Mã độc Android Hirudo có thể đánh cắp mật khẩu ngân hàng và kiểm soát điện thoại từ xa

Kaya · 14:16

Một mã độc Android mới mang tên Hirudo đang được sử dụng để đánh cắp thông tin đăng nhập ngân hàng, mã PIN thanh toán và tin nhắn SMS, đồng thời cho phép tin tặc theo dõi màn hình, truy cập camera và điều khiển điện thoại từ xa. Đáng chú ý, mã độc này còn tìm cách thay thế ứng dụng ngân hàng thật bằng phiên bản đã bị chỉnh sửa nhằm vô hiệu hóa các cơ chế bảo vệ ngay bên trong ứng dụng.

Theo công bố ngày 14/10/2026 của công ty an ninh mạng ThreatFabric (Hà Lan), Hirudo được phát tán thông qua các ứng dụng giả mạo hoặc có vẻ hợp pháp, phục vụ mua sắm, xem video và phim ngắn. Các nhà nghiên cứu đã xác định những phiên bản ứng dụng ngân hàng bị chỉnh sửa nhắm vào tám ứng dụng của bảy ngân hàng tại Indonesia. Tuy nhiên, mã độc còn nhắm tới thông tin tài khoản tài chính tại Trung Quốc, Ấn Độ, Mexico, Morocco và Thái Lan. Hiện chưa có số liệu xác định tổng số thiết bị bị ảnh hưởng.

Giả mạo ứng dụng giải trí để đưa mã độc vào điện thoại

Hirudo được phát tán theo hai giai đoạn. Ban đầu, người dùng được dụ cài đặt những ứng dụng có giao diện và nội dung tương đối bình thường, chẳng hạn ứng dụng mua sắm Shopora, ứng dụng video 1V1 X hoặc các ứng dụng xem phim ngắn ZoyaTV và KoiShort.

Sau khi được cài đặt, những ứng dụng này hiển thị nội dung để tạo cảm giác đáng tin cậy, nhưng đồng thời đưa ra thông báo cập nhật giả. Nếu người dùng làm theo hướng dẫn và cài đặt gói ứng dụng được yêu cầu, mã độc Hirudo sẽ được cài thêm vào thiết bị.

Để hoạt động, mã độc cần được cấp các quyền riêng, trong đó có quyền Trợ năng (Accessibility) và quyền truy cập thông báo. Đây là những quyền có thể bị lợi dụng để theo dõi thao tác, đọc thông tin hiển thị và thu thập dữ liệu trên điện thoại.

Các nhà nghiên cứu cho biết những ứng dụng dụ cài mã độc được quảng bá qua các trang web giả mạo trang tải ứng dụng Google Play và có dấu hiệu được dẫn tới người dùng thông qua quảng cáo trên các nền tảng mạng xã hội của Meta.

Thay thế ứng dụng ngân hàng thật bằng phiên bản đã bị chỉnh sửa

Hirudo không chỉ sử dụng màn hình giả để đánh lừa người dùng nhập thông tin. Với những ứng dụng ngân hàng được nhắm mục tiêu, mã độc còn tìm cách gỡ ứng dụng chính thức trên điện thoại rồi tải về phiên bản đã bị chỉnh sửa để thay thế. Phiên bản độc hại vẫn giữ phần lớn mã nguồn và giao diện của ứng dụng gốc, nhưng được bổ sung một cơ chế can thiệp vào hoạt động bên trong ứng dụng. Nhờ đó, mã độc có thể khiến một số bước kiểm tra bảo mật nhận về kết quả do kẻ tấn công kiểm soát.

Cụ thể, cơ chế này tìm cách che giấu thông tin chữ ký ứng dụng đã bị thay đổi, làm cho các dịch vụ Trợ năng đang hoạt động không được hiển thị khi bị kiểm tra, đồng thời vô hiệu hóa biện pháp ngăn chụp hoặc ghi lại màn hình. Hirudo cũng can thiệp vào quy trình xác minh tính toàn vẹn ứng dụng để tạo ra kết quả có vẻ hợp lệ. Nói cách khác, thay vì chỉ tìm cách vượt qua lớp bảo vệ từ bên ngoài, mã độc can thiệp trực tiếp vào ứng dụng ngân hàng để làm sai lệch kết quả kiểm tra của chính ứng dụng đó.

