Rủi Ro Cài Đặt VPN Này Trên Điện Thoại

Đăng ngày 18 tháng 10, 2025, 9:00 EDT

Sau khi gia nhập MUO 2014 và lấy bằng Hệ thống Thông tin Máy tính, Ben छोड़ việc IT để làm full-time tại trang web 2016. Anh gia nhập đội biên tập 2017 và thăng tiến từ đó.

Là nhà văn, chuyên môn bao gồm Windows, Android, Gaming, iPhone explainer và how-to. Anh master Windows từ 2009, có Android đầu tiên 2011, dùng iPhone hàng ngày từ 2020. Bài viết được xem hơn 100 triệu lần.

Giờ là Senior Editor tại MUO, Ben lãnh đạo phân khúc Devices và Home, dẫn dắt bằng ví dụ viết hàng chục bài chất lượng mỗi tháng.

Ngoài công việc, Ben thích trải nghiệm game mới, khám phá âm nhạc, học thông tin mới, và thời gian bạn bè. MUO là nhà, nhưng anh cũng viết ngắn cho Nintendo Life và đóng góp blog công ty.

Dễ dàng lơ là nguy hiểm cài app không xác thực, nhưng làm vậy thường có hậu quả. Nhà nghiên cứu bảo mật gần đây phát hiện app Android tự nhận là dịch vụ kết hợp IPTV miễn phí và VPN thực chất là mã độc tồi tệ.

Phân tích cách nó hoạt động thú vị và minh họa tầm quan trọng của việc cảnh giác với những gì bạn cài trên thiết bị.

App "VPN" bạn không muốn cài

Nhà nghiên cứu bảo mật tại Cleafy viết báo cáo chi tiết về dạng mã độc mới, tên "Klopatra", không liên quan đến họ mã độc đã biết.

Tấn công bắt đầu với app giả "Mobdro Pro IP TV + VPN", tuyên bố cho truy cập kênh IPTV đồng thời cung cấp VPN miễn phí cho ẩn danh. Nhiều luồng IPTV bất hợp pháp vì cung cấp nội dung bản quyền không授权. Do đó, app như này thường không có trên store chính thức vì vi phạm điều khoản dịch vụ.

Trong quá trình cài đặt, app nhắc bạn nút Tiếp tục cài đặt. Chạm vào hiện lời nhắc Android về cho phép app cài app khác — cờ đỏ ngay lập tức. Bạn có thể cho phép app Files cài APK Android từ file bạn tải. Nhưng app VPN/streaming không có lý do cài app khác trên thiết bị bạn.

Nếu bạn cấp quyền này, bạn sau đó được nhắc cài app khác, chứa mã độc. Chú ý trong ảnh chụp màn hình app thứ hai có ký tự "M" khác và tên "Mobdro pro". Điều này cố gắng lừa nạn nhân nghĩ họ "hoàn thành" một cài đặt, thực tế họ cài app thứ hai, khác biệt.

Ngay cả mẹo bảo mật Android tốt nhất cũng không giữ bạn không tự trao quyền truy cập trực tiếp cho mã độc.

Yêu cầu thêm quyền để lạm dụng

Sau khi bạn bị lừa cài app Klopatra, nó ngay lập tức yêu cầu quyền lớn để chiếm đoạt thiết bị. Yêu cầu cốt lõi là Dịch vụ Truy cập (Accessibility Services), dùng bởi app hỗ trợ hợp pháp để đọc nội dung màn hình và tương tác thiết bị cho bạn.

Nhưng kẻ xấu có thể dùng nó gây thiệt hại lớn. Có quyền truy cập cho phép app đọc toàn bộ văn bản trên màn hình, bắt mọi thứ bạn nhập, điều hướng app, nhấn nút, vuốt, và nhập văn bản cho bạn.

Một khi app có quyền này, nó dùng để tắt tối ưu hóa pin để Android không kết thúc tiến trình. Trong lúc đó, mã độc cũng thu thập tất cả thông tin thiết bị, bao gồm app đã cài, để hiểu bạn tốt hơn.

Mối đe dọa rõ ràng, chi tiết

Cleafy tiếp tục cung cấp phân tích chi tiết cách mã độc này vượt qua tấn công malware smartphone điển hình. Nó dùng nhiều công cụ và phương pháp làm cho nó khó phát hiện và reverse engineering.

