RedHook Android RAT: Bước tiến mới trong kỹ thuật chiếm quyền thiết bị Android

Tóm Tắt Chiến Dịch

Báo cáo từ Group-IB Threat Intelligence công bố ngày 9 tháng 7 năm 2026 xác nhận sự tái xuất của mã độc RedHook — một Trojan truy cập từ xa (RAT) trên Android với những cải tiến mang tính đột phá về kỹ thuật leo thang đặc quyền. Thay vì khai thác các lỗ hổng zero-day phức tạp, RedHook tự động lạm dụng tính năng gỡ lỗi không dây (Wireless ADB) có sẵn trên Android kết hợp với framework mã nguồn mở Shizuku để chiếm quyền shell (uid 2000) trên thiết bị nạn nhân.

Chiến dịch này đang có xu hướng dịch chuyển mục tiêu từ Việt Nam sang Indonesia, nhắm thẳng vào khách hàng của các ứng dụng tài chính và dịch vụ công. Kẻ tấn công sử dụng các trang web giả mạo dịch vụ chính phủ để lừa nạn nhân tải về tệp APK độc hại được lưu trữ trực tiếp trên AWS S3 và GitHub nhằm tránh các cơ chế lọc URL thông thường.

Lịch Sử Và Quá Trình Phát Triển RedHook

Mã độc RedHook không phải là một mối đe dọa hoàn toàn mới mà là kết quả của một quá trình tiến hóa công nghệ liên tục từ các chiến dịch tấn công tài chính trước đó.

Giai đoạn khởi đầu (Tháng 7/2025)

RedHook lần đầu tiên được ghi nhận công khai bởi các nhà nghiên cứu bảo mật từ công ty Cyble vào tháng 7 năm 2025. Trong giai đoạn này, mã độc hoạt động dưới dạng một Trojan ngân hàng Android (Android Banking Trojan) thông thường. Mục tiêu trọng tâm của nó là người dùng tại thị trường Việt Nam. Kẻ tấn công phân phối mã độc thông qua các trang web giả mạo các cơ quan chính phủ Việt Nam (như Tổng cục Thuế) hoặc các tổ chức tài chính lớn, dẫn dụ nạn nhân tải về các tệp tin cài đặt APK trực tiếp (sideloading).

Về mặt kỹ thuật, các phiên bản đầu tiên của RedHook phụ thuộc hoàn toàn vào việc lạm dụng quyền Accessibility Service để:

1. Thu thập thông tin nhạy cảm qua Keylogging.

2. Đọc trộm tin nhắn SMS để đánh cắp mã OTP.

3. Thực hiện tấn công đè giao diện (Overlay attack) bằng cách hiển thị các trang đăng nhập giả mạo đè lên ứng dụng ngân hàng hợp pháp nhằm chiếm đoạt thông tin xác thực.

4. Đánh cắp mã pin hoặc hình vẽ (pattern) mở khóa màn hình.

Nâng cấp hạ tầng và mở rộng quy mô (Cuối năm 2025 - Đầu năm 2026)

Đến cuối năm 2025, mã độc RedHook bắt đầu trải qua đợt nâng cấp lớn về cấu trúc điều khiển. Các nhà phân tích phát hiện mã độc đã chuyển dịch từ giao thức HTTP truyền thống sang giao thức WebSocket thời gian thực, cho phép kẻ tấn công thiết lập luồng truyền phát màn hình (screen streaming) và phản hồi các lệnh điều khiển từ xa (C2 commands) gần như không có độ trễ.

Đồng thời, mục tiêu của chiến dịch không còn bó hẹp ở Việt Nam. Các biến thể bản địa hóa tiếng Bahasa Indonesia bắt đầu xuất hiện trong quý 1 năm 2026, cho thấy ý đồ mở rộng phạm vi tấn công sang các thị trường tài chính năng động khác trong khu vực Đông Nam Á.

