Ứng dụng độc hại là ách tật cho người dùng smartphone. Dù quan điểm iOS hay Android, chúng ta đều đồng ý ứng dụng nhiễm mã độc đảm bảo một ngày tồi tệ. Và trong khi Cửa hàng Google Play chắc chắn ngập ứng dụng độc hại, sự thiêng liêng lâu đời của Apple App Store không còn nữa.
Tại sao kẻ phân phối mã độc muốn nhiễm ứng dụng cho smartphone? Có hai lý do đơn giản: tiền và dữ liệu. Có vô số ứng dụng không bao giờ đi kèm mồi độc hại. Vậy chúng tránh nhiễm như thế nào, và mã độc xâm nhập ứng dụng như thế nào?
Ứng dụng nhiễm độc khắp nơi
Đo lường sự lan tràn của ứng dụng di động nhiễm mã độc là khó khăn. Trong thị trường đã biến động, nắm bức tranh rõ ràng là khó. Một điều rõ ràng: không một hệ điều hành di động nào miễn dịch. Người dùng Android gần đây gặp HummingWhale, Judy, Xavier, trong khi iOS phải đối mặt XcodeGhost.
Nghiên cứu 2014 [PDF], một phần của dự án ANDRUBIS, kiểm tra 1 triệu ứng dụng Android (chính xác 1.034.999). Ứng dụng mẫu đến từ nhiều nguồn, bao gồm chợ không chính thức, torrent và trang web cung cấp ứng dụng crack (cũng như Cửa hàng Google Play).
Trong 125.602 ứng dụng mẫu từ Cửa hàng Google Play, 1,6% là độc hại (đó là 2.009).
Thật không may, dữ liệu ứng dụng độc hại cho App Store hiếm. Có một số trường hợp ứng dụng độc hại iOS được ghi chép. Nhưng — và đây là điểm bán iOS lớn — chúng được giảm thiểu rất nhiều so với Android. Xem hai con số đối lập. Báo cáo Pulse Secure 2015 Mobile Threat Report ước tính 97% mã độc di động viết cho Android. Báo cáo F-Secure State of Cyber Security 2017 [PDF] nâng con số đó lên 99%. Sau đó xem xét 2013 Bộ An ninh Nội địa Mỹ ước tính [PDF] chỉ 0,7% mã độc di động viết cho iOS.
Số phận trái ngược cho hai hệ điều hành di động chính.
Ứng dụng bị nhiễm như thế nào
Bạn nghĩ ai nhiễm ứng dụng? Nhà phát triển? băng nhóm tội phạm? Cá nhân độc ác? Có thể cả chính phủ? Vâng, tất cả đều đúng, ở một vài nghĩa.
Rõ ràng nhất là nhà phát triển đi lạc lối (rogue developer): cá nhân thiết kế ứng dụng với khả năng độc hại, và công khai trên Play Store (hoặc tương đương). May cho bạn và tôi, không nhiều cá nhân như vậy.
Đó có thể vì một lý do: nỗ lực cần để phát triển, phát hành, và xây dựng cộng đồng cho ứng dụng chỉ để sau đó biến nó độc hại là... tốt, quá cao. Lúc ứng dụng đủ phổ biến để thực sự lợi nhuận (dù qua clicker quảng cáo hoặc đánh cắp dữ liệu), nhà phát triển độc hại có thể đang kiếm nhiều hơn từ doanh thu quảng cáo.
Phổ biến hơn nhiều là chèn mã độc vào ứng dụng hiện có, rồi phát hành lại. Quy trình này dùng một số kỹ thuật khác nhau.
Malvertising (Quảng cáo độc hại)
Malvertising là tai hại thường thấy thế kỷ 21. Thiết định đơn giản: bạn được phục vụ quảng cáo độc hại qua kênh chính thức. Bạn không mong đợi tấn công độc hại qua ứng dụng hợp pháp, nên chúng bắt người dùng bất ngờ.
Ví dụ malvertising Android tốt nhất là Trojan ngân hàng Svpeng. Trojan chủ yếu cài qua quảng cáo Google AdSense bị nhiễm nhắm vào Google Chrome Android. Điểm về malvertising: bạn không thực sự phải nhấp vào quảng cáo để bị nhiễm. Chỉ xem quảng cáo là đủ.
Phát hành lại ứng dụng (Application Republishing)
Ứng dụng hợp pháp tải từ appstore chính thức bị nhiễm mã độc. Sau đó, chúng được phát hành lại dùng tên chính thức, đến loạt appstore (hợp pháp hoặc không).
Đặc điểm chính của phát hành lại là biến thể nhẹ tên ứng dụng. Thay vì Microsoft Word (phát hành chính thức Microsoft), nó sẽ là Micr0soft W0rd. Ổn, đó là ví dụ tệ, nhưng bạn hiểu ý.
