Spyware Android Corp MDM nhắm vào doanh nghiệp logistics
"A new Android spyware campaign dubbed Corp MDM is targeting logistics firms through fake Google Play pages impersonating CEVA and TKW Logistics, delivering an APK that steals newly received SMS messages and can redirect calls. The malware uses a hard-coded C2 server, exposes a password-protected admin panel, and supports commands such as call forwarding and self-destruction; no CVE is mentioned, and the main impact is credential theft, SMS interception, and device control."
Nguy cơ đánh cắp OTP và SMS xác thực, chuyển hướng cuộc gọi và điều khiển thiết bị từ xa; có thể dẫn tới chiếm quyền tài khoản và lộ dữ liệu vận hành.
Có thể ảnh hưởng đến quy trình liên lạc, xác thực giao dịch và theo dõi đơn hàng; làm tăng rủi ro gián đoạn và tổn thất do lừa đảo.
Một chiến dịch mã độc Android mới, được đặt tên Corp MDM, đang nhắm vào các doanh nghiệp trong lĩnh vực logistics thông qua các trang giả mạo Google Play mang thương hiệu CEVA và TKW Logistics. Ứng dụng được phát tán dưới dạng APK và ngụy trang như một dịch vụ hệ thống, với tên gói com.corp.mdm.
Theo phân tích, mã độc này được thiết kế để thu thập SMS mới nhận, chuyển hướng cuộc gọi và duy trì một dịch vụ nền ẩn. Sau khi cài đặt, ứng dụng yêu cầu quyền SMS, telephony và notification, rồi gửi dữ liệu về máy chủ điều khiển qua HTTP. Hạ tầng tấn công còn dùng IP cố định 69.55.61.82 và có bảng quản trị bảo vệ bằng mật khẩu trên cổng 3456 để điều khiển thiết bị nhiễm.
Điểm đáng chú ý là chức năng đánh cắp SMS chỉ áp dụng cho tin nhắn mới đến sau khi cấp quyền, nhưng vẫn có thể làm lộ OTP, thông báo giao dịch và dữ liệu xác thực. Doanh nghiệp nên kiểm tra nguồn cài đặt ứng dụng, hạn chế sideloading, giám sát lưu lượng tới hạ tầng bất thường và triển khai MDM/EDR để phát hiện ứng dụng giả mạo, quyền nhạy cảm và hành vi chuyển hướng cuộc gọi.