Škodlivá mobilná aplikácia, ktorá cieli aj na slovenských zákazníkov

Bezpečnostní výskumníci ThreatFabric odhalili nové škodlivé aplikácie pre mobilný operačný systém Android. Tieto aplikácie priamo cielia na český a slovenský trh. Aplikácie okrem iného umožňujú sofistikovanú krádež peňazí a kryptomien z mobilného telefónu používateľa.

Škodlivý kód je šírený ako séria aplikácií, pričom používateľ je nalákaný na inštaláciu prvej z nich klamlivou reklamou. V súčasnosti sa jedná o reklamu na aplikáciu „TikTok 18+ – Opravdu krátká videa„, toto však môže útočník zmeniť bez vplyvu na zvyšok funkcionality, podľa aktuálnych potrieb a preferovaného profilu obetí.

Po nainštalovaní prvej aplikácie a odsúhlasení práv už používateľ nemá žiadnu kontrolu nad zvyškom procesu. Je preto mimoriadne dôležité, aby používatelia mali zakázanú inštaláciu aplikácií z nedôveryhodných zdrojov a pri žiadostiach o súhlas s prístupovými právami poskytovali aplikáciám iba práva, ktoré podľa ich úsudku aplikácia skutočne podporuje. Ak si aplikácia žiada neprimerané prístupové práva, odporúčame žiadosť zamietnuť a aplikáciu odinštalovať.

Ako teda útok pokračuje

• aplikácia nainštalovaná z falošnej reklamy (tzv. prvá fáza) požiada o právo na inštalovanie ďalších aplikácií. Takéto povolenie vo všeobecnosti žiadnej aplikácii nedávajte, iba že by ste na to mali osobitný dôvod.
• prvá fáza stiahne, nainštaluje a spustí ďalšiu aplikáciu (druhá fáza)
• druhá fáza si vyžiada povolenie na „Prístupnosť“ alebo „Accessibility“. To je potrebné, aby škodlivý softvér nepretržite videl ľubovoľný obsah obrazovky a dokázal na ňom klikať.
• druhá fáza zneužije pridelené právo, aby si už plne automaticky, „klikaním“ na obrazovke, povolila ďalšie práva: právo na zmenu systémových nastavení a právo čítať a meniť kontakty.
• druhá fáza stiahne tretiu fázu, ktorá podporuje krádeže financií. V tomto okamihu už všetko prebieha automaticky a nie je potrebná žiadna súčinnosť používateľa.
• tretia fáza, hlavná aplikácia, umožňuje vykonávať viacero typov útokov
  • zobraziť používateľovi ľubovoľný obsah podľa želania autorov škodlivého softvéru (aplikácia sama kontroluje, čo má zobraziť, dopytmi na riadiaci server pod kontrolou útočníka)
  • ovládať aplikácie internetového bankovníctva (aplikácia má zatiaľ podporu pre českú aplikáciu George), špecificky kontrolovať a meniť výšku platobného limitu na bankové prevody, 
  • ovládať peňaženky na kryptomeny MetaMask, Trust, blockchain.com, Phantom, ak je ich používateľské rozhranie nastavené na angličtinu, ruštinu, češtinu alebo slovenčinu.
  • otvoriť a  ovládať Whatsapp a Facebook,
  • nastavovať zvonenie či podsvietenie obrazovky
  • čítať a dokonca meniť obsah skopírovaného textu v mobilnej „klávesnici“
  • prehrať ľubovoľný zvuk
  • zistiť skutočné meno používateľa podľa jeho registrácie na Google službách
  • zaznamenávať obrazovku a naživo vysielať jej obsah útočníkovi
  • zasielať SMS správy (môžu byť draho spoplatnené)
  • nainštalovať ďalší malvér NFSkate (štvrtá fáza)
  • uzamknúť zariadenie a následne pri odomykaní prečítať PIN, vzor alebo heslo (škodlivý softvér vie vybrať, ktorá forma overenia sa zobrazí)
• tretia fáza využíva tieto schopnosti, aby prinútila používateľa zadať autorizačné údaje, ukradla jeho financie z účtu a kryptomeny z niektorej z podporovaných krypto peňaženiek. Doslova „kliká“ na ovládacie prvky aplikácie, aby zadala a schválila bankový prevod.
• voliteľná štvrtá fáza je starší malvér NFSKate, ktorý preposiela bezdrôtovú komunikáciu útočníkovi. Ak má používateľ platobnú kartu neďaleko svojho telefónu, toto umožní útočníkovi použiť ju na platbu doslova z ľubovoľnej lokality sveta.

Odporúčania

• Inštalujte aplikácie iba z oficiálnych „obchodov“ a nepovoľujte iným aplikáciám inštalovať aplikácie či používať služby prístupnosti (ak ich nepotrebujete).
• Ak ste si nainštalovali aplikáciu „TikTok 18+ – Opravdu krátká videa“, stali ste sa obeťou podvodu. Útočníci kontrolujú vaše zariadenie bez ohľadu na to, či ste aplikáciu vymazali. Postupujte nasledovne
  • telefón treba obnoviť do továrenských nastavení
  • okamžite zmeniť všetky heslá a prístupové údaje
  • vo svojej banke vysvetliť situáciu a požiadať o rady, ako zabezpečiť svoj účet
  • presunúť kryptomeny na úplne nové, bezpečné adresy. Odporúčame aj hardvérovú peňaženku.
• Skontrolujte práva všetkých nainštalovaných aplikácií a nepotrebné vypnite

Zdroje

• https://www.threatfabric.com/blogs/the-rise-of-raton-from-nfc-heists-to-remote-control-and-ats
• https://www.welivesecurity.com/en/eset-research/ngate-android-malware-relays-nfc-traffic-to-steal-cash/ (ku staršiemu útoku NFSKate)

« Späť na zoznam