Smartfony stały się dziś centrum naszego życia finansowego. To właśnie na nich logujemy się do bankowości, autoryzujemy przelewy i przechowujemy dane kart płatniczych. Nic więc dziwnego, że cyberprzestępcy coraz częściej atakują właśnie te sprzęty. Niedawno eksperci ds. bezpieczeństwa odkryli nową, wyjątkowo groźną złośliwą aplikację na Androida, która może przejąć kontrolę nad telefonem i dostępem do konta bankowego. Malware o nazwie Massiv podszywa się pod aplikację do oglądania telewizji online, często obiecując darmowy dostęp do kanałów telewizyjnych, filmów lub transmisji sportowych. W rzeczywistości jest to zaawansowany trojan bankowy, który umożliwia kradzież danych logowania, przejmowanie kont i zaciąganie kredytów w imieniu ofiary.
Nowe zagrożenie dla użytkowników Androida
Nowa android-malware Massiv została odkryta przez ekspertów bezpieczeństwa z firmy Threat Fabric. Według analizy jest to zupełnie nowa rodzina złośliwego oprogramowania, która nie ma bezpośrednich powiązań z wcześniej znanymi trojanami. Najważniejszym celem ataku jest bankowość mobilna oraz aplikacje wykorzystywane do identyfikacji cyfrowej. Trojan wykorzystuje kilka dobrze znanych technik cyberprzestępczych. Należą do nich wyświetlanie fałszywego okna lub warstwy graficznej nad oryginalną aplikacją działającą na telefonie, rejestrowanie naciśnięć klawiszy oraz przechwytywanie SMS i powiadomień push.
Mechanizm działania jest bardzo podstępny. Kiedy użytkownik otwiera aplikację bankową lub inną aplikację będącą celem ataku, trojan wyświetla na ekranie fałszywą nakładkę. Wygląda ona niemal identycznie jak prawdziwe okno logowania. Użytkownik wpisuje dane logowania, numer karty lub kod autoryzacyjny, nie zdając sobie sprawy, że trafiają one bezpośrednio do cyberprzestępców.
W ten sposób atakujący zdobywają dane do logowania do banku, a także informacje umożliwiające autoryzację operacji finansowych.
Przeczytaj także: Te znane banki są teraz na celowniku oszustów. Miliony klientów narażone
Przejęcie smartfona i pełna kontrola nad urządzeniem
Po zebraniu najważniejszych danych przestępcy przechodzą do kolejnego etapu ataku. Wykorzystują funkcję opartą na systemowej usłudze dostępności Androida, która umożliwia zdalne sterowanie urządzeniem.
Po aktywowaniu tej funkcji atakujący mogą praktycznie w pełni kontrolować zainfekowany telefon. Komunikacja odbywa się poprzez połączenie stałego kanału komunikacyjnego między aplikacją a serwerem cyberprzestępców. Dzięki temu możliwe jest wysyłanie poleceń i przesyłanie obrazu z ekranu telefonu w czasie niemal rzeczywistym. W praktyce oznacza to, że przestępcy mogą obserwować działania użytkownika, otwierać aplikacje, wpisywać dane, a nawet zatwierdzać operacje finansowe.
Przeczytaj także: Masz ją w telefonie? Eksperci ostrzegają: ta aplikacja wykrada PIN do karty
Dwie techniki zdalnego sterowania telefonem
Badacze bezpieczeństwa zaobserwowali dwa tryby działania wykorzystywane przez trojana bankowego Massiv.
- Pierwszy to tryb screen streaming, w którym ekran smartfona jest przesyłany na serwer przestępców niemal w czasie rzeczywistym. Dzięki temu mogą oni dokładnie widzieć wszystko, co robi użytkownik.
- Drugi tryb wykorzystywany jest wtedy, gdy aplikacja blokuje wykonywanie zrzutów ekranu. W takiej sytuacji malware przełącza się w tak zwany UI Tree Mode. Zamiast obrazu ekranu tworzona jest struktura interfejsu aplikacji przypominająca drzewo folderów.
System analizuje elementy widoczne na ekranie. Przyciski, pola tekstowe, nazwy klas oraz współrzędne elementów. Na tej podstawie przestępcy otrzymują szczegółowy obraz działania aplikacji i mogą automatycznie klikać odpowiednie przyciski lub wpisywać dane, tłumaczy futurezone.de.