Theo đó, hàng nghìn bot Telegram được sử dụng để lây nhiễm mã độc đánh cắp mã OTP của người dùng tại 113 quốc gia.
Hãng bảo mật Zimperium đã phát hiện chiến dịch và bắt đầu theo dõi từ tháng 2/2022, ít nhất 107.000 mẫu mã độc khác nhau liên kết trực tiếp với chiến dịch được phát hiện.
Mã độc theo dõi tin nhắn chứa mã OTP của hơn 600 thương hiệu toàn cầu, một số có hàng trăm triệu người dùng. Động cơ của kẻ tấn công là tài chính.
Được biết, mã độc đánh cắp SMS được phát tán qua quảng cáo độc hại hoặc bot Telegram, tự động giao tiếp với nạn nhân. Trong trường hợp đầu, nạn nhân bị lừa truy cập các trang giả mạo Google Play; trường hợp còn lại, bot Telegram hứa hẹn cho người dùng ứng dụng android lậu nhưng trước đó họp phải cung cấp số điện thoại để nhận file APK. Con bot này dùng số điện thoại nạn nhân cung cấp để tạo ra một file APK mới, cho phép kẻ xấu theo dõi hoặc tấn công nạn nhân trong tương lai.
Chiến dịch sử dụng 2.600 bot Telegram để quảng bá được điều khiến bằng 13 máy chủ Command & Control. Nạn nhân trải dài tại 113 quốc gia nhưng hầu hết ở Ấn Độ và Nga, bên cạnh đó tại Brazil, Mexico và Mỹ số nạn nhân cũng tương đối lớn.
Các chuyên gia phát hiện mã độc truyền tin nhắn SMS chụp lại được đến một điểm cuối API tại website 'fastsms.su'. Website này bán quyền truy cập số điện thoại ảo tại nước ngoài, từ đó để ẩn danh và xác thực nền tảng, dịch vụ trực tuyến. Nhiều khả năng những thiết bị nhiễm độc đã bị lợi dụng mà nạn nhân không hề hay biết.
Khi cấp quyền truy cập SMS, nạn nhân tạo điều kiện cho mã độc khả năng đọc tin nhắn SMS, đánh cắp thông tin nhạy cảm, bao gồm mã OTP trong quá trình đăng ký tài khoản và xác thực hai yếu tố. Kết quả là, nạn nhân có thể nhận về hóa đơn điện thoại tăng vọt hoặc vô tình bị vướng vào các hoạt động bất hợp pháp, truy dấu về thiết bị và số điện thoại của họ.
Để tránh sập bẫy, khuyến cáo, người dùng Android không nên tải các file APK bên ngoài Google Play, không cấp quyền truy cập cho các ứng dụng không liên quan, đảm bảo kích hoạt Play Protect trên thiết bị.