Tuy nhiên, phương thức này không hoàn toàn tự động hay không thể bị phát hiện. Việc thay thế đòi hỏi ứng dụng ngân hàng chính thức phải được gỡ bỏ và người dùng phải cho phép cài đặt phiên bản khác. Đây là những bước mà người dùng vẫn có thể từ chối hoặc ngăn chặn.

Có thể đánh cắp thông tin tài chính và theo dõi điện thoại

Sau khi được cài đặt và cấp đủ quyền, Hirudo có thể thực hiện nhiều hành vi nguy hiểm:

Đánh cắp thông tin ngân hàng: Thu thập mật khẩu đăng nhập, mã PIN thanh toán và thông tin xác thực của các ứng dụng tài chính.
Chiếm đoạt thông tin mở khóa: Hiển thị màn hình giả để ghi lại mã PIN, mật khẩu hoặc hình vẽ mở khóa điện thoại.
Thu thập tin nhắn SMS: Đọc tin nhắn, trong đó có thể bao gồm các thông báo giao dịch và mã xác thực gửi từ ngân hàng.
Theo dõi màn hình và camera: Cho phép kẻ tấn công xem màn hình điện thoại từ xa, đồng thời truy cập camera trước hoặc sau.
Dàn dựng giao dịch giả: Hiển thị giao diện thanh toán giả và thông báo giao dịch thành công, trong khi thông tin thanh toán thực tế đã bị thu thập.

Những khả năng này có thể kết hợp với nhau để hỗ trợ chiếm đoạt tài khoản và thực hiện hành vi gian lận tài chính. Đặc biệt, khi kẻ tấn công vừa lấy được thông tin đăng nhập, vừa có thể theo dõi hoạt động trên thiết bị, người dùng sẽ khó nhận biết dữ liệu nào đã bị lộ và những thao tác nào đang bị giám sát.

Người dùng Android cần làm gì để phòng tránh?

Để hạn chế nguy cơ nhiễm mã độc tương tự Hirudo, người dùng nên:

Chỉ tải ứng dụng từ Google Play hoặc nguồn chính thức do nhà phát triển cung cấp; không cài các tệp APK từ quảng cáo, đường dẫn lạ hoặc website không đáng tin cậy.
Không cài đặt ứng dụng bổ sung theo yêu cầu từ thông báo cập nhật bất thường bên trong một ứng dụng, đặc biệt khi được hướng dẫn tải tệp từ bên ngoài cửa hàng ứng dụng.
Kiểm tra kỹ các quyền Trợ năng, quyền truy cập thông báo và những quyền nhạy cảm khác. Không cấp quyền nếu chưa hiểu rõ mục đích sử dụng.
Duy trì Google Play Protect và cập nhật hệ điều hành Android, ứng dụng ngân hàng lên phiên bản mới nhất.
Nếu nghi ngờ đã cài ứng dụng độc hại, hãy sử dụng một thiết bị an toàn để liên hệ ngân hàng, yêu cầu kiểm tra và bảo vệ tài khoản; đổi mật khẩu, thu hồi phiên đăng nhập đáng ngờ và kiểm tra các giao dịch bất thường.

Hirudo cho thấy mã độc ngân hàng trên Android đang tìm cách vượt qua cả những cơ chế bảo vệ được tích hợp bên trong ứng dụng tài chính. Vì vậy, người dùng không nên chỉ dựa vào giao diện quen thuộc hoặc thông báo ứng dụng hoạt động bình thường để xác định độ an toàn. Một ứng dụng trông giống bản chính thức vẫn có thể đã bị chỉnh sửa, đặc biệt nếu được cài từ nguồn không đáng tin cậy.