Khám phá biến thể mới của phần mềm độc hại Copybara

Các nhà nghiên cứu của hãng bảo mật Zscaler (Mỹ) đã phân tích một biến thể mới của Copybara, một họ phần mềm độc hại Android xuất hiện vào tháng 11/2021. Copybara là một Trojan chủ yếu lây nhiễm thông qua các cuộc tấn công lừa đảo bằng giọng nói (vishing), trong đó nạn nhân nhận được hướng dẫn qua điện thoại để cài đặt phần mềm độc hại Android. Bài viết sẽ phân tích về biến thể mới của Copybara dựa trên báo cáo của Zscaler.

Theo các nhà nghiên cứu, biến thể mới của Copybara đã hoạt động kể từ tháng 11/2023 và sử dụng giao thức truyền thông điệp (Message Queuing Telemetry Transport - MQTT) để thiết lập liên lạc với máy chủ điều khiển và ra lệnh (C2) của nó. Đây chính là sự bổ sung đáng chú ý trong phiên bản mới này. Phần mềm độc hại lạm dụng tính năng Dịch vụ trợ năng vốn có trên các thiết bị Android để kiểm soát thiết bị bị nhiễm.

Tương tự như những phiên bản trước đó, biến thể Copybara mới được phát triển bằng B4A, một framework hợp pháp thường được sử dụng để phát triển ứng dụng Android.

Bên cạnh đó, phần mềm độc hại cũng tiến hành tải xuống các trang web lừa đảo mạo danh các sàn giao dịch tiền điện tử và tổ chức tài chính phổ biến ở Ý cũng như Tây Ban Nha, bằng cách sử dụng logo và tên ứng dụng chính thức. Các trang này được thiết kế để đánh lừa nạn nhân nhập thông tin đăng nhập, từ đó thực hiện các hành vi thu thập thông tin. Logo của một số tổ chức tài chính nổi tiếng bị Copybara mạo danh được hiển thị trong Hình 1.

Hình 1. Logo của các tổ chức tài chính bị Copybara giả mạo.

Ngoài ra, các nhà nghiên cứu còn phát hiện một số phiên bản Copybara mạo danh Google Chrome và ứng dụng IPTV (Hình 2).

Hình 2. Ví dụ Copybara ngụy trang thành ứng dụng IPTV.

PHÂN TÍCH KỸ THUẬT

Khi khởi chạy ứng dụng, người dùng sẽ thấy màn hình thông báo do kẻ tấn công xác định yêu cầu người dùng bật quyền Dịch vụ trợ năng cho ứng dụng. Theo đó, Dịch vụ trợ năng là một tính năng hợp pháp trên điện thoại Android để hỗ trợ người dùng khuyết tật, tuy nhiên do bản chất vốn có của dịch vụ, tính năng này có thể cung cấp cho kẻ tấn công quyền kiểm soát rất chi tiết đối với điện thoại của nạn nhân nếu nó được bật.

Trong trường hợp Copybara được cài đặt và không được cấp quyền trợ năng, phần mềm độc hại sẽ liên tục hiển thị thông báo và tin nhắn (như thể hiện trong Hình 3) để ép buộc nạn nhân bật dịch vụ.

Hình 3. Ví dụ về màn hình khởi chạy Copybara khi không bật quyền trợ năng.

Nếu dịch vụ được bật, người dùng sẽ thấy một màn hình khác do kẻ tấn công điều khiển (Hình 4).

Hình 4. Ví dụ về Copybara sau khi tính năng Dịch vụ trợ năng được bật.

Sau khi tính năng Dịch vụ trợ năng được bật, ứng dụng sẽ ngăn người dùng truy cập một số tùy chọn trong menu Cài đặt (Settings), đảm bảo rằng họ không thể gỡ cài đặt Copybara. Ở chế độ nền, hành vi của phần mềm độc hại được xác định bởi cấu hình của nó. Copybara được thiết kế để tải xuống danh sách các trang web lừa đảo từ máy chủ C2.

Copybara C2 phản hồi bằng tệp ZIP chứa các trang đăng nhập giả mạo để mạo danh các sàn giao dịch tiền điện tử và tổ chức tài chính phổ biến. Trong quá trình phân tích, các nhà nghiên cứu phát hiện ra sự tồn tại của 2 máy chủ C2 đang hoạt động. Hình 5 hiển thị thư mục mở của máy chủ C2 trực tiếp lưu trữ các trang lừa đảo Copybara.

Hình 5. Thư mục mở của máy chủ Copybara C2 đang lưu trữ các trang lừa đảo.

Các trang lừa đảo này được thiết kế để đánh lừa người dùng nhẹ dạ nhập thông tin nhạy cảm của họ. Hình 6 là một ví dụ về một trang web lừa đảo như vậy, mạo danh trang đăng nhập của một sàn giao dịch tiền điện tử nổi tiếng.

Hình 6. Ví dụ về trang lừa đảo Copybara được thiết kế trông giống như một sàn giao dịch tiền điện tử phổ biến.

Cuối cùng, ứng dụng khởi tạo kết nối đến máy chủ MQTT trên cổng 52997. Copybara đăng ký vào hàng đợi cụ thể được đặt tên là “commands_FromPC” trên máy chủ này. Kết nối cho phép ứng dụng lắng nghe và nhận các lệnh khác nhau do máy chủ C2 gửi.

KẾT LUẬN

​​Bài viết này phân tích các biến thể mới nhất của Trojan Android Copybara nhắm vào các sàn giao dịch tiền điện tử và các tổ chức tài chính tại Ý và Tây Ban Nha. Thông qua việc sử dụng logo và tên ứng dụng tương tự, phần mềm độc hại mạo danh các tổ chức này và đánh lừa nạn nhân nhập thông tin đăng nhập của họ vào các trang lừa đảo.

Mục tiêu là đánh cắp thông tin đăng nhập của người dùng và truy cập trái phép vào tài khoản của họ. Thực tế, Copybara là một Trojan có đầy đủ tính năng có thể được sử dụng trong các cuộc tấn công có chủ đích với các tính năng mạnh mẽ như ghi âm thanh và video, chiếm đoạt tin nhắn SMS và chụp màn hình. Quý độc giả có thể theo dõi Chỉ số thỏa hiệp (IOC) bao gồm mã băm, địa chỉ IP của máy chủ C2 và URL lưu trữ độc hại tại đây.