Không phải vài chục, hơn 4.000 ứng dụng trên App Store đã nhiễm XcodeGhost, hãy cẩn thận!

Đóng góp bởi Dương Lê

24/09/15

Từ 36 cho đến 85 ứng dụng bị nhiễm malware XcodeGhost trước đó và bây giờ không lẽ "nghỉ xài"? Khi mới đây, giới chuyên môn đã khẳng định số lượng ứng dụng trên Apple App Store bị nhiễm mã độc này đã lên tới con số 4.000.

Hôm thứ Ba (22/9/2015), hãng bảo mật di động Appthority báo cáo rằng họ đã tìm thấy 476 ứng dụng trên App Store bị nhiễm malware XcodeGhost, trong số những người sử dụng đa phần đến từ các khách hàng doanh nghiệp. "Chúng tôi đã có một cái nhìn sâu hơn về các dữ liệu và bắt đầu theo dõi tiến trình các ứng dụng iOS bị nhiễm malware XcodeGhost kể từ tháng 4/2015, với sự gia tăng đáng kể tính đến thời điểm hiện tại".

XcodeGhost có khả năng đánh cắp nội dung các cuộc trao đổi, mở URL, đọc/tạo các bảng dữ liệu clipboard. Trên thực tế, người phát triển công cụ giả mạo này có thể bổ sung thêm các chức năng độc hại hơn, nhưng họ dường như đã bỏ qua, ít nhất là vào thời điểm này.

Bên cạnh đó, các nhà nghiên cứu đến từ hãng bảo mật FireEye cũng tiết lộ rằng, thực tế thì các ứng dụng bị nhiễm XcodeGhost trên App Store không phải thuộc hàng chục hoặc hàng trăm, mà con số này đã chạm ngưỡng hàng ngàn. Nói một cách chính xác hơn, trên App Store hiện có hơn 4,000 ứng dụng bị nhiễm mã độc này.

Những ứng dụng iOS có chứa malware XcodeGhost thu thập thông tin về thiết bị, sau đó mã hóa và tải dữ liệu đó về máy chủ điều khiển và ra lệnh (C2) thông qua giao thức HTTP. Thông tin hệ thống và thông tin ứng dụng có thể bị thu thập bao gồm:

- Thời gian hiện tại.

- Tên ứng dụng bị lây nhiễm hiện tại.

- Nhận dạng bundle của ứng dụng.

- Loại thiết bị và tên thiết bị hiện tại.

- Thông tin quốc gia và ngôn ngữ hiện tại của hệ thống.

- UUID hiện tại của hệ thống.

- Kiểu mạng kết nối.

Trong khi các máy chủ của Apple đã tiến hành kiểm soát gắt gao nhất để loại trừ các ứng dụng bị nhiễm XcodeGhost, nhưng malware này vẫn cố gắng kết nối "đến hơi thở cuối cùng" bằng cách sử dụng các kết nối HTTP không được mã hóa. Phiên HTTP như vậy thường rất dễ bị "cướp quyền" bởi những kẻ tấn công khác - các nhà nghiên cứu của FireEye cho biết.

Ngoài ra, trung tâm nghiên cứu bảo mật Palo Alto Networks khẳng định XcodeGhost còn có những hành động nguy hiểm hơn:

- Hiển thị thông báo, màn hình đăng nhập giả trên màn hình để đánh cắp tài khoản iCloud (đòi tiền chuộc) và những thông tin cá nhân khác (email, tài liệu, hình ảnh, thẻ tín dụng,...).

- Tự động truy cập các trang web mà không cần sự cho phép của người dùng.

- Đọc/ghi dữ liệu từ clipboard của máy để đánh cắp thông tin cá nhân của người dùng, ví dụ mật khẩu.

Hiện tại các hãng bảo mật di động không thể cung cấp đầy đủ tên các ứng dụng trên App Store bị nhiễm malware XcodeGhost. Họ hy vọng rằng, Apple sẽ đưa ra giải pháp thiết thực hơn để cảnh báo cho người dùng biết ứng dụng nào đã bị nhiễm, miễn nhiễm và được khắc phục hoàn toàn.

Nguồn: PCWorld