Egy új androidos banki trójaira figyelmeztetnek a biztonsági kutatók. A RemControl nevű Android-vírus nem elégszik meg a banki adatok megszerzésével: képes élőben továbbítani a telefon kijelzőjét a támadónak, rögzítheti a felhasználó műveleteit, és távolról akár érintéseket, gesztusokat és szövegbevitelt is végrehajthat a fertőzött készüléken – írja az Infosecurity Magazine híradása nyomán az Origo.
A Group-IB biztonsági kutatói tavaly júliusban észlelték a kártevőt, de ennél régebb óta működhet. Főként európai, kanadai és közel-keleti banki ügyfeleket vesz célba, és
már több mint 30 banki alkalmazáshoz azonosítottak támadásra használható hamis felületeket, többek között Olaszországban, Franciaországban, Spanyolországban, Lengyelországban és Portugáliában.
Az egyik változatban a támadók a TVTap nevű IPTV-alkalmazást használják csaliként. A felhasználó egy Google Play Áruházra megtévesztően hasonlító weboldalról töltheti le a fertőzött APK-fájlt. A telepítő egy helyi VPN-kapcsolat segítségével megpróbálja megakadályozni, hogy a Google Play Protect ellenőrizze a kártékony programot. Minden telepítéshez új aláírási kulcsot is generál, ami tovább nehezítheti a hagyományos azonosítást.
Ám csak ezt követően jön a döntő lépés: a RemControl hozzáférést kér az Android kisegítő lehetőségeihez, vagyis az Accessibility Service-hez. Ezt az Android-funkciót eredetileg azért hozták létre, hogy például fogyatékossággal élő felhasználók könnyebben kezelhessék készüléküket. A banki trójaiak azonban régóta visszaélnek a rendkívül széles jogosultságaival. Ha a felhasználó engedélyezi a hozzáférést,
a RemControl teljes képernyős hamis felületet jeleníthet meg a valódi banki alkalmazás fölött, ezáltal megszerezheti többek között a PIN-kódot, a mobilbanki kódokat és más pénzügyi adatokat.
Emellett a malware valós időben továbbíthatja a képernyőn történő dolgokat és az Android kezelőfelületének elemeit:
- rögzítheti a kattintásokat,
- a begépelt szöveget
- és más felhasználói műveleteket,
- miközben a bűnöző távolról érintéseket,
- csúsztatásokat,
- görgetést
- és szövegbevitelt is végrehajthat.
Vagyis a távoli támadó úgy kezelheti a telefonunkat, mintha ott tartaná a kezében.
Mindez különösen veszélyes a banki védelem szempontjából, ugyanis a rosszindulatú fél a fertőzött készüléken figyelheti és manipulálhatja a hitelesítési folyamatot. Ez lehetőséget teremthet arra, hogy olyan tranzakciókat is végrehajtson, amelyeknél önmagában egy ellopott jelszó nem lenne elegendő.
Sőt, bizonyos készülékeken a képernyő-feloldó mintázatot is képes rögzíteni a szoftver. A kiberbiztonsági kutatók Samsung, Xiaomi, Huawei, Oppo és OnePlus készülékekhez kapcsolódó megoldásokat is találtak. Ráadásul a kártevő jól védi magát: figyelheti, hogy az áldozat megnyitja az alkalmazáskezelőt, a kisegítő lehetőségek beállításait vagy akár a gyári visszaállításhoz vezető menüt, majd megpróbálhatja bezárni ezeket, mielőtt az áldozat eltávolíthatná.
A szakértők szerint a dolog tanulsága, hogy Android-rendszerű készülékeken különösen veszélyes dolog ismeretlen weboldalakról alkalmazásokat letölteni a Google Play Áruház helyett.
Emellett érdemes bekapcsolva tartani a Play Protectet, és gyanakodni, ha egy alkalmazás indokolatlanul hozzáférést kér a kisegítő lehetőségekhez.