Нов зловреден софтуер за Android с името Hirudo позволява на киберпрестъпниците да крадат банкови идентификационни данни, да прихващат съобщения и да управляват заразени устройства в реално време. Според изследователите от компанията ThreatFabric зловредният код използва модифицирани копия на легитимни банкови приложения, за да заобикаля проверки за автентичност и механизми за защита.

Hirudo е наблюдаван основно при атаки срещу клиенти на банки в Индонезия, но изследователите установяват и насочване към финансови организации в Китай, Индия, Мексико, Мароко и Тайланд. Сред събраните данни са хиляди записи с идентификационни данни за приложения, както и информация за устройствата, заключването на екраните и финансовия профил на жертвите. Точният брой на засегнатите потребители засега не е известен.

Разпространението започва чрез привидно легитимни приложения, представяни като инструменти за пазаруване, гледане на съдържание за възрастни или кратки драматични сериали. След инсталиране те показват фалшиво известие за актуализация, което подканва потребителя да предостави допълнителни разрешения, включително достъп до услугите за достъпност на Android.

След това зловредният софтуер се опитва да премахне оригиналното банково приложение и да инсталира негово модифицирано копие. Процесът изисква намеса от потребителя и може да бъде прекъснат, но ако успее, нападателите получават възможност да действат чрез приложение, което изглежда познато и легитимно.

Подменено приложение, използвано срещу собствените му защити

Според ThreatFabric модифицираните банкови приложения запазват почти целия оригинален код, но включват допълнителен механизъм за прихващане и промяна на изпълнението му. Той използва компонентите с отворен код YAHFA и Dobby, за да променя резултатите от проверки за сигурност.

Сред установените техники са подмяна на информацията за цифровия сертификат на приложението, прикриване на активни услуги за достъпност и премахване на защитите срещу заснемане на екрана. Зловредният код може също да променя информацията, използвана при удостоверяване на устройството, и да препраща заявки към услугата Play Integrity през сървър, контролиран от операторите.

Това позволява на модифицираното приложение да представя подвеждаща информация за собствената си автентичност и състоянието на устройството. Така проверките, предназначени да откриват подправени приложения или компрометирана среда, могат да бъдат заобиколени или да получат манипулирани резултати.

Защитата обаче не е напълно преодоляна. ThreatFabric посочва, че използваният пакет с ключове за удостоверяване е изтекъл публично, а Google е отбелязала два от свързаните сертификати като компрометирани. Това означава, че проверки от страна на сървърите за отмяна на сертификати могат да разпознаят част от подправянията.

Кражба на ПИН кодове, съобщения и достъп до устройството

След активиране Hirudo може да събира пароли за онлайн банкиране, ПИН кодове за плащания, тайни за отключване на устройството и SMS съобщения. Нападателите могат да наблюдават екрана в реално време, да правят снимки на него, да записват звук и да получават достъп до камерите.

Особено опасни са фалшивите страници за плащане. Те подканват жертвата да въведе ПИН кода си, след което показват измислено потвърждение за успешно плащане. По този начин потребителят може да остане с впечатлението, че транзакцията е приключила нормално, докато данните му вече са изпратени към нападателите.

Комбинацията от кражба на идентификационни данни и дистанционен контрол увеличава риска отвъд обикновеното компрометиране на парола. При определени условия престъпниците могат да наблюдават действията на потребителя и да използват събраната информация за последващи измами или неоторизирани финансови операции.

Какво трябва да направят банките и потребителите

ThreatFabric препоръчва на финансовите институции да не разчитат единствено на проверки, извършвани в самото мобилно приложение. Проверките за цялостност и удостоверяване на устройството трябва да се валидират и от сървърната страна, да бъдат обвързани с конкретната сесия и чувствителните операции и да се допълват от анализ на поведението и риска на транзакциите.

За банките това е важен извод: дори приложение, което преминава определени проверки, не бива автоматично да се приема за безопасно. Необичайни модели на работа, подозрителни опити за плащане и несъответствия в удостоверяването трябва да се оценяват като част от цялостен механизъм за защита от измами.

Потребителите трябва да инсталират приложения само от официални и надеждни източници, да избягват APK файлове от неофициални магазини и да поддържат Android актуализиран. Препоръчително е периодично да проверяват устройството с Google Play Protect и да не предоставят достъп до услугите за достъпност на приложения, които нямат ясна и основателна нужда от него.

Ако телефонът покаже неочаквано известие за актуализация на приложение, последвано от искане за необичайни разрешения, потребителят не трябва да продължава автоматично. При съмнение за заразяване е разумно да се използва друго, надеждно устройство за връзка с банката, да се блокира достъпът до засегнатите сметки и да се сменят компрометираните пароли след обезопасяване на устройството.

Случаят с Hirudo показва как мобилният зловреден софтуер се развива отвъд простото събиране на пароли. Чрез подмяна на оригинални приложения и манипулиране на техните механизми за защита нападателите се опитват да превърнат самото доверие в легитимното банково приложение в средство за измама.