Nhận diện phần mềm độc hại chạy ngầm trên điện thoại

Điện thoại có phần mềm độc hại chạy ngầm thường để lộ một vài dấu hiệu: pin tụt nhanh và máy nóng khi không dùng, dữ liệu di động tăng bất thường, quảng cáo bật lên ngoài ứng dụng, ứng dụng lạ không có biểu tượng, hoặc tài khoản bị đăng nhập từ nơi khác. Để xác nhận, bạn cần kiểm tra bốn nơi: mục sử dụng pin và dữ liệu, danh sách ứng dụng có quyền đặc biệt (trợ năng, quản trị thiết bị, hiển thị trên ứng dụng khác), cấu hình quản lý thiết bị, và các phiên đăng nhập của tài khoản quan trọng.

Vì sao phần mềm độc hại thích chạy ngầm

Phần mềm độc hại trên điện thoại cần hoạt động liên tục để làm việc của nó: gửi tin nhắn, đọc thông báo chứa mã OTP, hiển thị quảng cáo, gửi vị trí, tải thêm mã độc. Để không bị gỡ, nó cố gắng ẩn biểu tượng, đặt tên giống ứng dụng hệ thống như "Dịch vụ Google", "System Update", "Cài đặt", và xin quyền khiến việc gỡ bỏ trở nên khó khăn.

Ở Việt Nam, kiểu lây phổ biến là ứng dụng giả mạo được gửi qua đường link sau cuộc gọi lừa đảo, ví dụ giả cơ quan thuế, điện lực, công an hướng dẫn "cài ứng dụng để cập nhật thông tin". Chiêu mạo danh cơ quan được phân tích trong bài cảnh giác cuộc gọi mạo danh cơ quan công an.

Những dấu hiệu bên ngoài

Một dấu hiệu đơn lẻ chưa đủ kết luận. Khi nhiều dấu hiệu cùng xuất hiện, đặc biệt sau khi bạn vừa cài một ứng dụng từ link, hãy kiểm tra ngay.

Tự kiểm tra trên Android

1. Mục sử dụng pin và dữ liệu

Vào Cài đặt, Pin, xem ứng dụng nào tiêu thụ nhiều nhất. Tương tự với mục Sử dụng dữ liệu. Ứng dụng bạn hầu như không mở nhưng đứng đầu danh sách là đáng ngờ.

2. Danh sách tất cả ứng dụng

Vào Cài đặt, Ứng dụng, chọn hiển thị cả ứng dụng hệ thống. Tìm ứng dụng không nhớ đã cài, ứng dụng có tên chung chung, biểu tượng mặc định của Android, hoặc ngày cài trùng với thời điểm bạn bấm vào link lạ.

3. Quyền trợ năng (Accessibility)

Đây là quyền mạnh nhất mà mã độc Android hay lạm dụng: đọc nội dung màn hình, tự bấm nút, chặn bạn gỡ cài đặt. Vào Cài đặt, Hỗ trợ tiếp cận (hoặc Trợ năng), xem mục Ứng dụng đã tải xuống. Ngoài trình đọc màn hình, trình quản lý mật khẩu hay ứng dụng tự động hóa bạn chủ động cài, rất ít ứng dụng có lý do dùng quyền này.

4. Ứng dụng quản trị thiết bị

Vào Cài đặt, Bảo mật, Ứng dụng quản trị thiết bị. Ứng dụng lạ ở đây phải được tắt quyền trước thì mới gỡ được.

5. Quyền hiển thị trên ứng dụng khác và đọc thông báo

Quyền hiển thị đè cho phép tạo màn hình giả phủ lên ứng dụng ngân hàng; quyền truy cập thông báo cho phép đọc mã OTP. Kiểm tra trong mục Quyền truy cập đặc biệt của ứng dụng.

6. Google Play Protect

Mở Google Play, chạm ảnh đại diện, Play Protect, chọn Quét. Công cụ này phát hiện nhiều ứng dụng độc hại đã biết, kể cả ứng dụng cài ngoài cửa hàng.

Tự kiểm tra trên iPhone

iOS hạn chế ứng dụng chạy ngầm và cài ngoài App Store, nên mã độc phổ biến kiểu Android ít gặp hơn. Những điểm cần kiểm tra:

• Cấu hình và quản lý thiết bị: Cài đặt, Cài đặt chung, Quản lý VPN và thiết bị. Profile lạ có thể kiểm soát lưu lượng mạng hoặc cài ứng dụng ngoài App Store.
• Apple ID: kiểm tra danh sách thiết bị đăng nhập; kẻ biết mật khẩu Apple ID có thể đọc dữ liệu iCloud mà không cần chạm vào máy.
• Quyền riêng tư: Cài đặt, Quyền riêng tư và bảo mật, xem ứng dụng nào truy cập vị trí, micro, camera; báo cáo quyền riêng tư của ứng dụng cho biết lần truy cập gần đây.
• Chấm xanh, chấm cam: chấm trên thanh trạng thái báo camera hoặc micro đang hoạt động.

Cách bảo vệ micro và camera khỏi bị chiếm quyền được trình bày thêm trong bài bảo vệ webcam và micro tránh bị theo dõi ngầm.

Gỡ bỏ ứng dụng độc hại

1. Bật chế độ máy bay để ngắt liên lạc của ứng dụng với máy chủ điều khiển.
2. Thu hồi quyền quản trị thiết bị và quyền trợ năng của ứng dụng nghi vấn.
3. Gỡ cài đặt ứng dụng. Nếu nút gỡ bị mờ, khởi động Android vào chế độ an toàn rồi thử lại.
4. Trên iPhone, xóa profile lạ và ứng dụng không rõ nguồn gốc.
5. Nếu vẫn còn dấu hiệu, sao lưu ảnh và danh bạ rồi khôi phục cài đặt gốc.

Sau khi gỡ: bảo vệ tài khoản

• Gọi tổng đài ngân hàng kiểm tra giao dịch, khóa tạm dịch vụ nếu cần.
• Đổi mật khẩu email, mạng xã hội, ngân hàng từ một thiết bị khác.
• Đăng xuất mọi phiên đăng nhập, bật xác thực hai yếu tố.
• Báo cho người thân nếu điện thoại có thể đã gửi tin nhắn lạ.

Tài khoản Telegram, Zalo cũng là mục tiêu phổ biến khi điện thoại bị chiếm quyền đọc tin nhắn; xem bài lừa đảo chiếm tài khoản Telegram.

Phòng ngừa từ đầu

• Chỉ cài ứng dụng từ Google Play hoặc App Store; cơ quan nhà nước không yêu cầu cài ứng dụng qua link gửi trong tin nhắn hay cuộc gọi.
• Tắt quyền cài ứng dụng không rõ nguồn cho trình duyệt và ứng dụng chat.
• Đọc kỹ quyền ứng dụng yêu cầu; từ chối quyền trợ năng nếu không hiểu lý do.
• Cập nhật hệ điều hành thường xuyên.
• Đặt mã khóa màn hình, không cho người khác mượn máy không giám sát.

Điện thoại cũ không còn nhận bản cập nhật bảo mật là rủi ro lâu dài; lý do được giải thích trong bài tầm quan trọng của việc cập nhật phần mềm.