Chiến dịch lừa đảo quảng cáo ‘Trapdoor’ tấn công 659 triệu yêu cầu mỗi ngày qua 455 ứng dụng Android

Các chuyên gia an ninh mạng từ đội ngũ Satori của HUMAN vừa công bố chi tiết về một chiến dịch lừa đảo quảng cáo và malvertising quy mô lớn có tên gọi Trapdoor. Chiến dịch này nhắm trực tiếp vào người dùng thiết bị Android thông qua hệ thống gồm 455 ứng dụng độc hại và 183 tên miền điều khiển (C2) do kẻ tấn công sở hữu.

Cơ chế hoạt động tinh vi

Theo báo cáo, người dùng thường vô tình tải xuống các ứng dụng tiện ích như trình xem PDF hoặc công cụ dọn dẹp thiết bị. Sau khi cài đặt, các ứng dụng này sẽ kích hoạt chiến dịch malvertising, ép buộc người dùng tải thêm các ứng dụng thứ cấp. Chính các ứng dụng thứ cấp này mới là thành phần thực hiện hành vi gian lận bằng cách khởi chạy các WebView ẩn, tải các miền HTML5 độc hại và thực hiện yêu cầu quảng cáo tự động.

Điểm đáng chú ý của Trapdoor là khả năng tự duy trì: doanh thu bất chính từ các lượt cài đặt này được tái đầu tư để tài trợ cho các chiến dịch malvertising tiếp theo. Tại thời điểm đỉnh điểm, Trapdoor ghi nhận tới 659 triệu yêu cầu quảng cáo mỗi ngày với hơn 24 triệu lượt tải xuống trên toàn cầu, trong đó phần lớn lưu lượng truy cập xuất phát từ Mỹ.

Kỹ thuật né tránh phát hiện

Kẻ tấn công đã sử dụng các công cụ phân bổ lượt cài đặt (install attribution tools) một cách sai mục đích. Cụ thể, hành vi độc hại chỉ được kích hoạt đối với những người dùng đến từ các chiến dịch quảng cáo do kẻ tấn công chạy, trong khi các lượt tải xuống tự nhiên từ Google Play sẽ không bị ảnh hưởng. Điều này giúp chúng dễ dàng qua mặt các nhà nghiên cứu và hệ thống kiểm duyệt.

Bên cạnh đó, Trapdoor còn áp dụng nhiều kỹ thuật obfuscation (làm rối mã nguồn) và giả mạo các SDK hợp pháp để hòa trộn vào hệ thống phần mềm thông thường, khiến việc phát hiện trở nên khó khăn hơn.

Kết quả xử lý

Sau khi nhận được báo cáo từ các nhà nghiên cứu, Google đã tiến hành gỡ bỏ toàn bộ 455 ứng dụng độc hại này khỏi Google Play Store, chính thức vô hiệu hóa chiến dịch. Các chuyên gia bảo mật cảnh báo rằng đây là minh chứng cho thấy các đối tượng tội phạm mạng đang ngày càng tinh vi hơn trong việc tận dụng các công cụ tiếp thị hợp pháp để thực hiện hành vi gian lận quy mô lớn.

Nguồn tham khảo: The Hacker News