Phiên bản nâng cấp đột phá (Tháng 7/2026)

Phiên bản mới nhất của RedHook được ghi nhận vào giữa năm 2026 cho thấy bước nhảy vọt về mặt kỹ thuật thông qua việc tích hợp tính năng gỡ lỗi hệ thống Wireless ADB và framework mã nguồn mở Shizuku. Sự kết hợp này đánh dấu sự chuyển dịch từ một RAT ngân hàng thông thường dựa trên Accessibility Service thành một mã độc kiểm soát thiết bị ở cấp độ shell hệ thống (uid 2000), mở ra khả năng bypass hoàn toàn các cơ chế bảo vệ của Android.

Timeline sự kiện

RedHook lần đầu tiên được ghi nhận bởi các nhà nghiên cứu Cyble vào tháng 7 năm 2025 như một mã độc ngân hàng nhắm vào thị trường Việt Nam. Dưới đây là tiến trình phát triển và các mốc sự kiện chính của mã độc này:

Thời điểm	Sự kiện
07/2025	Cyble phát hiện biến thể đầu tiên của RedHook nhắm vào các ứng dụng ngân hàng tại Việt Nam.
12/2025	Mã độc nâng cấp hạ tầng C2, bổ sung cơ chế giao tiếp WebSocket thời gian thực.
Q1/2026	Bắt đầu xuất hiện các mẫu độc hại nhắm vào người dùng tại Indonesia với giao diện phishing bản địa hóa.
07/2026	Group-IB công bố báo cáo phân tích chi tiết về kỹ thuật lạm dụng Wireless ADB và tích hợp Shizuku.
07/2026	FPT IS SOC ghi nhận các nỗ lực phân phối tệp độc hại sử dụng kho lưu trữ GitHub và AWS S3.

Chuỗi Lây Nhiễm Và Kỹ Thuật Social Engineering

Kẻ tấn công sử dụng các cuộc gọi dụ dỗ hoặc tin nhắn qua ứng dụng OTT (như Zalo, Telegram) giả mạo nhân viên hỗ trợ kỹ thuật hoặc cơ quan chính phủ. Nạn nhân được hướng dẫn truy cập vào các trang web lừa đảo có giao diện tương tự Google Play Store để tải xuống ứng dụng dịch vụ công hoặc tiện ích bảo mật giả mạo.

Các dịch vụ, tệp apk giả mạo được kẻ tấn công lưu trữ trên github

Kẻ tấn công thiết kế Ứng dụng "DỊCH VỤ CÔNG" để đánh lừa người dùng

Sau khi ứng dụng được cài đặt thành công, mã độc hiển thị các màn hình phishing yêu cầu nhập thông tin tài khoản, mật khẩu và mã OTP. Bước quan trọng nhất là lừa người dùng cấp quyền Accessibility Service (Dịch vụ hỗ trợ tiếp cận) thông qua một giao diện hướng dẫn trực quan. Quyền này là bàn đạp để mã độc tự động hóa các thao tác leo thang đặc quyền ở bước sau.

Chuỗi lây nhiễm sẽ được thực thi theo mô hình như sau

Giải Phẫu Kỹ Thuật Leo Thang Đặc Quyền: Wireless ADB & Shizuku

Điểm đặc biệt của RedHook là cơ chế tự động chiếm quyền điều khiển cấp hệ thống (shell privilege - uid 2000) mà không cần root thiết bị hoặc kết nối vật lý với máy tính thông qua cáp USB.

Tự động kích hoạt Wireless ADB qua Accessibility

Sau khi có quyền Accessibility Service, RedHook sẽ chạy một chuỗi thao tác giả lập cử chỉ (gesture) của người dùng trong phần Settings (Cài đặt) của hệ điều hành:

1. Nhấp liên tục 7 lần vào mục Build Number (Số phiên bản) để kích hoạt Developer Options (Tùy chọn cho nhà phát triển).

2. Truy cập vào Developer Options và tìm đến mục Wireless Debugging (Gỡ lỗi không dây).

3. Kích hoạt tính năng Wireless Debugging và nhấn vào tùy chọn Pair device with pairing code (Ghép nối thiết bị bằng mã ghép nối).

4. Đọc trực tiếp giao diện hệ thống để trích xuất mã ghép nối (pairing code) và port kết nối ngẫu nhiên.

