SDK độc hại nhắm vào ví tiền mã hóa iOS thông qua ứng dụng giao đồ ăn
TREE NEWS đưa tin: Theo nhà sáng lập SlowMist Yu Xian, một ứng dụng giao đồ ăn có tên ComeCome (comecome.icu) đã được xác định là chứa SDK độc hại được thiết kế để khai thác lỗ hổng kernel iOS và đánh cắp tài sản trong ví tiền mã hóa. Cuộc tấn công này phản chiếu sự cố đầu độc FomoPeek trước đó, trong đó các phiên bản 1.1–1.2 nhúng một SDK độc hại tích hợp tám phương thức khai thác kernel iOS khác nhau. Mã độc tự động chọn vector tấn công dựa trên mẫu thiết bị và phiên bản hệ điều hành, với các phiên bản iOS bị ảnh hưởng được biết đến trải rộng từ iOS 12.0–18.7 và 26.0–26.1. Khi thành công, khai thác này phá vỡ sandbox của iOS và giành quyền truy cập vào dữ liệu ví.
Cơ chế và phạm vi tấn công
Mức độ tinh vi của bộ công cụ này cho thấy một tác nhân đe dọa có nguồn lực dồi dào. Bằng cách gộp nhiều khai thác kernel lại với nhau, mã độc có thể nhắm vào nhiều loại thiết bị mà không cần người dùng tương tác ngoài việc cài đặt ứng dụng. Yu Xian cảnh báo rằng mối đe dọa có thể mở rộng ra ngoài iPhone sang cả iPad và Mac, đồng thời kêu gọi người dùng cập nhật lên phiên bản iOS mới nhất và hết sức thận trọng với các ứng dụng từ nguồn không rõ ràng.
Sự cố này nối tiếp một mô hình rộng hơn của các cuộc tấn công chuỗi cung ứng nhắm vào người dùng tiền mã hóa thông qua những ứng dụng trông có vẻ vô hại. Các ứng dụng giao đồ ăn, thể dục và tiện ích đặc biệt hiệu quả như vector tấn công vì chúng yêu cầu nhiều quyền và thường được sideload hoặc tải xuống từ các cửa hàng bên thứ ba ở những khu vực mà quyền truy cập cửa hàng ứng dụng chính thức bị hạn chế.
Hàm ý cho ngành
- Bảo mật ví di động: Cuộc tấn công nhấn mạnh rằng ngay cả các hệ điều hành di động được sandbox hóa cũng không miễn nhiễm với các khai thác tinh vi ở cấp kernel, thách thức giả định rằng ví di động vốn dĩ an toàn hơn các lựa chọn thay thế trên máy tính để bàn hay trình duyệt.
- Lỗ hổng trong thẩm định của cửa hàng ứng dụng: Sự hiện diện của mã độc như vậy trong một ứng dụng được phân phối bên ngoài các cửa hàng ứng dụng lớn làm nổi bật rủi ro của việc sideload và khó khăn trong việc kiểm soát các kênh phân phối bên thứ ba.
- Hành vi người dùng: Người nắm giữ tiền mã hóa ngày càng bị nhắm tới thông qua các ứng dụng thường ngày, nghĩa là vệ sinh bảo mật phải vượt ra ngoài việc quản lý ví để bao trùm cả việc sử dụng thiết bị nói chung.
Góc nhìn hướng tới tương lai
Các trường hợp ComeCome và FomoPeek báo hiệu sự leo thang của tội phạm tiền mã hóa tập trung vào di động. Khi iOS và Android tăng cường sandbox, kẻ tấn công đang đầu tư vào các khai thác cấp kernel nhằm vượt qua các biện pháp phòng thủ truyền thống. Dự kiến sẽ thấy nhiều bộ công cụ khai thác đa nền tảng hơn và một thị trường ngày càng lớn cho các lỗ hổng zero-day nhắm vào hệ điều hành di động.
Đối với người dùng, những bài học thực tiễn rất rõ ràng: cập nhật thiết bị kịp thời, tránh các ứng dụng được sideload, và cân nhắc sử dụng ví phần cứng cho những khoản nắm giữ lớn. Đối với ngành, sự cố này củng cố nhu cầu kiểm toán bảo mật liên tục đối với các ứng dụng di động và sự hợp tác lớn hơn giữa các nhà nghiên cứu bảo mật, cửa hàng ứng dụng và cơ quan thực thi pháp luật để phá vỡ các chuỗi cung ứng này trước khi chúng tiếp cận người dùng.
