Nový virus napadá Android telefony a sleduje v nich každou SMS
Lukáš Altman
Lukáše psaní naplňovalo už od dětství, že se tím bude živit si uvědomil ještě jako student v roce 2013. V tu dobu už si několika dílčími texty začal přivydělávat. Jeho profesionální kariéra začala o tři roky později, kdy se stal externím redaktorem pro portál Alza.cz. Od té doby spolupracoval s řadou firem různých rozsahů a dokonce založil několik vlastních projektů, včetně Mobify.cz, který časem přešel pod společnost abcMedia Network. Nyní se Lukáš řadí mezi nejvlivnější české redaktory v oblasti elektroniky.
Nenápadné aplikace, které se tváří jako běžné aktualizace nebo soubory, mohou ve skutečnosti proměnit telefon v nástroj pro krádež SMS zpráv, hesel i peněz z účtů.
Lze říci, že zaměření útočníků na ověřovací SMS zprávy je z jejich strany chytrý krok. Redakce Mobify si přitom všimla nové vlny útoků na Androidy založené na propracovaném malwaru, který je schopen potají číst každou přijatou zprávu. Právě SMS totiž často obsahují jednorázové kódy (OTP), bez nichž se dnes neobejde přihlášení do banky, e-mailu ani sociálních sítí.
Malware Wonderland je maskovaný za droppery
Základem aktuálních útoků na Androidy je škodlivý kód známý jako Wonderland, dříve označovaný jako WretchedCat. Jde o tzv. SMS stealer, tedy malware zaměřený na krádež textových zpráv. Nešíří se ale přímo. Útočníci využívají tzv. droppery (specifické trojské koně, které se zprvu tváří neškodně, vysvětluje Wikipedia).
Dropper může být schovaný za aktualizaci Google Play, video, fotografii nebo klidně třeba oznámení o svatbě. Jakmile dojde k jeho instalaci, dokáže fungovat i bez připojení k internetu a teprve později aktivuje samotný malware.
Jakmile získá přístup, dostane se ke zprávám
Po instalaci získá aplikace oprávnění ke čtení SMS. To je kritický moment, malware začne zachytávat jednorázová hesla z bank a dalších služeb. Zároveň umožňuje obousměrnou komunikaci se serverem útočníka, díky které může být telefon ovládán i na dálku.
Wonderland zvládá i USSD příkazy (nestrukturovaná data doplňkové služby využívané telefony pro komunikaci s operátory, uvádí Wikipedia), skrývání notifikací, a dokonce odesílání SMS zpráv bez toho, aniž by o tom uživatel něco věděl. To útočníkům umožňuje šířit malware dál mezi kontakty oběti bez větších obtíží.
Instalace aplikace z neznámého zdroje vyžaduje ruční povolení v nastavení, ale útočníci to maskují falešnou výzvou k „nutné aktualizaci“. Jakmile uživatel oprávnění povolí, malware se chová tiše a nijak viditelně se neprojevuje. A co víc, obsahuje i ochranu proti analýze, takže i bezpečnostní nástroje ho včas nerozpoznají.
Další obdoby nebezpečných malwarů pro Android
Wonderland není jediný problém. Jak varuje theHackerNews, bezpečnostní experti upozorňují i na další hrozby:
- MidnightDat a RoundRift – droppery používané k doručení malwaru
- Cellik – výkonný trojský kůň prodávaný na černém trhu za 150 dolarů měsíčně (cca 3 500 Kč) nebo 900 dolarů za doživotní licenci (asi 21 000 Kč), který umí sledovat obrazovku, zaznamenávat klávesy a zapínat kameru
- Frogblight – malware šířený pomocí podvodných SMS, který krade bankovní údaje a SMS
- NexusRoute – sofistikovaný RAT (trojský kůň pro vzdálený přístup), schopný sbírat rozsáhlá data o zařízení
Tyto nástroje ukazují trend tzv. malwaru jako služby, kdy si útoky může spustit i člověk bez technických znalostí.
Je důležité nepodceňovat základní pravidla bezpečnosti. Neinstalujte aplikace mimo oficiální Google Play, pečlivě čtěte oprávnění a buďte extrémně opatrní u výzev k aktualizaci. Pokud aplikace požaduje přístup k SMS bez jasného důvodu, je to varovný signál.
Zdroje
Autorský komentář Lukáše Altmana, Oficiální stránky theHackerNews