Thế giới xung quanh tôi bùng nổ trong cơn sốt huấn luyện viên Pokémon thực tế tăng cường, với hàng triệu người cố gắng "bắt hết tất cả" khắp môi trường địa phương. Phần bổ sung chờ đợi lâu của series Pokémon đã kéo dắt các huấn luyện viên nảy mầm từ ghế sofa ra đường phố, kéo mạnh dây tâm huyết hoài cổ của người lớn nghĩ nghiện bắt Pokémon đã chết yểu.
Niantic, nhà phát triển Pokémon Go và tiền thân bắt cổng-chiến ngoài hành tinh Ingress, đang tận hưởng thành công chưa từng có. Ingress, dù khá phổ biến, chưa bao giờ đạt thành công toàn cầu như Pokémon Go. Gần như nhận diện thương hiệu thực sự hữu ích!
Thành công không thiếu khổ đau. Niantic dường như quên bài học từ ngày đầu khó khăn của Ingress. Thành công bất ngờ đến hơi bất ngờ và, dù thêm ước tính 9 tỷ USD vào vốn hóa thị trường Nintendo, vẫn còn nhiều câu hỏi lớn.
Giữa các câu hỏi "cách引诱 Charizard vào phòng khách" và "tại sao quê tôi chỉ có Doduo?" là vấn đề nghiêm trọng hơn: báo cáo lan rộng về mã độc Android lan qua file APK Pokémon Go repackage (đóng gói lại), cũng như báo cáo người bị cướp điện thoại đắt tiền sau khi lang thang quá xa vùng quen.
Hãy xem xét.
APK Pokémon Go độc hại
Pokémon gợi nhớ mạnh mẽ với tôi. Tôi chơi Red và Blue sùng bái nhiều năm, xem hàng loạt series TV, và có poster cool nhất 150 Pokémon đầu tiên trổ ngữ trên tường. Nhưng lần này khác.
Nhiều người có background Pokémon tương tự, lâu từ bỏ ham muốn game lớn, thấy bản thực tế tăng cường khó kháng cự. Tuy nhiên, Niantic khóa khu vực (region-lock) Pokémon Go, nghĩa là người ngoài Mỹ, Úc, New Zealand được ý định không chơi cho đến bản chính thức xuất hiện trên cửa hàng app.
Tất nhiên, điều đó khó thành công – và nó thất bại. App không xuất hiện trên Google Play Store hay App Store ở UK, người dùng nhanh chóng nhận ra dễ dàng vượt qua. Nhiều APK Pokémon Go (Android Application Package) được tải lên hàng loạt kho APK, nhiều đến mức Google "APK" chỉ trả về link Pokémon Go.
Thật không may, tin tặc thấy cơ hội vàng tải lên APK chứa mã độc nghiêm trọng, nhắm vào người không chờ đợi ngày phát hành chính thức cho khu vực của họ.
Khi tải về thiết bị nạn nhân, mã độc ngay lập tức thực thi khi APK được giải nén, và bạn đã "bắt" được một thứ hoàn toàn khác.
Bạn bắt được một con RAT!
Không phải Rattata. Không, đây là Remote Access Tool (Công cụ truy cập từ xa), tên Droidjack, được nhà nghiên cứu bảo mật Proofpoint phát hiện. Còn gọi là SandroRAT, mã độc Android này đã được Symantec và Kaspersky chi tiết trước, và cho phép tin tặc truy cập từ xa toàn bộ thiết bị Android cài APK độc hại. Proofpoint đưa ra hai cách kiểm tra thiết bị Android có bị nhiễm:
- Kiểm tra hash SHA256 của APK tải về. Hash APK Pokémon Go chính thống phải đọc 8bf2b0865bef06906cd854492dece202482c04ce9c5e881e02d2b6235661ab67. Hash APK độc hại Proofpoint tìm thấy là 15db22fd7d961f4d4bd96052024d353b3ff4bd135835d2644d94d74c925af3c4.
