Bezpečnostní výzkumníci společnosti ThreatFabric odhalili nový bankovní malware pro Android označovaný jako Hirudo. Jeho hlavní zvláštností je schopnost nahrazovat skutečné bankovní aplikace upravenými kopiemi, které vypadají a fungují podobně jako originály, ale obsahují mechanismy umožňující obejít ochranné kontroly.
Výzkumníci identifikovali připravené náhrady osmi indonéských bankovních aplikací. Záběr malwaru je však širší a jeho komponenty se zaměřují také na uživatele v Číně, Indii, Mexiku, Maroku a Thajsku.
Útok začíná instalací zdánlivě neškodné aplikace, která nabízí například nakupování, sledování videí nebo zábavní obsah. Mezi používané názvy patří Shopora, KoiShort, ZoyaTV a 1V1 X.
Tyto aplikace mohou skutečně zobrazovat slibovaný obsah, takže nevzbuzují okamžité podezření. Na pozadí však připravují instalaci škodlivé komponenty, často prostřednictvím falešného upozornění na aktualizaci.
Upravené bankovní aplikace poskytují útočníkům falešné výsledky bezpečnostních kontrol
Po získání potřebných oprávnění dokáže Hirudo ovládat telefon na dálku, zachytávat SMS zprávy, zaznamenávat obrazovku nebo zobrazovat podvodné formuláře pro získání přihlašovacích údajů a platebních PIN kódů.
Nejvýznamnější funkcí je však manipulace s bankovními aplikacemi. Malware prostřednictvím přístupových služeb Androidu zjistí, zda je v telefonu nainstalována cílová aplikace, a následně se pokusí přesvědčit uživatele o nutnosti její aktualizace.
Ve skutečnosti tento proces směřuje k odstranění legitimní aplikace a instalaci pozměněné verze.
Upravená aplikace obsahuje mechanismus pro ovlivňování vlastních bezpečnostních kontrol. Dokáže například předkládat očekávaný podpis aplikace, skrývat aktivní služby zpřístupnění nebo upravovat ochranu proti pořizování snímků obrazovky.
Malware také manipuluje s výsledky kontrol integrity prostřednictvím infrastruktury pod kontrolou útočníků. To komplikuje odhalení kompromitace na základě údajů, které samotná aplikace poskytuje.
Útočná infrastruktura navíc umožňuje spravovat jednotlivé kampaně, napadená zařízení i získané finanční informace.
Hirudo představuje významný posun oproti tradičním bankovním trojanům, které často pouze překrývají legitimní aplikace falešnými přihlašovacími obrazovkami. V tomto případě se útočníci pokoušejí proniknout přímo do fungování bankovní aplikace a ovlivnit její vlastní ochranné mechanismy.
Uživatelé by proto měli instalovat bankovní aplikace výhradně z důvěryhodných zdrojů, odmítat podezřelé aktualizace nabízené jinými aplikacemi a pečlivě kontrolovat žádosti o rozšířená systémová oprávnění.
Zdroj: thehackernews.com
Zdroj: IT SECURITY NETWORK NEWS
