Производителят на антималуер ESET предупреждава за нова фишинг тактика, насочена към потребителите на iOS и Android, с уеб приложения, имитиращи легитимен банков софтуер, за да заобиколят защитите и да откраднат данните за вход.

Както за платформите iOS, така и за Android, ESET предупреждава, че киберпрестъпниците са използвали прогресивни уеб приложения (PWA), които представляват уебсайтове, свързани в пакет, за да изглеждат като самостоятелни приложения, а за Android са използвали и WebAPK, които изглеждат като инсталирани от Google Play.

Създадени с помощта на технологии за уеб приложения, PWA могат да работят на различни платформи и типове устройства и не изискват от потребителя да разрешава инсталирането на приложения от трети страни.

Като част от наблюдаваните атаки потребителите на iOS са били инструктирани да добавят PWA на началните екрани, докато потребителите на Android е трябвало да потвърдят определени потребителски изскачащи прозорци в браузъра, преди приложението да бъде инсталирано.

WebAPK, които могат да се считат за модернизирани PWA, изглеждат като обикновени нативни приложения и инсталирането им не предизвиква никакви предупреждения на устройствата с Android, дори ако потребителят не е разрешил инсталиране от източници на трети страни. Освен това в информационните табове на приложенията се твърди, че те са изтеглени от Google Play.

Заплахите, които стоят зад фишинг кампаниите, комбинират автоматични гласови обаждания, злонамерена реклама в социалните медии и SMS съобщения, за да разпространяват връзки към уебсайтовете на трети страни, които хостват измамните приложения.

Отварянето на фишинг връзката страница, имитираща официалната страница на Google Play/Apple Store или официалния уебсайт на целевото банково приложение. След това потребителят е подканен да инсталира нова версия на банковото приложение, което води до инсталиране на злонамерената програма, без на устройството да се показва предупреждение за сигурност.

След като фишинг PWA или WebAPK бъде инсталиран, неговата икона се добавя на началния екран на потребителя и отварянето му води директно до фишинг страница за вход.

„След инсталирането жертвите са подканени да предоставят своите идентификационни данни за интернет банкиране, за да получат достъп до сметката си чрез новото приложение за мобилно банкиране. Цялата подадена информация се изпраща до C&C сървърите на нападателите“, казва ESET в бележка, документираща откритието.

Според ESET фишинг атаките вероятно са започнали около ноември 2023 г., а сървърите за командване и контрол (C&C), които събират информацията, са започнали да функционират през март 2024 г. В някои случаи за събирането на информацията за потребителите е бил използван бот на Telegram.

Атаките са били насочени главно към потребители на мобилно банкиране в Чешката република, но са наблюдавани и атаки, насочени към потребители в Унгария и Грузия.

Въз основа на откритата C&C инфраструктура ESET смята, че два различни престъпни колектива  са използвали новата тактика в своите фишинг атаки. Освен това фирмата за киберсигурност предупреждава, че нападателите може да разширят арсенала си с още имитиращи приложения, тъй като те трудно се различават от легитимните.