- Trên Android, vào Cài đặt > Apps > Pokémon Go, kéo xuống Permissions (Quyền). Hình ảnh dưới chi tiết quyền APK chính thống, và quyền thêm của APK độc hại.
Đây là quyền Pokémon Go chính thống:
Và đây là trang đầu quyền APK độc hại:
Và trang hai:
Nếu bị nhiễm, ngay lập tức gỡ ứng dụng, xóa APK độc hại. Vào Google Play Store tải Avast Mobile Security, quét thiết bị. Sau đó quay lại Play Store tải Malwarebytes Anti-Malware, quét lại.
Xóa mọi vật độc hại phát hiện bởi một trong hai lần quét.
Nếu bạn chăm chỉ sao lưu Android, có thể có image toàn hệ thống để khôi phục. Nếu vậy, đó là tùy chọn tuyệt vời khác để triệt tiêu mã độc.
Kiểm tra hash SHA256 của bạn
Có tùy chọn dễ dàng cho người dùng Windows, không cần tải hoặc cài đặt.
Mở Command Prompt với quyền admin. Dùng lệnh sau tạo hash:
certUtil -hashfile insertfilepathhere [hash algorithm]
Lựa chọn thuật toán hash: MD2, MD4, MD5, SHA1, SHA256, SHA384, hoặc SHA512. Trường hợp này dùng SHA256.
Sau khi tạo, đối chiếu hash APK với hash Proofpoint cung cấp.
Vấn đề khác: Quyền iOS
Các vấn đề đa dạng, nhưng đều đáng lo. Có lẽ vấn đề lớn nhất liên quan đến quyền ứng dụng Pokémon Go, được phát hiện xâm phạm đáng lo ngại (nhưng SAI, xin đọc phần sau trước khi hoang mang!) trên iOS. Dù hầu hết app cần cấp quyền để hoạt động, Pokémon Go dường như đã vượt xa ranh giới quyền riêng tư bằng cách yêu cầu (và được!) truy cập toàn bộ tài khoản Google. Thay vì yêu cầu đơn giản tên, email, và đôi khi vị trí, Pokémon Go và Niantic có thể truy cập Google Drive, Gmail riêng tư, nội dung điện thoại, và hơn thế, thậm chí gửi email thay người dùng.
Niantic phát biểu cho Gizmodo:
"Chúng tôi gần đây phát hiện quá trình tạo tài khoản Pokémon Go trên iOS sai sót yêu cầu quyền truy cập đầy đủ tài khoản Google của người dùng. Tuy nhiên, Pokémon GO chỉ truy cập thông tin hồ sơ Google cơ bản (cụ thể: User ID và email) và không thông tin tài khoản Google nào khác được truy cập hoặc thu thập. Khi nhận ra lỗi, chúng tôi bắt đầu làm việc trên bản vá client-side để chỉ yêu cầu quyền thông tin hồ sơ cơ bản, phù hợp với dữ liệu chúng tôi thực sự truy cập. Google đã xác minh không thông tin khác được nhận hoặc truy cập bởi Pokémon GO hoặc Niantic. Google sẽ sớm giảm quyền Pokémon Go chỉ còn dữ liệu hồ sơ cơ bản mà Pokémon GO cần, và người dùng không cần hành động gì."
Cảm giác như khoan khoái nhưng vẫn thắc mắc "làm sao chuyện này xảy ra", nhưng ít nhất sẽ được sửa nhanh. Đọc phần sau để vui hơn.
Hỗ trợ kỹ thuật Google nói…
Dan Guido, CEO Trail of Bits, đặt dấu hỏi vào tuyên bố này. Dù Niantic phát biểu báo chí tuyên bố điều tra và bản vá client-side rõ ràng, Guido tin "một phần lớn bài đăng blog có thể sai."
