Phần mềm độc hại Android 'Brokewell' mới lây lan qua các bản cập nhật trình duyệt giả mạo

Các bản cập nhật trình duyệt giả mạo đang được sử dụng để phát tán phần mềm độc hại Android không có giấy tờ trước đây có tên là Brokewell.

“Brokewell là một phần mềm độc hại ngân hàng hiện đại điển hình được trang bị cả khả năng đánh cắp dữ liệu và điều khiển từ xa được tích hợp trong phần mềm độc hại”, các chuyên gia bảo mật cho biết trong một phân tích được công bố hôm thứ Năm.

Phần mềm độc hại được cho là đang trong quá trình phát triển tích cực, bổ sung thêm các lệnh mới để nắm bắt các sự kiện chạm, thông tin văn bản hiển thị trên màn hình và các ứng dụng mà nạn nhân khởi chạy.

Danh sách các ứng dụng Brokewell giả mạo Google Chrome, ID Austria và Klarna như sau -

jcwAz.EpLIq.vcAZiUGZpK (Google Chrome)

zRFxj.ieubP.lWZzwlluca (ID Áo)

com.brkwl.uptracking (Klarna)

Giống như các dòng phần mềm độc hại Android gần đây khác, Brokewell có khả năng vượt qua các hạn chế do Google áp đặt nhằm ngăn các ứng dụng đã tải sẵn yêu cầu quyền dịch vụ trợ năng.

Trojan ngân hàng, sau khi được cài đặt và khởi chạy lần đầu tiên, sẽ nhắc nạn nhân cấp quyền cho dịch vụ trợ năng, sau đó nó sử dụng dịch vụ này để tự động cấp các quyền khác và thực hiện nhiều hoạt động độc hại khác nhau.

Điều này bao gồm việc hiển thị màn hình lớp phủ trên các ứng dụng được nhắm mục tiêu để lấy cắp thông tin xác thực của người dùng. Nó cũng có thể đánh cắp cookie bằng cách khởi chạy WebView và tải trang web hợp pháp, sau đó cookie phiên sẽ bị chặn và truyền đến máy chủ do tác nhân kiểm soát.

Một số tính năng khác của Brokewell bao gồm khả năng ghi âm, chụp ảnh màn hình, truy xuất nhật ký cuộc gọi, truy cập vị trí thiết bị, liệt kê các ứng dụng đã cài đặt, ghi lại mọi sự kiện xảy ra trên thiết bị, gửi tin nhắn SMS, gọi điện thoại, cài đặt và gỡ cài đặt ứng dụng và thậm chí vô hiệu hóa dịch vụ trợ năng.

Các tác nhân đe dọa cũng có thể tận dụng chức năng điều khiển từ xa của phần mềm độc hại để xem những gì hiển thị trên màn hình trong thời gian thực, cũng như tương tác với thiết bị thông qua các cú nhấp chuột, vuốt và chạm.

Brokewell được cho là tác phẩm của một nhà phát triển có tên "Baron Samedit Marais" và quản lý dự án "Brokewell Cyber Labs", dự án cũng bao gồm Trình tải Android được lưu trữ công khai trên Gitea.

Trình tải được thiết kế để hoạt động như một công cụ nhỏ giọt vượt qua các hạn chế về quyền truy cập trong các phiên bản Android 13, 14 và 15 bằng cách sử dụng một kỹ thuật trước đây được áp dụng bởi các dịch vụ nhỏ giọt dưới dạng dịch vụ (DaaS) như SecuriDropper và triển khai bộ cấy trojan.

Theo mặc định, các ứng dụng tải được tạo thông qua quy trình này có tên gói "com.brkwl.apkstore", mặc dù người dùng có thể định cấu hình tên này bằng cách cung cấp tên cụ thể hoặc bật trình tạo tên gói ngẫu nhiên.

Tính khả dụng miễn phí của trình tải có nghĩa là nó có thể bị các tác nhân đe dọa khác lợi dụng để vượt qua các biện pháp bảo vệ an ninh của Android.

Các chuyên gia bảo mật cho biết: “Thứ hai, các dịch vụ 'Dropper-as-a-Service' hiện tại cung cấp khả năng này như một tính năng đặc biệt có thể sẽ đóng dịch vụ của họ hoặc cố gắng tổ chức lại.

“Điều này càng làm giảm rào cản gia nhập đối với tội phạm mạng đang tìm cách phân phối phần mềm độc hại di động trên các thiết bị hiện đại, giúp nhiều kẻ tham gia vào lĩnh vực này dễ dàng hơn.”

Hương – Theo TheHackerNews