Ứng dụng iOS độc hại vũ khí hóa khai thác kernel để rút cạn ví tiền mã hóa
TREE NEWS đưa tin: Cuộc điều tra chung của SlowMist và đội ngũ bảo mật OKX đã xác nhận rằng các phiên bản 1.1 đến 1.2 của ứng dụng FomoPeek chứa mã độc có khả năng đánh cắp khóa riêng tư, cụm từ hạt giống, thông tin đăng nhập và lịch sử trò chuyện từ các thiết bị iOS bị nhiễm. Ứng dụng này nhúng một khung khai thác kernel với tám phương thức tấn công khác nhau, tự động chọn đường dẫn phù hợp dựa trên mẫu thiết bị và phiên bản iOS.
Khi thành công, khai thác sẽ thoát khỏi sandbox của iOS, giải mã dữ liệu Keychain và đọc tệp từ các ứng dụng khác. Các phiên bản iOS bị ảnh hưởng trải dài từ 12.0–18.7 và 26.0–26.1. Điều đặc biệt nghiêm trọng là chức năng tấn công hiện đang hoạt động và chạy tự động theo chu kỳ, nghĩa là nạn nhân có thể bị xâm phạm mà không cần bất kỳ tương tác nào của người dùng.
Vì sao cuộc tấn công này đáng lưu tâm
Đây không phải là một ứng dụng lừa đảo thông thường. Khai thác ở cấp kernel trên iOS rất hiếm và đòi hỏi kỹ thuật cao, cho thấy kẻ tấn công có nguồn lực dồi dào. Khả năng giải mã Keychain — kho thông tin xác thực được mã hóa của Apple — nghĩa là mã độc có thể thu thập không chỉ ví tiền mã hóa mà còn cả ứng dụng ngân hàng, thông tin đăng nhập sàn giao dịch và lịch sử tin nhắn. Đối với người dùng tiền mã hóa, hậu quả rất nghiêm trọng: cụm từ hạt giống và khóa riêng tư lưu trong ứng dụng ví trở nên có thể truy cập trực tiếp bởi kẻ tấn công.
Sự hợp tác giữa SlowMist, một công ty bảo mật blockchain hàng đầu, và OKX, một trong những sàn giao dịch lớn nhất, phản ánh xu hướng ngày càng tăng về chia sẻ thông tin tình báo mối đe dọa giữa khu vực công và tư trong ngành tiền mã hóa. Các đội ngũ bảo mật sàn giao dịch có động lực mạnh mẽ để xác định sớm những mối đe dọa như vậy, vì người dùng bị xâm phạm thường đại diện cho rủi ro rút và nạp tiền trong tương lai.
Các bước khắc phục được khuyến nghị
- Kiểm tra tài khoản và tài sản xem có hoạt động bất thường nào không
- Tạo tài khoản mới và tạo khóa riêng tư/cụm từ hạt giống mới trên một thiết bị đáng tin cậy chưa từng cài đặt FomoPeek
- Chuyển tài sản sang tài khoản mới càng sớm càng tốt
- Cập nhật thiết bị lên phiên bản iOS mới nhất
- Ngừng sử dụng và gỡ cài đặt FomoPeek ngay lập tức
Hàm ý rộng hơn đối với bảo mật tiền mã hóa
Ví di động đã trở thành giao diện chính cho người dùng tiền mã hóa phổ thông, nhưng bảo mật hệ điều hành di động vẫn là bề mặt tấn công chưa được đánh giá đúng mức. Trong khi phần lớn sự chú ý của ngành tập trung vào kiểm toán hợp đồng thông minh và khai thác giao thức DeFi, thì việc xâm phạm điểm cuối lại đại diện cho một mô hình mối đe dọa hoàn toàn khác — một mô hình bỏ qua hoàn toàn bảo mật trên chuỗi.
Việc sử dụng khai thác kernel cũng đặt ra câu hỏi về nguồn gốc của loại mã này. Các khai thác kernel iOS tinh vi thường thuộc lĩnh vực của các tác nhân nhà nước hoặc nhà cung cấp giám sát thương mại, và sự xuất hiện của chúng trong một ứng dụng tiền mã hóa hướng tới người tiêu dùng cho thấy hoặc là công cụ bị rò rỉ, hoặc là sự leo thang đáng kể trong năng lực tội phạm.
Trong tương lai, người dùng nên dự đoán rằng các điểm cuối di động sẽ tiếp tục bị nhắm mục tiêu khi lượng nắm giữ tiền mã hóa tăng lên. Ví phần cứng, ký cách ly (air-gapped) và thiết lập đa chữ ký vẫn là những biện pháp phòng thủ vững chắc nhất chống lại loại tấn công này. Sự cố này cũng nhấn mạnh giá trị của hợp tác bảo mật liên ngành — một mô hình có khả năng sẽ mở rộng khi các mối đe dọa trở nên tinh vi hơn.