Trong suốt quá trình này, mã độc thường hiển thị một màn hình đè (overlay) toàn màn hình để che mắt nạn nhân, khiến mọi thao tác cấu hình diễn ra hoàn toàn ẩn danh trong nền.

Thiết lập cơ chế self-host thông qua Shizuku

Thông thường, công cụ gỡ lỗi ADB yêu cầu một máy tính đóng vai trò là client để gửi lệnh tới daemon (adbd) chạy trên điện thoại. Shizuku đã giải quyết bài toán này bằng cách tận dụng kết nối mạng cục bộ. RedHook tích hợp sẵn một thư viện ADB client riêng.

Khi có mã ghép nối, mã độc tự kết nối tới cổng adbd của chính thiết bị thông qua giao diện loopback (127.0.0.1). Ngay khi kết nối thành công, nó gửi lệnh khởi chạy một tiến trình máy chủ đặc quyền mang tên libmx.so dưới quyền hạn của người dùng hệ thống shell (uid 2000).

Thông qua Binder IPC (Inter-Process Communication), ứng dụng RAT giao tiếp trực tiếp với tiến trình libmx.so để thực thi các tác vụ đặc quyền:

1. Tự động cấp các quyền runtime nguy hiểm mà không cần hiển thị hộp thoại xác nhận của hệ thống.

2. Thực thi các lệnh shell tùy ý trực tiếp với đặc quyền uid 2000.

3. Chụp các sự kiện chạm (low-level touch events) của hệ thống.

4. Ghi đè cấu hình trong Settings.Secure thông qua quyền WRITE_SECURE_SETTINGS.

Mã độc cũng chứa sẵn các đoạn mã tối ưu hóa riêng cho từng ROM của các hãng OEM lớn như Google, Huawei, Meizu, Oppo, Samsung, Vivo và Xiaomi để tự động bật Wireless ADB tùy theo cấu trúc Settings của từng dòng máy.

Phân Tích Cơ Chế Duy Trì Sự Hiện Diện (Persistence Stack)

Để tránh bị các cơ chế tối ưu hóa pin và quản lý bộ nhớ của Android vô hiệu hóa khi thiết bị rơi vào trạng thái nhàn rỗi (idle), RedHook xây dựng một tổ hợp duy trì sự hiện diện cực kỳ kiên cố:

1. Màn hình ẩn 1x1 pixel (One-pixel Activity): Khi phát hiện màn hình thiết bị tắt, mã độc khởi chạy một Activity kích thước 1x1 pixel gần như vô hình. Cơ chế này buộc Android nhận diện ứng dụng đang hoạt động ở tiền cảnh (foreground process), ngăn chặn việc giải phóng tiến trình.

2. Phát âm thanh câm (Silent Audio): RAT liên tục chạy dịch vụ phát âm thanh không có tiếng thông qua lớp MediaSession. Tiến trình phát nhạc luôn được ưu tiên giữ lại trong bộ nhớ.

3. WakeLock: Giữ cho CPU của thiết bị hoạt động liên tục, không chuyển sang trạng thái ngủ sâu (deep sleep).

4. Hồi sinh chéo tiến trình (Cross-process Mutual Resurrection): RedHook chia tách mã nguồn thành hai tiến trình dịch vụ riêng biệt. Hai tiến trình này liên kết với nhau bằng hàm bindService() kèm cờ BIND_AUTO_CREATE. Khi một tiến trình bị hệ thống hoặc phần mềm diệt virus kill, tiến trình còn lại phát hiện qua sự kiện onServiceDisconnected() và ngay lập tức khởi chạy lại tiến trình kia.

5. Đồng hồ báo thức (Alarm Manager): Thiết lập sự kiện kiểm tra định kỳ mỗi 5 phút để đánh thức và khôi phục các dịch vụ nếu cả hai tiến trình trên bị gián đoạn cùng lúc.

