Phát hiện mã độc cài sẵn trên điện thoại giá rẻ tại hơn 150 quốc gia

Nguồn ảnh: Dân Trí

(Dân trí) - Các chuyên gia bảo mật phát hiện hàng nghìn điện thoại Android giá rẻ bị cài sẵn mã độc trước khi đến tay người dùng. Chiến dịch này được ghi nhận tại hơn 150 quốc gia trong khoảng 2 năm.

Bitdefender vừa cảnh báo về chiến dịch mã độc có tên Midnight Mimosa trên một số mẫu điện thoại Android giá rẻ, đa thương hiệu sử dụng nền tảng MediaTek. Đáng chú ý, mã độc đã được tích hợp sẵn trong phần mềm hệ thống của thiết bị trước khi bán ra thị trường.

Theo các chuyên gia, một số thiết bị bị ảnh hưởng sử dụng tên model nhái theo những dòng điện thoại cao cấp, chẳng hạn S24 Ultra, S25 Ultra, S26 Ultra hoặc i17 Pro Max.

Cần lưu ý, đây là các tên thiết bị được ghi nhận trong quá trình phân tích, không có nghĩa mọi sản phẩm mang tên tương tự đều chứa mã độc.

Phát hiện mã độc cài sẵn trên điện thoại giá rẻ tại hơn 150 quốc gia - 1 — Một mẫu điện thoại giá rẻ sử dụng tên gọi nhái theo dòng Galaxy S25 (Ảnh: Bitdefender).

Bitdefender cho biết đã ghi nhận hàng nghìn thiết bị bị ảnh hưởng tại hơn 150 quốc gia trong khoảng 2 năm. Mexico, Pháp, Italy, Mỹ và Đức là những quốc gia có số trường hợp được ghi nhận nhiều nhất.

Trong quá trình phân tích, các chuyên gia phát hiện thành phần hệ thống có tên gói "com.android.system.lite". Thành phần này giả dạng ứng dụng hệ thống Android, được tích hợp sẵn trong firmware và có quyền hoạt động ở cấp hệ thống, nên người dùng không thể gỡ bỏ theo cách thông thường.

Theo Bitdefender, mã độc Midnight Mimosa có thể âm thầm cài đặt, gỡ bỏ ứng dụng, cấp quyền cho ứng dụng khác và tải mã lệnh từ xa. Qua đó, kẻ đứng sau có thể triển khai các hoạt động gian lận quảng cáo, tạo lượt nhấp giả hoặc biến thiết bị thành nút chuyển tiếp lưu lượng mạng trong các mạng lưới botnet.

Những hành vi này có thể khiến thiết bị tiêu tốn tài nguyên cho các hoạt động chạy ngầm, đồng thời làm phát sinh rủi ro về quyền riêng tư và an toàn thông tin của người dùng.

Phát hiện mã độc cài sẵn trên điện thoại giá rẻ tại hơn 150 quốc gia - 2 — Tỷ lệ các quốc gia bị ảnh hưởng bởi các mẫu điện thoại giá rẻ có cài sẵn mã độc (Ảnh: Bitdefender).

Bitdefender cũng phát hiện firmware trên một số thiết bị được ký bằng chứng chỉ mang tên Shenzhen Zediel. Tuy nhiên, các chuyên gia chưa xác định được bên nào đã đưa mã độc vào firmware, cũng như chưa có đủ căn cứ kết luận chủ sở hữu chứng chỉ có liên quan hoặc biết về việc này.

Theo Bitdefender, mã độc có thể được đưa vào thiết bị ở một công đoạn nào đó trong chuỗi cung ứng, chẳng hạn khi tích hợp firmware hoặc hoàn thiện sản phẩm. Việc xác định chính xác đơn vị chịu trách nhiệm cần thêm thông tin ngoài phạm vi phân tích kỹ thuật hiện có.

Đối với người đang sử dụng thiết bị bị ảnh hưởng, việc loại bỏ mã độc không đơn giản do thành phần này nằm trong firmware hoặc phân vùng hệ thống. Người dùng khó có thể xử lý bằng cách gỡ ứng dụng hoặc khôi phục cài đặt gốc thông thường. Việc khắc phục có thể cần bản firmware sạch từ nhà cung cấp hoặc sự hỗ trợ của kỹ thuật viên có chuyên môn.

Đây không phải lần đầu tiên mã độc được phát hiện cài sẵn trên thiết bị công nghệ trước khi đến tay người dùng. Trước đó, nhiều báo cáo cũng từng ghi nhận các trường hợp thiết bị di động và máy tính được tích hợp phần mềm độc hại trong quá trình sản xuất hoặc phân phối.

Hãng bảo mật Bitdefender vừa đưa ra cảnh báo về chiến dịch mang tên Midnight Mimosa, phát hiện hàng nghìn điện thoại Android giá rẻ sử dụng chip MediaTek bị cài sẵn mã độc ngay từ khâu phân phối. Hoạt động độc hại này đã kéo dài khoảng 2 năm trên phạm vi hơn 150 quốc gia, tập trung nhiều nhất tại Mexico, Pháp, Italy, Mỹ và Đức. Đáng chú ý, các thiết bị nhiễm độc phần lớn mang tên thương mại nhái theo những dòng điện thoại cao cấp như S24 Ultra, S25 Ultra, S26 Ultra hoặc i17 Pro Max. Phân tích kỹ thuật cho thấy mã độc ẩn dưới gói hệ thống có tên "com.android.system.lite", giả dạng một thành phần Android cốt lõi để chiếm quyền điều khiển sâu. Với đặc quyền cấp hệ thống, Midnight Mimosa có thể tự động cài đặt hoặc gỡ bỏ ứng dụng, cấp quyền trái phép, tải mã lệnh từ xa để thực hiện gian lận quảng cáo và biến máy thành nút trung gian cho mạng botnet. Những hoạt động ngầm này vừa làm cạn kiệt tài nguyên phần cứng, vừa đe dọa trực tiếp đến bí mật đời tư và an toàn dữ liệu của người dùng. Dấu vết kỹ thuật ghi nhận firmware trên một số máy được ký bằng chứng chỉ của Shenzhen Zediel, song các chuyên gia nhận định mã độc nhiều khả năng đã bị chèn lén ở một mắt xích trong chuỗi cung ứng sản xuất. Do thành phần độc hại đã nằm sâu trong firmware, các biện pháp thông thường như gỡ cài đặt hay khôi phục cài đặt gốc đều không mang lại hiệu quả. Giải pháp triệt để duy nhất hiện nay là can thiệp nạp lại bản firmware sạch từ nhà sản xuất hoặc thông qua sự hỗ trợ của kỹ thuật viên chuyên nghiệp.