Tóm tắt nhanh
- GhostMap là lỗi trong cách Android xử lý một số trường ZIP bên trong APK; cài một tệp được tạo đặc biệt có thể làm tiến trình hệ thống liên tục gặp lỗi.
- Bitdefender tái hiện sự cố trên Pixel 10 chạy Android 17 với bản vá ngày 5/8/2026 và cho biết lỗi có mặt từ Android 10 trở lên.
- Ứng dụng khai thác không cần mã thực thi, quyền đặc biệt hay thao tác mở ứng dụng. Đây là khả năng gây từ chối dịch vụ, chưa phải bằng chứng về một chiến dịch tấn công đang diễn ra.
- Google chưa dự định xử lý lỗi bằng bản vá bảo mật; trong tình huống máy mắc vòng lặp, khôi phục cài đặt gốc có thể xóa dữ liệu trên máy.
Chỉ một APK được định dạng đặc biệt cũng có thể khiến Android rơi vào vòng lặp khởi động, dù người dùng chưa mở ứng dụng. Bitdefender gọi lỗi này là GhostMap; điểm đáng lo không nằm ở mã độc chạy ngầm, mà ở cách các thành phần của Android diễn giải không giống nhau một số thông tin trong tệp ZIP.
Hai bộ đọc ZIP hiểu khác nhau về kích thước tệp
Mỗi mục trong tệp ZIP khai báo phương thức nén và kích thước sau khi giải nén. Android dùng các thư viện khác nhau để kiểm tra APK và nạp tài nguyên của ứng dụng. libziparchive kiểm tra kích thước chưa nén trong trường hợp mục được đánh dấu là không nén; còn libandroidfw lại coi mọi phương thức không phải nén deflate là dữ liệu không nén và ánh xạ theo kích thước đã khai báo.
Một mục ZIP mang giá trị phương thức nén khác hai dạng Android xử lý thông thường có thể lọt qua phép kiểm tra ở thư viện thứ nhất, nhưng bị thư viện thứ hai đọc như dữ liệu không nén. Nếu kích thước khai báo lớn hơn phần dữ liệu thực, hệ thống có thể ánh xạ một vùng nhớ vượt khỏi cuối tệp. Khi tiến trình đọc tới phần không tồn tại đó, CPU phát sinh SIGBUS và tiến trình bị dừng.
Trong thử nghiệm Bitdefender công bố, APK 8.408 byte được ánh xạ thành vùng khoảng 16.781.312 byte. Chênh lệch ấy không tự chạy mã hay cấp thêm quyền cho ứng dụng; nó tạo điều kiện để một tiến trình Android gặp lỗi khi đọc tài nguyên bị định dạng sai. Đây là lỗi phân tích cấu trúc tệp, không phải một ứng dụng tự thực thi hành vi phá hoại.
Vì sao lỗi có thể lặp lại sau mỗi lần máy khởi động
Nếu tài nguyên gây lỗi chỉ được đọc lúc cài đặt, trình cài đặt có thể sập và quá trình cài đặt thất bại. Kịch bản nghiêm trọng hơn xảy ra khi tệp đã nằm trên máy và một dịch vụ hệ thống đọc nó trong lúc khởi động. Bitdefender cho biết system_server có thể liên tục dừng rồi được Android khởi chạy lại; ở lần khởi chạy tiếp theo, dịch vụ lại đọc cùng tài nguyên và tiếp tục gặp lỗi.
Trong trường hợp đó, khởi động lại không giải quyết được nguyên nhân. Theo Bitdefender, Safe Mode cũng không giúp vì việc đọc tệp có thể xảy ra trước khi chế độ này hoạt động. Nhóm nghiên cứu tái hiện vòng lặp trên Pixel 10 chạy Android 17, bản vá bảo mật ngày 5/8/2026; họ cho biết đã thấy lỗi từ Android 10 trở lên. Đây là kết quả thử nghiệm của nhóm, không đồng nghĩa mọi mẫu máy đã được kiểm chứng riêng.