6. OOM Score Adjustment: Mã độc cố gắng ghi giá trị ưu tiên thấp nhất -1000 vào tệp cấu hình hệ thống /proc//oom_score_adj. Đây là giá trị miễn trừ tiến trình khỏi bộ lọc giải phóng RAM của Android (Out-Of-Memory killer).

7. mlock() và Memory Pinning: Sử dụng lệnh gọi hệ thống mlock() để ghim vùng nhớ RAM vật lý được cấp phát, ngăn không cho hệ điều hành đưa vùng nhớ này vào bộ nhớ swap trên disk, đồng thời định kỳ ghi đè dữ liệu lên vùng nhớ này để báo hiệu tiến trình đang hoạt động.

Hạ tầng điều khiển C2 và Khả năng giám sát

Mã độc sử dụng giao thức WebSocket mã hóa để duy trì kênh liên lạc hai chiều thời gian thực với máy chủ điều khiển (C2). Dữ liệu đánh cắp từ thiết bị (mật khẩu, danh bạ, tin nhắn SMS) được gửi qua các Rest API endpoint cụ thể.

Endpoints truyền tải dữ liệu

Endpoint	Mục đích hoạt động
/auth/login	Gửi thông tin đăng nhập ban đầu thu thập từ nạn nhân.
/file/upload	Tải ảnh chụp màn hình lên máy chủ C2.
/member/info/addDevice	Cập nhật thông tin chi tiết về cấu hình phần cứng thiết bị.
/member/info/addDevicePassword	Tải lên mật khẩu mở khóa màn hình thu thập được.
/member/info/addsKeyboardInput	Gửi dữ liệu keylogger thu thập từ bàn phím.
/member/info/addMessage	Exfiltrate dữ liệu SMS (để lấy mã OTP giao dịch).
/member/identity_verification/saveSecurityCode	Thu thập mã xác thực bảo mật do người dùng nhập thủ công.

Cơ chế truyền phát màn hình song song (Parallel Screen Streaming)

Thông thường, các ứng dụng Android sử dụng API MediaProjection để truyền phát màn hình, yêu cầu hiển thị một hộp thoại cảnh báo người dùng.

Tuy nhiên, khi có đặc quyền shell uid 2000 từ Shizuku, RedHook khởi chạy luồng stream song song thứ hai thông qua giao thức RTMP. Luồng stream này đọc dữ liệu trực tiếp từ framebuffer của hệ thống ở cấp thấp (low-level), cho phép kẻ tấn công giám sát màn hình nạn nhân theo thời gian thực mà hoàn toàn không kích hoạt bất kỳ hộp thoại cảnh báo hay biểu tượng quay màn hình nào trên thanh trạng thái.

Thống kê bảng lệnh C2

Mã độc hỗ trợ tới 53 lệnh điều khiển từ xa được cấu trúc bằng số hiệu cụ thể gửi qua WebSocket. Dưới đây là các lệnh đáng chú ý:

Mã lệnh	Mô tả kỹ thuật
10002	Giả lập thao tác vuốt màn hình (Swipe).
10003	Giả lập thao tác click tại tọa độ cụ thể.
10004	Tạo màn hình đè (Overlay) giả mạo.
10007	Lấy danh sách toàn bộ ứng dụng cài đặt trên máy.
10008	Lấy toàn bộ lịch sử tin nhắn SMS.
10010	Tải về và âm thầm cài đặt một tệp APK mới (quyền shell).
10011	Gỡ cài đặt một ứng dụng chỉ định.
10020 / 10021	Khóa và mở khóa màn hình thiết bị.
10023	Hiển thị màn hình xác thực khuôn mặt giả mạo, tự kích hoạt camera trước để chụp ảnh chân dung (vượt cơ chế eKYC của ứng dụng ngân hàng).
10028	Vô hiệu hóa tính năng Accessibility của hệ thống.
10047	Kích hoạt cơ chế chống gỡ cài đặt (Anti-uninstall).
10050 / 10051	Cấu hình và thiết lập kết nối ADB không dây.
10054	Tự động cấp một loạt quyền hạn nhạy cảm cho mã độc.
99999	Gỡ bỏ thư viện helper độc hại mx_server ra khỏi hệ thống để xóa dấu vết.

