Analitycy bezpieczeństwa Doctor Web zbadali nowy złośliwy program infekujący smartfony i tablety z Androidem. Program zarejestrowany w bazie wirusów jako Android.BankBot.34.origin potrafi wykradać z zainfekowanych urządzeń osobiste informacje użytkowników i pieniądze z kont bankowych i kont mobilnych powiązanych z tymi urządzeniami.

Android.BankBot.34.origin może rozpocząć swoją złośliwą aktywność tylko w przypadku, gdy zostanie ręcznie zainstalowany na danym urządzeniu przez jego właściciela. Aby zwiększyć prawdopodobieństwo instalacji i uruchomienia Trojana, Android.BankBot.34.origin jest dystrybuowany jako aktualizacja systemu i zawiera w sobie ikonę popularnego, legalnego programu. Warto zauważyć, że "przebranie" dla złośliwego programu zależy tylko i wyłącznie od wyobraźni intruzów i może udawać dowolną aplikację, która tylko przyjdzie im do głowy. Po instalacji Trojan umieszcza swoją ikonę na ekranie domowym systemu. Owa ikona pojawia się tuż obok ikony legalnej aplikacji, jeśli jest ona obecna w systemie. W ten sposób niedoświadczeni użytkownicy mogą pomylić aplikacje i przypadkowo uruchomić malware zamiast legalnego programu. Jeśli użytkownik zainfekowanego urządzenia mobilnego nie aktywuje złośliwej aplikacji po jej instalacji, Android.BankBot.34.origin zostanie automatycznie uruchomiony po restarcie systemu.

Po uruchomieniu Android.BankBot.34.origin prosi użytkownika o udzielenie mu uprawnień administracyjnych, co czasami może skomplikować jego usunięcie. Ponadto, jeśli Android.BankBot.34.origin zostanie uruchomiony przez użytkownika urządzenia, to malware usunie swoją, wcześniej wykreowaną ikonę. Następnie Trojan rozpoczyna swoją złośliwą aktywność.

Android.BankBot.34.origin

Android.BankBot.34.origin może realizować dwa scenariusze ataku na zainfekowanym urządzeniu. Pierwszy scenariusz zależy od zachowania się użytkownika i dochodzi do gry, gdy użytkownik próbuje uruchomić aplikację będącą w kręgu zainteresowań intruzów. Jeśli użytkownik zainfekowanego smartfona lub tabletu uruchomi taki program, Android.BankBot.34.origin wyświetla na ekranie aplikacji phishingowe okienko dialogowe proszące użytkownika o ujawnienie swoich poufnych informacji - loginu i hasła, numeru telefonu lub informacji o karcie kredytowej. Malware dość dobrze imituje okienka dialogowe określonych aplikacji, co oznacza, że twórcy wirusa zaangażowali znaczące środki, aby upewnić się, że ich ofiary pozostaną nieostrożne i chętne do udostępniania informacji. W tym celu przestępcy wykorzystują następujące aplikacje mobilne:

  • Google Play
  • Google Play Music
  • Gmail
  • WhatsApp
  • Viber
  • Instagram
  • Skype
  • Facebook
  • Twitter

Ostatecznie dane wprowadzone przez użytkownika są przekazywane na zdalny serwer.

Drugi scenariusz ataku w przeciwieństwie do pierwszego, nie polega na aktywności użytkownika i jest implementowany wyłącznie zgodnie z instrukcjami przesyłanymi przez intruzów ze zdalnego hosta. W szczególności serwer kontolno-zarządzający (C&C) może zlecić Android.BankBot.34.origin wykonanie następujących zadań:

  • Uruchomienie lub zatrzymanie przechwytywania przychodzących i wychodzących SMS-ów;
  • Wysłanie zapytania USSD;
  • Wpisanie określonych numerów na czarną listę, więc wszystkie wiadomości z tych numerów są zatajane przed użytkownikiem (domyślnie lista zawiera numery centrów obsługi klienta określonych operatorów, dostawców usług bankowych on-line i firm e-commerce);
  • Wyczyszczenie czarnej listy;
  • Przesłanie na zdalny serwer informacji o aplikacjach zainstalowanych na urządzeniu;
  • Wysłanie wiadomości SMS;
  • Przekazanie ID malware na zdalny serwer;
  • Wyświetlenie okna dialogowego lub wiadomości zgodnie z parametrami przesłanymi z serwera C&C (np. instrukcja z serwera może określić tekst wiadomości do wyświetlenia na ekranie, ilość pól do wprowadzania danych, itp.).

Warto zauważyć, że adres głównego serwera zarządzającego Android.BankBot.34.origin kieruje do anonimowej sieci Tor. Co więcej, w celu użycia odpowiednich protokołów bezpieczeństwa, malware zawiera część kodu z oficjalnego oprogramowania które umożliwia połączenie się z hostami w pseudodomenie najwyższego rzędu .onion. Ta technika znacząco poprawia bezpieczeństwo, więc twórcy wirusa wykazują tendencje do coraz to częstszego jej używania w złośliwych programach dla Androida.

Dzięki zdolności Android.BankBot.34.origin do skrytego wysyłania i przechwytywania wiadomości SMS, przestępcy mogą używać tego malware jako Trojana bankowego i wysyłać komendy SMS używane w bankowości on-line w celu kradzieży pieniędzy z kont bankowych powiązanych z zaatakowanymi urządzeniami. Podobnie mogą używać komend USSD w celu przesyłania pieniędzy z kont mobilnych swoich ofiar na swoje własne. Lista operatorów i instytucji finansowych będących "na celowniku" przestępców jest nielimitowana i może być zmieniana w zależności od bieżących potrzeb twórców wirusa. W szczególności klienci banków i firm e-commerce które zezwalają na zarządzanie kontem z użyciem SMS-ów, stawiani są twarzą w twarz z największym ryzykiem, podobnie jak subskrybenci, których operatorzy pozwalają im na przesyłanie pieniędzy z ich kont mobilnych.

Zdolność malware do wyświetlania na urządzeniu mobilnym dowolnych wiadomości i okien dialogowych w dowolnej formie i z dowolną zawartością otwiera prawie nieograniczone możliwości zestawiania najbardziej różnorodnych ataków. Przykładowo przestępcy mogą wykradać poświadczenia użytkowników do sieci społecznościowych, zmienić hasło i poinstruować malware do wyświetlenia wiadomości w stylu "Twoje konto jest zablokowane; aby je odblokować prześlij środki na numer 1234". Twórcy Android.BankBot.34.origin mogą także "rozkazać" Trojanowi wyświetlenie w imieniu banku zachęty do wprowadzenia hasła, co pozwoli im na uzyskanie dostępu do konta bankowości on-line i uzyskania kontroli nad funduszami ofiary. Z tego powodu to malware stanowi poważne zagrożenie dla urządzeń z Androidem i ich właścicieli.

Aby uniknąć infekcji Doctor Web zaleca użytkownikom zaniechanie instalowania aplikacji z podejrzanych źródeł i wyłączenie funkcji pozwalającej na ominięcie Google Play przy pobieraniu oprogramowania. Dodatkowo podczas instalacji aplikacji należy zwrócić uwagę na listę funkcjonalności do których będzie odwoływać się dana aplikacja. Jeśli masz wątpliwości co do jakiegoś programu - najlepiej zrezygnuj z jego instalacji.

Wpis służący do wykrywania Android.BankBot.34.origin został już dodany do bazy wirusów Dr.Web, więc urządzenia z zainstalowanym Antywirusem Dr.Web dla Androida i wersją Light tego programu są dobrze chronione przed tą złośliwą aplikacją.

źródło: Doctor Web