Bitdefender nói cách khôi phục thông thường có thể là factory reset, đồng nghĩa dữ liệu lưu cục bộ bị xóa. ADB đôi khi có thể giúp xóa tệp gây lỗi nếu USB debugging đã được bật từ trước và có thể thao tác đúng thời điểm; đây không phải lựa chọn sẵn có cho đa số người dùng. Vì thế, cài APK từ nguồn không rõ ràng không chỉ tạo nguy cơ lộ dữ liệu hay cài phần mềm gián điệp: một tệp lỗi được dựng có chủ đích còn có thể khiến thiết bị không khởi động ổn định.
Đây là nguy cơ từ chối dịch vụ, chưa phải mã độc đang lây lan
Bitdefender nói mẫu APK ban đầu được phát hiện trong quá trình phân tích một tệp liên quan đến mã độc ngân hàng, nhưng nhóm nghiên cứu không thấy dấu hiệu tác giả mẫu đó cố tình tạo vòng lặp khởi động. Sau khi điều tra, họ tự xây dựng minh chứng để tái hiện tác động lên dịch vụ hệ thống. Nhóm cũng nói chưa quan sát thấy GhostMap được khai thác ngoài thực tế.
Phân biệt này quan trọng: GhostMap không tự đánh cắp dữ liệu, thực thi mã hay vượt qua quyền ứng dụng theo các bằng chứng đã công bố. Các kịch bản dùng nó để phá hoại, gây áp lực đòi tiền hoặc làm công cụ quét ứng dụng bị sập là khả năng mà lỗ hổng mở ra, không phải những vụ việc đã được xác nhận. Việc minh chứng kỹ thuật công khai có thể giúp người khác hiểu và kiểm tra lỗi, đồng thời cũng khiến nhà phát triển phần mềm bảo mật và nền tảng phải đánh giá rủi ro cẩn thận hơn.
Google chưa có kế hoạch vá qua bản cập nhật bảo mật
Bitdefender cho biết đã gửi báo cáo cho Google ngày 20/8 và bổ sung minh chứng ngày 25/8/2026. Theo nhóm nghiên cứu, báo cáo đầu bị đóng với trạng thái “Won’t Fix (Not Reproducible)”; sau lần gửi tiếp theo, Google trả lời rằng vấn đề nằm ngoài phạm vi bản cập nhật bảo mật và chuyển cho nhóm tính năng xem xét khả năng đưa vào phiên bản tương lai.
Điều đó có nghĩa người dùng hiện không nên mặc định rằng một bản vá bảo mật hàng tháng đã khắc phục GhostMap. Tuy vậy, thông tin về phản hồi của Google ở đây dựa trên tường thuật của Bitdefender; chưa có thông báo kỹ thuật độc lập từ Google trong các nguồn được dẫn. Cách xử lý cuối cùng và phạm vi thiết bị bị ảnh hưởng thực tế vẫn cần được xác nhận qua cập nhật chính thức.
Người dùng nên tránh cài APK không rõ nguồn
Với người dùng Android tại Việt Nam, lời khuyên thực tế lúc này vẫn là chỉ cài APK từ nhà phát triển hoặc kho ứng dụng đáng tin cậy, và không cài tệp được gửi qua tin nhắn hay trang tải xuống lạ chỉ vì lời mời nhận quà hoặc xem nội dung. Vì lỗi có thể kích hoạt trong lúc hệ thống đọc tài nguyên, việc không mở ứng dụng sau khi cài không đảm bảo an toàn.
Bitdefender cho biết sản phẩm Mobile Security của họ nhận diện được mẫu định dạng này trong thử nghiệm nội bộ. Đây là tuyên bố của nhà cung cấp bảo mật, không nên hiểu thành bảo đảm rằng mọi công cụ bảo mật đều phát hiện được hoặc mọi cảnh báo đều chặn cài đặt tự động. Android cũng hạn chế ứng dụng bên thứ ba tự gỡ ứng dụng khác, nên người dùng vẫn cần thận trọng trước khi xác nhận cài một APK lạ.
Nguồn tham khảo: Bitdefender Labs; Android Authority; Help Net Security