Nhận Định Chuyên Gia

Kỹ thuật lạm dụng Wireless ADB và Shizuku của RedHook đại diện cho một bước phát triển mới của mã độc di động tại Đông Nam Á. Trước đây, các mã độc ngân hàng chủ yếu phụ thuộc vào quyền Accessibility để thực thi các cuộc tấn công overlay hoặc đọc trộm OTP. Việc chuyển sang khai thác tính năng Wireless ADB cho thấy kẻ tấn công đã tìm ra phương án tối ưu để đạt được đặc quyền hệ thống (shell privilege) mà không cần bẻ khóa thiết bị (root) hay khai thác lỗ hổng OS. Đây là dạng tấn công Zero-Exploit Privilege Escalation cực kỳ nguy hiểm vì nó sử dụng hoàn toàn các tính năng hợp lệ của hệ điều hành.

Sự chuyển dịch mục tiêu và mở rộng địa bàn hoạt động từ Việt Nam sang các nước lân cận như Indonesia cho thấy nhóm điều hành mã độc này đang hoạt động theo mô hình chuyên nghiệp hóa, liên tục tối ưu hóa hạ tầng phân phối (sử dụng GitHub, AWS S3 để che giấu traffic độc hại) và giao diện phishing bản địa hóa. Các tổ chức tài chính tại Việt Nam cần cập nhật ngay các dấu hiệu nhận biết của biến thể mã độc này vào hệ thống giám sát giao dịch.

Khuyến nghị phòng thủ

Dành cho các tổ chức tài chính và ngân hàng

• Immediate (0-24h): Cập nhật danh sách các IOC mạng và tên gói ứng dụng độc hại được phát hiện vào hệ thống Threat Intelligence của tổ chức.

• Short-term (1-7 ngày): Triển khai hoặc nâng cấp các giải pháp giám sát phiên người dùng (như Fraud Protection/RASP) có khả năng phát hiện thiết bị đang chạy tiến trình ADB debug hoặc có sự hiện diện của framework Shizuku trong môi trường chạy ứng dụng.

• Long-term: Tích hợp cơ chế phát hiện màn hình đè (Overlay detection) và kiểm tra tính toàn vẹn của môi trường chạy ứng dụng (Device Attestation API) trước khi cho phép thực hiện các giao dịch nhạy cảm.

Dành cho người dùng cá nhân

• Immediate (0-24h): Truy cập Settings -> Developer Options và tắt hoàn toàn tính năng Wireless Debugging (Gỡ lỗi không dây) cũng như USB Debugging. Nếu không có nhu cầu phát triển ứng dụng, hãy tắt hoàn toàn tùy chọn Developer Options (Tùy chọn nhà phát triển).

• Short-term (1-7 ngày): Kiểm tra danh sách ứng dụng đã cấp quyền Accessibility Service trong phần Settings. Vô hiệu hóa quyền này đối với tất cả ứng dụng lạ, đặc biệt là các ứng dụng được cài đặt từ file APK tải về ngoài Google Play Store.

• Long-term: Chỉ cài đặt ứng dụng từ các nguồn chính thống. Cảnh giác với bất kỳ yêu cầu hướng dẫn cài đặt ứng dụng dịch vụ công hoặc ngân hàng từ các số điện thoại lạ hoặc tin nhắn OTT.

IOC

File Hash (SHA-256)

• 453333bffdd1850ea2e0647f7c805530b578919978a01b1e2be52d6eb2add946

Network indicators

• api.3n7wj[.]com

• skt.3n7wj[.]com

• sktv.3n7wj[.]com

• hxxps://api.3n7wj[.]com

• wss://skt.3n7wj[.]com

• wss://sktv.3n7wj[.]com

Tham Khảo

RedHook Returns with a Dangerous Upgrade | Group-IB Blog

RedHook Returns with a Dangerous Upgrade - Live Threat Intelligence - Threat Radar | OffSeq.com

RedHook Android RAT Abuses ADB Wireless Debugging to Gain Shell-Level Access

RedHook Android malware now uses Wireless ADB for shell access