ClayRat: Phần mềm gián điệp đọc trộm tin nhắn núp bóng WhatsApp, TikTok và YouTube

Theo hãng an ninh mạng Zimperium, chỉ trong ba tháng gần đây đã ghi nhận hơn 600 biến thể của ClayRat cùng 50 ứng dụng giả mạo được tung ra nhằm đánh lừa người dùng. Mục tiêu của chiến dịch là biến smartphone thành công cụ gián điệp có khả năng thu thập tin nhắn, lịch sử cuộc gọi, thông báo và thậm chí điều khiển camera.

Phương thức tấn công được triển khai khá tinh vi. Tin tặc tạo ra các bản sao của những ứng dụng nổi tiếng như WhatsApp, TikTok, Google Photos hay YouTube, gắn thêm dòng mô tả “Plus” để thu hút người dùng tìm kiếm tính năng nâng cao. Khi truy cập các trang web quảng bá này, nạn nhân được dẫn sang kênh Telegram do nhóm tấn công điều hành. Tại đó, những đánh giá và lượt tải giả mạo được dàn dựng nhằm tạo cảm giác tin cậy, trước khi người dùng bị lừa cài tệp APK chứa mã độc.

Sau khi xâm nhập, ClayRat hoạt động gần như không thể phát hiện. Phần mềm tự động chép dữ liệu, ghi hình bí mật và thậm chí gửi tin nhắn hoặc thực hiện cuộc gọi từ chính điện thoại bị nhiễm. Đáng chú ý, nó còn tự nhân bản bằng cách gửi liên kết độc hại đến toàn bộ danh bạ, giúp chiến dịch lan rộng mà không cần thao tác thủ công.

Trên các thiết bị dùng Android 13 trở lên, nơi hệ thống bảo mật được thắt chặt hơn, ClayRat thay đổi chiến thuật. Ứng dụng giả ban đầu chỉ là trình cài đặt nhỏ, hiển thị giao diện “cập nhật Google Play” để đánh lừa người dùng, trong khi âm thầm tải và giải mã mã độc chính. Khi hoàn tất, nó yêu cầu quyền trở thành ứng dụng SMS mặc định, từ đó giành quyền truy cập trọn vẹn vào nội dung tin nhắn và cuộc gọi.

Zimperium đánh giá ClayRat là một phần trong xu hướng ngày càng phức tạp của tội phạm mạng nhắm vào hệ sinh thái Android. Trong khi đó, một nghiên cứu độc lập của Đại học Luxembourg cũng cho thấy nhiều dòng điện thoại Android giá rẻ bán tại châu Phi được cài sẵn ứng dụng có quyền truy cập sâu, âm thầm gửi dữ liệu định danh và vị trí của người dùng tới máy chủ bên ngoài.

Google cho biết các thiết bị Android có Dịch vụ Google Play sẽ được Play Protect tự động chặn các biến thể ClayRat đã biết. Tuy nhiên, nguy cơ vẫn tồn tại nếu người dùng cài ứng dụng từ nguồn không chính thống – điều mà chuyên gia an ninh mạng coi là “điểm yếu muôn thuở” của nền tảng Android.