Cellik nie je obyčajný spyware: Obchádza ochranu Androidu a skrýva sa v známych aplikáciách
Bezpečnostní analytici varujú pred novým malvérom Cellik, ktorý prevezme zariadenie a následne ti vybieli účet spôsobom, ktorý vyzerá legitímne.
Bezpečnostní analytici z Iverify identifikovali nový Android RAT s názvom Cellik, ktorý neposúva hranice malvéru jedným prelomovým technickým trikom, ale nebezpečnou kombináciou známych systémových funkcií a moderného kyberzločinu. Nejde o obyčajný spyware. Cellik dokáže prevziať celé zariadenie tak, aby sa správalo presne ako tvoje vlastné, len s tým rozdielom, že ho v skutočnosti ovláda niekto iný.
Kľúčom k jeho sile nie je zero-day zraniteľnosť ani sofistikovaný hack operačného systému. Cellik stojí na zneužití Služieb prístupnosti (Accessibility Services), ktoré Android pôvodne navrhol na pomoc ľuďom so zdravotným postihnutím.
Ak aplikácii udelíš toto povolenie, dostane „oči a ruky“. Vie čítať text v iných aplikáciách, sledovať obrazovku a klikať na tlačidlá bez tvojho vedomia. Presne na tomto princípe stojí celý Cellik. Nevyužíva chybu systému. Využíva to, že mu používateľ sám dovolí robiť čokoľvek.
„Ak používateľ povolí Accessibility Services, útočník získa prakticky plnú kontrolu nad zariadením,“ upozorňuje Daniel Kelley z iVerify.
Najdesivejšie na Celliku je, že sa do telefónu často nedostane cez technický útok, ale cez dôveru. Stačí jedno kliknutie na falošnú výzvu na aktualizáciu známej aplikácie, jeden APK súbor stiahnutý mimo Google Play alebo jedna aplikácia, ktorá sa tvári ako užitočný nástroj a požiada o „pomocné“ povolenie. Používateľ má pocit, že robí správnu vec. V skutočnosti sám otvorí dvere nástroju, ktorý prevezme celý telefón bez ďalšieho varovania.
Telefón ako diaľkovo ovládaný nástroj
Po aktivácii Cellik streamuje obrazovku v reálnom čase a umožňuje útočníkovi ovládať celé rozhranie telefónu. Ten vidí správy, notifikácie, jednorazové overovacie kódy aj bankové upozornenia presne v momente, keď sa zobrazia.
Neprehliadni
Vie otvárať aplikácie, písať správy, pracovať so súbormi a pohybovať sa v systéme presne tak, ako keby si telefón držal v ruke ty. Telefón sa správa normálne, no rozhodnutia robí niekto iný. Útočník môže čakať, sledovať a zasiahnuť až v momente, keď je to pre neho najvýhodnejšie.
Cellik disponuje aj skrytým prehliadačom, ktorý beží úplne mimo tvojej obrazovky. Útočník sa cez neho prihlasuje na webové stránky pomocou uložených cookies, vypĺňa formuláre a zachytáva citlivé údaje. Ty pritom nevidíš žiadne pohyby, žiadne bliknutia, žiadne varovanie. Prehliadanie prebieha v tichosti, no výsledky putujú priamo útočníkovi.
Injekcie a falošné obrazovky
Súčasťou Celliku je pokročilý systém injekcií do iných aplikácií. V praxi to znamená, že nad bankovou, e-mailovou alebo sociálnou aplikáciou sa zobrazí falošná prihlasovacia obrazovka, ktorá vyzerá úplne autenticky. Zadáš heslo a aplikácia ho okamžite odošle útočníkovi.
Cellik dokáže tieto pasce spúšťať paralelne vo viacerých aplikáciách naraz. Útočník ich spravuje z jedného ovládacieho panelu a v reálnom čase sleduje, ktoré údaje sa mu práve zbierajú. Pre obeť ide o neviditeľnú pascu, ktorá funguje presne v momente, keď má pocit bezpečia.
Distribúcia často prebieha cez tzv. „update phishing“. Cellik umožňuje zabaliť škodlivý kód do legitímne vyzerajúcich aplikácií pomocou APK buildera a Play Store katalógu. Používateľovi vyskočí hlásenie, že Chrome, WhatsApp alebo iná známa aplikácia potrebuje urgentnú aktualizáciu. Klikneš, stiahneš APK a nainštaluješ ho manuálne. Myslíš si, že riešiš bezpečnosť. V skutočnosti spustíš Cellik, ktorý útočník predtým zabali do legitímne vyzerajúcej aplikácie pomocou vstavaného APK buildera.
Cellik dokonca integruje katalóg Google Play. Útočník si vyberie populárnu aplikáciu, vloží do nej škodlivý kód a vytvorí nový inštalačný balík jedným klikom. Takýto súbor dokáže obísť aj automatické kontroly, pretože pôsobí dôveryhodne.
Device takeover je viac než krádež dát
Pri Celliku nejde len o zber informácií. Ide o Device Takeover (DTO), úplné prevzatie identity zariadenia. Útočník sleduje obrazovku, počká, kým telefón odomkneš biometricky, a následne vykoná bankový prevod. Banka ho vyhodnotí ako legitímny. Prichádza z tvojho zariadenia, z tvojej IP adresy a s tvojím overením.
„Útočník nepotrebuje prelomiť banku. Stačí mu použiť tvoj vlastný telefón,“ konštatuje Kelley.
Širší trend mobilného malvéru
Cellik zapadá do rastúceho trhu Android Malware-as-a-Service. Platformy ako HyperRat, PhantomOS či Nebula ponúkajú kompletný balík, od tvorby škodlivých APK súborov až po cloudové riadenie a technickú podporu. Sofistikovaný útok sa tak dostáva do rúk ľudí bez hlbokých technických znalostí.
Pre bežného používateľa to znamená, že jeden nesprávny klik, jedno zlé rozhodnutie a niekto získa kontrolu nad celým digitálnym životom.
