Cách kiểm tra mã độc và chữ ký số APK trước khi cài lên máy

Rất nhiều người dùng Android có thói quen bấm “Cài đặt” ngay khi file APK tải xong mà không hề biết rằng đây chính là thời điểm rủi ro cao nhất. Một file APK đã qua chỉnh sửa (mod) hoàn toàn có thể bị chèn thêm đoạn mã thu thập dữ liệu, quảng cáo ép buộc hoặc worker ngầm chạy nền. Vì vậy, trước khi cấp quyền cho bất kỳ ứng dụng nào, hãy dành ra khoảng 3-5 phút để tự kiểm tra theo quy trình dưới đây.

Bước 1: Đối chiếu mã băm SHA-256 của file

Mã băm (hash) SHA-256 là dãy ký tự đại diện duy nhất cho nội dung của một file. Chỉ cần một byte trong file APK bị thay đổi, toàn bộ chuỗi SHA-256 sẽ khác hoàn toàn. Trên máy tính Windows, bạn có thể mở PowerShell và chạy lệnh:

Get-FileHash ten-file.apk -Algorithm SHA256

Trên điện thoại, có thể dùng các ứng dụng quản lý file hỗ trợ tính năng “Tính hash” tích hợp sẵn. Sau khi có chuỗi hash, hãy so sánh với mã băm được công khai trên trang chủ hoặc kênh phân phối chính thức của nhà phát triển (nếu có). Nếu hai chuỗi không khớp dù chỉ một ký tự, đó là dấu hiệu file đã bị can thiệp ở tầng binary.

Bước 2: Kiểm tra chữ ký số V1/V2/V3 của gói APK

Mọi ứng dụng Android hợp lệ đều phải được ký bằng chứng chỉ số (digital certificate) của nhà phát triển. Android hiện hỗ trợ ba chuẩn ký: V1 (JAR signing, dùng cho thiết bị cũ), V2 và V3 (ký toàn bộ file, chống chỉnh sửa tốt hơn). Khi một file bị dịch ngược (decompile), chèn mã, rồi đóng gói lại, chữ ký gốc sẽ không còn hợp lệ nữa và buộc phải ký lại bằng một chứng chỉ khác — thường là chứng chỉ tự tạo (self-signed) không rõ nguồn gốc.

Bạn có thể kiểm tra bằng công cụ apksigner trong Android SDK Build Tools với lệnh:

apksigner verify –verbose ten-file.apk

Kết quả sẽ hiển thị file được ký theo chuẩn nào, tên tổ chức phát hành chứng chỉ (Issuer) và thời hạn hiệu lực. Nếu phần “Signer” hiển thị thông tin lạ, không liên quan gì đến nhà phát triển gốc, hãy coi đây là tín hiệu cảnh báo nghiêm trọng.

Bước 3: Quét file qua VirusTotal trước khi mở

VirusTotal là dịch vụ tổng hợp hơn 60 engine quét mã độc từ nhiều hãng bảo mật khác nhau. Tải file APK lên trang quét (không cần cài đặt, chỉ upload để phân tích) sẽ cho ra báo cáo chi tiết về:

Số engine phát hiện có dấu hiệu độc hại (dù chỉ 2-3/60 cũng nên cẩn trọng, không chỉ riêng khi tỷ lệ cao)
Các hành vi đáng ngờ như truy cập SMS, danh bạ, vị trí mà không khai báo rõ mục đích
Tên các thư viện quảng cáo (ad SDK) hoặc trình theo dõi (tracker) được nhúng sẵn trong file

Lưu ý rằng kết quả “0/60” không đồng nghĩa với an toàn tuyệt đối — mã độc mới (zero-day) có thể chưa được các engine nhận diện kịp. Đây chỉ là một lớp lọc, không phải lớp phòng thủ cuối cùng.

