Oszuści podszywają się pod Starlink. Zmieniają telefon w koparkę kryptowalut
Zaobserwowano kolejne cyberprzestępstwo. Wystarczy chwila nieuwagi, a telefon może zamienić się w koparkę kryptowalut. Badacze z przedsiębiorstwa Kaspersky opisali zaobserwowany schemat działania przestępców.
Z tego artykułu dowiesz się:
- Jak działa zagrożenie BeatBanker.
- Jakie telefony może zaatakować.
- Gdzie badacze Kaspersky wykryli złośliwe oprogramowanie.
Nowe oszustwo. Telefony z tym systemem są narażone
Badacze przedsiębiorstwa Kaspersky poinformowali o nowym oszustwie. Zagrożenie otrzymało nazwę BeatBanker. Złośliwe oprogramowanie ma łączyć w sobie szpiegostwo, włamanie do telefonu z systemem Android oraz kradzież i kopanie kryptowalut. Wskazano, że wszystko zaczyna się od stron phishingowych, podszywających się pod sklep z aplikacjami Google Store. Takie witryny zachęcają użytkowników do pobrania pozornie użytecznych aplikacji. W Brazylii, gdzie zaobserwowano atak, trojan podszywał się pod brazylijską aplikację rządową INSS Reembolso oraz Starlink (mający zapewniać szybki Internet niezależnie od położenia). To jednak podstęp nakłaniający użytkownika do udzielenia uprawnień urządzeniom z Androidem. Umożliwia to przeprowadzenie pełnego ataku.
„Instalacja odbywa się w kilku etapach, aby uniknąć żądania zbyt wielu uprawnień naraz i dodatkowo uśpić czujność ofiary. Po pobraniu i uruchomieniu pierwszej aplikacji wyświetla się interfejs, który również przypomina Google Play, i symuluje aktualizację aplikacji-przynęty, prosząc użytkownika o zgodę na instalację aplikacji” – opisują badacze Kaspersky. Po udzieleniu tej zgody złośliwe oprogramowanie rozpoczyna pobieranie na telefon kolejnych złośliwych modułów. Malware ma odtwarzać specjalne, niemal niesłyszalne nagranie, które utrzymuje proces aktywnym. Na pasku stanu wyświetlane jest też stałe powiadomienie, proszące użytkownika o pozostawienie włączonego telefonu w celu aktualizacji systemu. Jakiś czas po instalacji oszuści czekają, by nie wzbudzać podejrzeń. Następnie stopniowo uruchamiają koparkę kryptowalut. Proces przeprowadzany jest za pomocą Firebase Cloud Messaging (FCM) firmy Google - systemu do odbierania powiadomień i wysyłania danych ze smartfona.
„Warto zachować czujność”. Analitycy ostrzegają
Poza przekształcaniem telefonu w koparkę kryptowalut przestępcy szpiegują użytkownika i okradają go. Jeżeli właściciel telefonu otwiera aplikację bankową w celu np. wysłania przelewu, złośliwe oprogramowanie nakłada fałszywy ekran na interfejs, w rzeczywistości podmieniając adres użytkownika na dane przestępców. W rezultacie wszystkie przelewy trafiają do osób odpowiedzialnych za atak. Oszuści mogą również przechwytywać jednorazowe kody z Google Authenticator, wysyłać SMS-y czy przechwytywać naciśnięcia klawiszy. W sytuacji, w której na smartfonie z oprogramowaniem zainstalowano trojana BTMOB, sprawa jest jeszcze trudniejsza. Moduł pozwala bowiem m.in. na dostęp do przedniej i tylnej kamery, uzyskiwanie kodów do odblokowania telefonu czy nieustannego monitorowania geolokalizacji. „Atak jest (na razie) wymierzony w użytkowników brazylijskich, ale ambicje twórców niemal na pewno popchną ich w kierunku ekspansji międzynarodowej, dlatego warto zachować czujność” – ostrzega Kaspersky.
Źródło: Radio ZET/kaspersky.com/wp.pl
Byłeś świadkiem czegoś niespodziewanego? Masz temat, którym powinniśmy się zająć?
Zgłoś sprawę przez Czerwony telefon Radia ZET