Kỹ sư sản phẩm tại Slack kiểm tra OAuth token dịch vụ cung cấp, và thấy nó không cung cấp dữ liệu thêm hay truy cập dịch vụ riêng tư liên kết tài khoản Google.
Vấn đề khác: Cảnh sát
Cảnh sát được gọi đến nhiều sự cố, đều cho là liên quan trực tiếp Pokémon Go. Hầu hết báo cáo huấn luyện viên lang thang đến nơi vắng bắt Pokémon, rồi bị kình bắt tay bởi tên cướp lấy điện thoại.
Một số báo cáo cho rằng tên cướp thực sự dùng app Pokémon Go để định vị Pokémon xuất hiện trên bản đồ địa phương, đến đó và phục kích. Khác nói người lang thang vào vùng thường tránh trong hy vọng bắt Pokémon hiếm, hoặc quái không thường gặp.
Trải nghiệm xấu hiếm gặp trong thời gian tôi chơi Ingress, dù chuyện lạ đôi khi xảy ra. Thường là đe dọa nội bộ phe phái chứ không phải người ngoài cướp người chơi, hoặc người ngoài dùng app theo dõi nơi người chơi đứng với smartphone lóng lánh. Có lần một anh chờ tôi cạnh xe một đêm sau khi tôi phá cổng nhà anh, nhưng đó là chuyện khác.
Lời khuyên: Hãy lý trí. Chúng là Pokémon hư cấu bạn có thể sống thiếu. Bạn không thể sống thiếu cuộc sống, và nghe nói bị cướp bạo lực có thể rút ngắn tuổi thọ đáng kể. Đùa một तरफ, đừng lang thang đường dùng scanner Pokémon Go mà không quan sát thực tế xung quanh, và đừng đi săn nơi bạn bình thường không đi. Pokémon không bảo vệ bạn trong thực tế.
Cảnh sát tốt bụng
Mặt khác, có báo cáo vui về cảnh sát ngăn người chơi lang thang, rồi cùng săn khi hiểu chuyện. Nhớ rằng, game thực tế tăng cường vẫn rất mới cho nhiều người, kể cả cảnh sát. Nếu bạn lén lút quanh nghĩa trang thường xuyên bởi buôn ma túy, chắc chắn bị hỏi. Chỉ cần lịch sự, giải thích bạn đang làm gì.
Droidjack dùng Sideload… Siêu hiệu quả!
Bằng cách mở Android cho APK không ký và không xác minh, bạn có thể mời mã độc vào nhà. Tôi không sỉ nhục người dùng thích tải và dùng APK ngoài Google Play bằng cách nói "Đừng làm, bạn chắc chắn bị mã độc luôn," vì không đúng.
Tuy nhiên, tôi đồng ý Proofpoint: "đây là thực hành rủi ro cực cao và dễ dẫn người dùng cài app độc hại trên thiết bị di động… nếu một cá nhân tải APK từ bên thứ ba đã bị nhiễm backdoor, như chúng tôi phát hiện, thiết bị của họ sẽ bị xâm phạm."
Nhưng trách nhiệm hoàn toàn thuộc về người dùng để thực hiện sự cẩn trọng trước khi tải và cài phần mềm từ nguồn không tin cậy. Giống như cài phần mềm phân phối qua warez xưa được coi là cách chắc chắn gặp virus, cuối cùng phụ thuộc vào người phân phối. Tương tự cho trang phân phối APK.
Tương tự, các trang chủ động khuyến khích người dùng tải và cài APK từ nguồn không rõ ràng nên biết rõ hơn.
Tránh Team Rocket
Jesse, James (và Meowth!) của Team Rocket không thực sự xuất hiện trong game, nhưng xin hãy cẩn tránh tình huống xấu. Đơn giản: không đáng rắc rối.
Bạn sẽ có lượt trở thành người tốt nhất.
Bạn có chuyển sang nguồn không chính thức cho Pokémon Go? Gặp rắc rối không? Hãy chia sẻ câu chuyện bên dưới!