Bước 4: Rà soát danh sách quyền (permissions) được yêu cầu

Trước khi cài, Android thường hiển thị danh sách quyền ứng dụng sẽ xin khi chạy lần đầu. Hãy tự hỏi: một ứng dụng chỉnh ảnh thì có lý do gì để xin quyền đọc tin nhắn SMS hay quyền truy cập danh bạ? Một trò chơi offline thì có cần quyền ghi âm liên tục trong nền hay không? Bảng dưới đây tổng hợp một số quyền cần đặc biệt lưu ý:

Quyền yêu cầu	Mức rủi ro nếu không liên quan đến chức năng app
READ_SMS / RECEIVE_SMS	Cao — có thể đọc mã OTP ngân hàng
READ_CONTACTS	Trung bình-cao — rò rỉ dữ liệu cá nhân người khác
SYSTEM_ALERT_WINDOW	Cao — có thể vẽ lớp phủ lừa đảo (overlay phishing)
REQUEST_INSTALL_PACKAGES	Cao — có thể tự tải và cài thêm app khác ngầm

Mẹo thêm: Kiểm tra trực tiếp trên điện thoại không cần máy tính

Không phải ai cũng có máy tính bên cạnh để chạy PowerShell hay apksigner mỗi khi cần kiểm tra một file APK. Trên điện thoại, một số ứng dụng quản lý file và trình xem thông tin gói (package viewer) cho phép xem trực tiếp chứng chỉ ký số, ngày tạo chứng chỉ và tên tổ chức phát hành ngay trong phần chi tiết file, không cần cài đặt ứng dụng vào hệ thống trước. Thao tác đơn giản: mở file APK bằng ứng dụng xem thông tin gói, chọn mục “Chứng chỉ” hoặc “Certificate”, rồi đối chiếu thời hạn hiệu lực và tên Issuer với những gì bạn mong đợi từ nhà phát triển gốc. Nếu chứng chỉ mới được tạo chỉ vài ngày trước thời điểm bạn tải file, trong khi ứng dụng gốc đã tồn tại nhiều năm, đây là dấu hiệu rất đáng ngờ cho thấy file đã được ký lại bởi một bên thứ ba không rõ danh tính.

Những dấu hiệu tổng hợp cho thấy file APK có rủi ro cao

Sau khi thực hiện đầy đủ các bước kiểm tra trên, bạn có thể tổng hợp lại thành một vài dấu hiệu cảnh báo cần ghi nhớ: mã băm không khớp với nguồn công bố chính thức, chữ ký số bị thay bằng chứng chỉ self-signed lạ, kết quả quét VirusTotal có engine cảnh báo dù chỉ một vài trên tổng số, và danh sách quyền yêu cầu vượt xa nhu cầu chức năng thực tế của ứng dụng. Chỉ cần một trong bốn dấu hiệu này xuất hiện rõ rệt, bạn nên dừng lại và không cấp thêm quyền nào cho ứng dụng đó, thậm chí nên gỡ bỏ ngay nếu đã lỡ cài đặt trước khi kiểm tra kỹ.

Bước 5: Kiểm tra cài đặt sideload và nguồn cài đặt trên máy

Từ Android 8.0 trở lên, hệ thống cho phép cấp quyền “Cài đặt ứng dụng không rõ nguồn” theo từng ứng dụng cụ thể (ví dụ chỉ cấp cho trình quản lý file, không cấp toàn hệ thống). Sau khi cài xong một file APK ngoài kho ứng dụng chính thức, bạn nên vào lại Cài đặt > Ứng dụng > Truy cập đặc biệt > Cài ứng dụng không rõ nguồn để tắt quyền này của trình duyệt hoặc trình quản lý file đã dùng để tải. Việc này giúp giảm bề mặt tấn công nếu sau đó bạn vô tình bấm vào một đường dẫn độc hại khác.

Tổng kết: Thói quen an toàn chỉ mất vài phút

Năm bước trên — đối chiếu hash, kiểm tra chữ ký số, quét VirusTotal, rà soát quyền và quản lý nguồn sideload — không đòi hỏi kiến thức lập trình sâu, chỉ cần vài phút thao tác trước khi nhấn nút cài đặt. Trong bối cảnh ứng dụng chỉnh sửa ngày càng phổ biến trên các diễn đàn và nhóm chia sẻ, việc tự trang bị quy trình kiểm tra cơ bản này là cách thực tế nhất để bảo vệ dữ liệu cá nhân, tài khoản ngân hàng và thông tin riêng tư khỏi những file bị trà trộn mã độc mà mắt thường không thể nhận ra.

Đội ngũ Modapkvn

Đội ngũ reviewer chuyên nghiệp với 5+ năm kinh nghiệm đánh giá ứng dụng Android. Mỗi bài viết được kiểm duyệt kỹ lưỡng, đảm bảo thông tin chính xác và khách quan.

📥 Tải Cách kiểm tra mã độc và chữ ký số