiệm cho thấy rằng sớm hay muộn, loại quảng cáo này sẽ được gửi ra bởi các chương trình độc hại khác dưới vỏ bọc là các ứng dụng hữu ích hoặc các trò chơi.

Tuy GCM là một dịch vụ hữu ích cho các nhà phát triển phần mềm hợp pháp nhưng tin tặc đang sử dụng GCM như là C&C hỗ trợ cho các Trojan của họ. Hơn nữa, việc thực hiện các lệnh nhận được từ GCM được thực hiện bởi hệ thống GCM và không thể ngăn chặn chúng trực tiếp trên một thiết bị bị nhiễm độc. Cách duy nhất để tội phạm không tạo ra virus là ngăn chặn các tài khoản phát triển với các ID liên quan đến việc đăng ký các chương trình độc hại. Kaspersky Lab đã báo cáo các ID GCM được tìm thấy có liên quan đến các chương trình độc hại cho Google.