Ransomware Android Charger dùng chiến thuật này, cũng như malware malvertising Skinner (trong số chiến thuật khác).
Bán ứng dụng (Sale of App)
Từ thời gian đến thời gian, nhà phát triển ứng dụng hợp pháp bán ứng dụng giá trị. Cùng với ứng dụng đến người dùng. Hơn nữa, có cơ hội đẩy cập nhật tin cậy đến người dùng hiện có.
Cho đến nay, không có trường hợp có tài liệu về phương pháp tấn công cụ thể này. Tuy nhiên, không hiếm nhà phát triển ứng dụng phổ biến nhận yêu cầu mua lại. Tương tự xảy ra với Chrome Extension. Chrome Extension phổ biến, với quyền truy cập dữ liệu người dùng, cùng hàng nghìn người dùng, là mỏ vàng. Nhà phát triển Honey, extension coupon tự động, đã từ chối kẻ độc ác.
Amit Agarwal có trải nghiệm hoàn toàn khác. Ông bán Chrome Extension cho người lạ, chỉ để thấy cập nhật ứng dụng tiếp theo (ngoài tay ông) "kết hợp quảng cáo vào extension." Công việc, theo lời ông chỉ mất một giờ, đã thành xe đẩy cho chèn quảng cáo.
Apple hay Google có giúp không?
Là chủ sở hữu kho ứng dụng lớn và phổ biến nhất, các ông lớn công nghệ có trách nhiệm bảo vệ người dùng. Phần lớn, họ làm. Việc ứng dụng độc hại nhiễm cửa hàng gây hại cho người dùng, cũng như uy tín. Nhưng một công ty dẫn đường.
Apple
Apple không thể phủ nhận dẫn đầu bảo vệ người dùng iOS khỏi ứng dụng độc hại. Quy trình tạo và tải ứng dụng lên App Store phức tạp hơn, yêu cầu nhiều kiểm tra và ký tên trước khi ra kệ. Thêm vào đó, ứng dụng iOS có loạt thiết bị nhỏ hơn, qua loạt phiên bản hệ điều hành nhỏ hơn để lo. Vì vậy, tiêu chuẩn thường cao hơn Android.
Android
Google phải làm việc chăm chỉ giảm số ứng dụng độc hại trên Play Store. Với uy tín bị rủi ro, Google giới thiệu Play Protect, "chiếc chăn bảo mật cho thiết bị di động". Play Protect chủ động quét thiết bị tìm ứng dụng độc hại. Hơn nữa, Play Protect liên tục quét Play Store tìm ứng dụng độc hại, treo nhà phát triển, và gỡ nội dung vi phạm.
Trốn tránh phát hiện
Trong khi Google và Apple nỗ lực cùng lòng giữ thiết bị không mã độc, tác giả mã độc cố gắng trốn tránh phát hiện. Khó chịu, nhưng hiểu được.
Có vài cách phổ biến kẻ tấn công che giấu mã độc:
- Tải mã độc sau cài đặt.
- Làm rối mã độc giữa code "sạch".
- Trì hoãn/time-delay chỉ thị ứng dụng chờ trước khi tải hoặc triển khai payload.
- Dựa vào phân phối qua nguồn ngoài (ví dụ: malvertising).
- Giấu ứng dụng độc hại trong phương tiện khác.
Như bạn thấy, có nhiều phương pháp giữ ứng dụng độc hại, hoặc mã độc trong ứng dụng, ẩn khỏi người dùng (chứ đừng nói cửa hàng ứng dụng chúng được tải).
Tránh xa mã độc di động
Như bạn thấy, có số lượng đáng kể cách mã độc xâm nhập ứng dụng. Hơn nữa, tác nhân độc hại có vài phương pháp giữ mã độc ra khỏi tầm nhìn — cho đến khi triển khai lên smartphone.
Làm sao để tránh tải ứng dụng độc hại?
- Chỉ tải ứng dụng từ cửa hàng ứng dụng chính thức...
- ...và tránh cửa hàng thứ ba.
- Kiểm tra bạn tải từ nhà phát triển chính thức hoặc uy tín.
- Đọc đánh giá ứng dụng. Chúng cho bạn thông tin cần.
- Giữ công cụ xác minh ứng dụng bật luôn.
- Đừng bị lừa bởi ưu đãi ứng dụng miễn phí.
- Giữ điện thoại cập nhật!
Có nhiều ứng dụng độc hại, đặc biệt nếu bạn dùng Android. Nhưng bằng cách hiểu đe dọa, và tuân thủ mẹo nhanh, bạn và thiết bị sẽ giữ sức khỏe tốt.
Bạn có trải qua mã độc di động? Biến thể nào? Điều gì xảy ra với smartphone? Bạn dùng Android hay iOS? Cuối cùng, cho chúng tôi biết trải nghiệm mã độc di động trong bình luận bên dưới!