Bản chất, mã độc cung cấp truy cập từ xa cho kẻ tấn công, cho họ làm mọi thứ bạn làm với thiết bị trên tay. Bao gồm chế độ VNC ẩn, cho phép điều khiển từ xa với màn hình đen. Do đó, chủ thiết bị bị nhiễm không thể phát hiện sự cố bằng cách nhận thấy thiết bị thực hiện hành động — như thể tự động.

Mã độc chủ động theo dõi mối đe dọa đối với nó và ngăn bạn hành động. Nó chứa danh sách app bảo mật Android phổ biến; nếu bạn cài một trong số đó, nó sẽ cố gắng gỡ cài đặt để tránh phát hiện. Với toàn quyền kiểm soát, app cũng có thể buộc hành động "quay lại" nếu bạn nhận ra chuyện gì xảy ra và cố gỡ app độc hại.

Tìm hiểu về người đứng sau cuộc tấn công

Điều tra tiết lộ Klopatra đến từ Thổ Nhĩ Kỳ, vì mọi thứ từ bình luận operator về nạn nhân riêng lẻ đến hàm code đều bằng tiếng Thổ Nhĩ Kỳ.

Tất cả yếu tố này chỉ ra tấn công nhóm phối hợp, tinh vi. Đây không phải trò đùa của người nghiệp dư mua mã độc sẵn có; nó từ team biết họ làm gì và dành thời gian bảo vệ tài sản tấn công.

Chiến dịch mã độc tập trung vào Châu Âu, nhắm vào ngân hàng Tây Ban Nha và Ý. Tuy nhiên, team xác định server thứ ba chạy chiến dịch ở nhiều quốc gia khác, gợi ý tấn công có thể mở rộng theo thời gian.

Cleafy cũng ghi nhận cách tấn công phát triển theo thời gian, từ nguyên mẫu tháng 3/2025 đến phiên bản hiện đại với tất cả bảo vệ và cơ chế trộm nâng cao.

Tấn công tài khoản tài chính

Dù độc đáo, Klopatra vẫn dùng thủ đoạn biết từ đe dọa Android khác. Nó chứa danh sách app tài chính; khi bạn mở một, mã độc hiển thị hộp thoại giả y hệt trên màn hình đăng nhập chính thức. Bạn không nhận ra, nhưng bạn đang giao mật khẩu cho kẻ tấn công.

Không ngạc nhiên, kẻ tấn công thích hành động ban đêm. Khi nạn nhân ngủ, thiết bị có thể online và sạc, cho phép tội phạm truy cập không gây nghi ngờ.

Qua truy cập từ xa sâu rễ, operator từ xa có thể kiểm tra thiết bị có đang dùng, làm màn hình đen, dùng PIN đánh cắp để mở khóa, rồi mở app ngân hàng và chuyển tiền đến tài khoản của họ. Đó là tấn công tinh vi, kết hợp thu thập dữ liệu tự động và hành động trực tiếp từ kẻ xấu.

Phân tích app tìm thấy trường văn bản nơi tội phạm để ghi chú về cố gắng. Ví dụ, văn bản cho thấy operator có mẫu mở khóa nạn nhân và chuyển $7,000 đã thất bại.

Thông minh để tự bảo vệ

Dù bạn không sống ở khu vực bị nhắm mục tiêu, bạn có thể rút bài học từ cách nó hoạt động. Vì mã cực khó phát hiện và gỡ, thiết yếu là bạn không cho phép loại app này gần hệ thống.

Dòng phòng thủ quan trọng nhất: không cài app bạn không tin, nhất là từ bên ngoài Play Store. Liên quan vấn đề này, Google tuyên bố Google Play Protect sẽ giữ thiết bị an toàn từ hành vi độc hại. Và dù tốt, nó không bắt hết.

Cũng đáng lưu ý: tải trọng ban đầu của cuộc tấn công là app hứa hẹn nội dung IPTV miễn phí. Tìm nội dung bất hợp pháp trực tuyến dẫn đến nhiều rủi ro, bao gồm mã độc, nên khôn ngoan tránh xa.

Và nếu bạn bao giờ cài app ngay lập tức muốn cài app khác hoặc yêu cầu cấp quyền sâu như Accessibility Services, hãy chạy trốn. App hợp pháp sẽ không bao giờ làm vậy.