Aplikacja pułapka czyści Polakom konta, w tle mandaty
Przekręty na fałszywy mandat? To już nikogo nie zaskoczy. Pomysłowość oszustów idzie jednak dalej – fałszywa aplikacja MandatGO ma ułatwiać życie Polaków, a prowadzi do wielkich zagrożeń.
Eksperci z CERT Orange Polska wykryli nowe, niebezpieczne oprogramowanie atakujące użytkowników Androida. Malware o nazwie Koktevrat jest powiązany z kampanią reklamową na Facebooku, w której przestępcy kuszą łatwym opłaceniem mandatów za pomocą fałszywej aplikacji MandatGO.
Mandaty nawet 50% tańsze
MandatGO to nieistniejąca aplikacja, której dystrybucja odbywała się za pośrednictwem reklamy na Facebooku. Użytkownik był kierowany do strony fb-market-play[.]cc, z której mógł pobrać plik APK. Z opisu wynika, że ta konkretna kampania już została zablokowana, ale podobna reklama z zachętą do instalowania MandatGO może wkrótce pojawić się w nowej postaci.
Po co w ogóle ktoś miałby instalować aplikację jak MandatGO? Oszuści kusili, że dzięki niej opłacanie mandatów miało być nawet o 50% tańsze. Co więcej, wszystko miało być firmowane przez Ministerstwo Cyfryzacji, a aplikacja przedstawiana była jako rządowa. Skoro tak, to dlaczego nie zaoszczędzić – mogli pomyśleć zaradni Polacy. Niestety, to błąd.
MandatGO kryje w sobie złośliwe oprogramowanie
Aplikacja MandatGO jest pierwszym etapem wieloetapowego łańcucha prowadzącego do instalacji trojana zdalnego dostępu, czyli tzw. RAT-a. To rodzaj złośliwego oprogramowania, które daje cyberprzestępcy pełną, zdalną kontrolę nad zainfekowanym urządzeniem – w tym przypadku smartfonem czy tabletem. Pobierając aplikację MandatGO, użytkownik oddaje oszustom pełną kontrolę nad swoim urządzeniem. Nie ma przy tym świadomości, że każdy jego krok jest śledzony.
Aplikacja poprzez trojana Koktevrat podstępem wyłudza dostęp do usług dostępności w Androidzie, co otwiera przestępcom drzwi do większości funkcji telefonu. Napastnicy mogą zdalnie uruchamiać dowolne aplikacje, czytać wiadomości SMS, przejmować treść kopiowaną do schowka, a nawet podglądać wpisywane na klawiaturze znaki. Co więcej, program potrafi wyświetlać fałszywe nakładki graficzne na ekranie, co pozwala wyłudzać dane logowania do bankowości, a także uniemożliwia użytkownikowi łatwe usunięcie infekcji poprzez blokowanie przycisków systemowych.
Samo wykrycie i powstrzymanie trojana jest wyjątkowo trudne ze względu na przemyślaną architekturę. Złośliwy kod jest ukryty i szyfrowany w kilku etapach, a łączność z serwerami przestępców wykorzystuje m.in. powiadomienia systemowe Firebase oraz algorytmy zmiennych adresów internetowych. Dodatkowo trojan potrafi przekształcić zainfekowany telefon w węzeł pośredniczący do przesyłania swojego ruchu sieciowego.
Specjaliści z CERT Orange Polska podkreślają, że Koktevrat czerpie z rozwiązań znanych z wcześniejszych groźnych trojanów, takich jak FluBot czy Cerberus. Przypadek ten idealnie pokazuje, jak przestępcy potrafią wykorzystać powszechne mechanizmy systemowe przeciwko użytkownikom, dlatego kluczem do bezpieczeństwa pozostaje pobieranie aplikacji wyłącznie z oficjalnych sklepów.
