Nový Android malvér sa vydáva za bezpečnostnú aplikáciu. Kradne SMS správy aj údaje o účtoch

Pod názvom VirusSecurity sa skrýva škodlivá aplikácia pre Android, ktorá sa vydáva za bezpečnostný nástroj. Namiesto ochrany telefónu však dokáže zbierať SMS správy, kontakty, históriu hovorov či polohu. Zaujímajú ju aj e-mailové adresy účtov, ktoré máš pridané v telefóne.

Na malvér upozornili analytici SonicWall Capture Labs. Pri rozbore aplikácie odhalili, ako získané údaje odosiela útočníkom. Využíva na to Firebase, cloudovú službu Googlu, ktorú bežne používajú aj legitímne aplikácie.

Tvári sa ako antivírus, no po inštalácii chce čítať tvoje správy a kontakty

VirusSecurity má názov aj ikonu pripomínajúcu antivírus. Po inštalácii však žiada prístup ku kontaktom, polohe a upozorneniam. Výskumníci navyše v jej kóde našli funkcie, ktoré dokážu získavať SMS správy a ďalšie osobné údaje.

Problémom môže byť aj prístup k upozorneniam. Objavujú sa v nich overovacie kódy z banky či náhľady súkromnej komunikácie. VirusSecurity pritom obsahuje aj funkcie na získavanie samotných SMS správ uložených v telefóne. Útočník preto nemusí čakať, kým sa hľadaný kód objaví v notifikačnej lište.

VirusSecurity žiada aj prístup k upozorneniam, v ktorých sa môžu objaviť bankové overovacie kódy či náhľady súkromných správ. Výskumníci v jeho kóde našli aj funkcie na čítanie SMS uložených v telefóne. Takéto oprávnenia na prístup k správam a upozorneniam pritom môžu mať aj ďalšie aplikácie, ktorým si ich v minulosti povolil.

Súvisí s tým

Niektoré Android telefóny môžu mať vírus už pri kúpe. Triada dokáže kradnúť správy aj prihlasovacie údaje

OdporúčameMáš v Androide niektorú z týchto 4 aplikácií? Bankový malvér Hirudo dokáže ovládnuť telefón aj vymeniť aplikáciu banky

Malvér má prístup aj k histórii hovorov a kontaktom v telefóne

VirusSecurity dokáže čítať SMS správy vrátane prihlasovacích kódov a upozornení z banky. Útočníci ich môžu využiť napríklad vtedy, keď už poznajú heslo používateľa a potrebujú prekonať ďalší krok overenia. Niektoré služby posielajú podobné kódy aj pri obnovení prístupu k účtu.

Ak ti začnú chodiť nevyžiadané overovacie SMS správy, môže ísť o pokus o prihlásenie do tvojho účtu alebo obnovenie hesla. Ak máš zároveň v telefóne malvér, ktorý tieto správy číta, útočník sa môže dostať aj k doručeným kódom.

VirusSecurity zbiera aj kontakty, históriu hovorov a polohu. Útočníci tak môžu zistiť, s kým komunikuješ, na aké čísla voláš a kde sa nachádzaš. Malvér navyše získava IP adresu, názov aplikácie a identifikátor jej balíka. SonicWall pri analýze zdokumentoval aj odosielanie týchto údajov do vzdialenej databázy.

Malvér zisťuje aj to, aké e-mailové účty používaš v telefóne

VirusSecurity sa pokúša dostať aj k e-mailovým adresám priradeným k účtom v telefóne. Využíva na to funkciu Androidu s názvom AccountManager, cez ktorú dokáže získať informácie o účtoch, ku ktorým mu systém povolí prístup.

Získané údaje prehľadáva a vyberá z nich e-mailové adresy. Tie si ukladá pod označeniami Gmail1, Gmail2 a podobne. Útočníci tak môžu získať zoznam adries, ktoré používaš, bez toho, aby museli otvárať samotnú aplikáciu Gmail.

SonicWall v správe neopísal krádež hesiel do Gmailu. Malvér sa v tejto časti sústreďuje na e-mailové adresy, ktoré môžu útočníci neskôr použiť pri phishingových útokoch alebo pokusoch o obnovenie prístupu k účtom.

VirusSecurity posiela ukradnuté údaje na servery Googlu

Ukradnuté SMS správy, informácie o účtoch a údaje o telefóne VirusSecurity odosiela cez Firebase Realtime Database, teda cloudovú službu Googlu. Výskumníci zo SonicWall našli v kóde aj postup, ktorým aplikácia údaje pripravuje na odoslanie.

Cez Firebase prebieha aj časť komunikácie medzi malvérom a jeho prevádzkovateľmi. SonicWall potvrdil využívanie tejto infraštruktúry, konkrétne príkazy na vzdialené ovládanie však v analýze nerozpísal.

Firebase využíva množstvo bežných Android aplikácií. VirusSecurity tak posiela ukradnuté údaje cez rovnakú cloudovú službu, akú používajú legitímne programy. Samotná komunikácia s jej servermi preto ešte neprezradí, čo aplikácia v telefóne robí.

VirusSecurity už analyzovali, no spôsob jeho šírenia zostáva neznámy

Koľko telefónov VirusSecurity napadol, SonicWall nezverejnil. Chýbajú aj údaje o krajinách, v ktorých malvér zachytil, a o spôsobe jeho šírenia. Nie je jasné, či sa škodlivá aplikácia dostala do obchodu Google Play, alebo ju útočníci distribuovali cez externé APK súbory.

Výskumníci zverejnili štyri odtlačky SHA-256 zachytených APK súborov, podľa ktorých ich bezpečnostné nástroje dokážu identifikovať. SonicWall tieto vzorky deteguje pod označením AndroidInfoStealer.A (Trojan).

Našiel si v telefóne VirusSecurity? Takto si overíš, či je škodlivá

Ak máš v telefóne aplikáciu VirusSecurity, pozri sa, odkiaľ pochádza a aké oprávnenia si jej udelil. Výskumníci zo SonicWall upozornili najmä na prístup k SMS správam, kontaktom a upozorneniam. S takýmito oprávneniami môže zbierať údaje aj bez toho, aby si ju aktívne používal.

Podozrivú aplikáciu môžeš preveriť cez Google Play Protect. Ak ju označí za škodlivú, odstráň ju. Pokiaľ kontrola nič nenájde, no aplikáciu nepoznáš a nevieš, odkiaľ sa v telefóne vzala, negatívny výsledok sám o sebe jej bezpečnosť nepotvrdzuje.

Ak už mala prístup k tvojim SMS správam, z iného dôveryhodného zariadenia si prever posledné prihlásenia do e-mailu a ďalších účtov. Pri podozrivej aktivite zmeň heslo a odhlás neznáme zariadenia. Ak si cez SMS dostával aj bankové overovacie kódy, skontroluj posledné transakcie. Neznáme platby rieš priamo s bankou.