Pozor na falošný Netflix, ktorý sa šíri internetom. Vírus PanDa dokáže ovládnuť mobil a vybieliť účet

Na internete sa objavila rozsiahla podvodná kampaň, ktorá zo začiatku cielila na používateľov Androidu v Mexiku, no ku dnešnému dňu sa rozšírila aj do iných krajín. Útočníci využívajú reklamy na Facebooku a ďalších platformách spoločnosti Meta, aby ľudí nalákali na inštaláciu falošných streamovacích aplikácií.

Za celou kampaňou stojí nový škodlivý program s názvom PanDa. Ide o takzvaného vzdialeného trojského koňa, ktorý dokáže po preniknutí do telefónu vykonávať množstvo nebezpečných úkonov. Útočníci môžu napríklad sledovať obrazovku, ovládať zariadenie na diaľku alebo zaznamenávať údaje, ktoré používateľ zadáva.

Výskumníci zo spoločnosti Intel 471 na kampaň upozornili začiatkom septembra. Podľa ich zistení za ňou stoja pravdepodobne čínski hovoriaci kyberzločinci. Rozsah operácie pritom nie je malý.

Na začiatku bol falošný Netflix

Prvé stopy kampane výskumníci zachytili v máji 2026. Podvodníci vtedy vytvorili reklamy namierené na španielsky hovoriacich používateľov v Mexiku. Reklamy lákali ľudí na aplikáciu, ktorá sa tvárila ako Netflix. Používateľ po kliknutí nedostal aplikáciu z oficiálneho obchodu Google Play, no namiesto toho si stiahol APK súbor, teda inštalačný balík pre Android.

Tento súbor však nepredstavoval skutočnú aplikáciu Netflix. Slúžil ako takzvaný loader, ktorý mal do telefónu dostať samotný PanDa. V ďalších mesiacoch útočníci svoju taktiku menili. V júli začali používať falošnú značku NovaFlix a neskôr pribudli ďalšie vymyslené streamovacie služby. Medzi nimi sa objavili názvy ako AlvoPlay, CeloloPlay, CineviaBox, EvotiPrime či PicomiPlay. V auguste sa útočníci opäť vrátili k Netflixu a ďalším známym streamovacím službám. Podľa Intel 471 pritom nešlo len o obyčajnú podvodnú stránku. Za kampaňou sa nachádzal celý systém, ktorý útočníkom výrazne zjednodušil šírenie škodlivého softvéru.

Súvisí s tým

Falošný Netflix oklamal za jediný týždeň takmer 15-tisíc ľudí. Stiahli si škodlivú APK, ktorá dokáže na diaľku ovládnuť ich telefón

Výskumníci objavili administrátorský panel s názvom AppPanda. Ten slúžil ako centrálne miesto na správu phishingových stránok a kampaní. A práve údaje z tohto panela ukázali, aká rozsiahla operácia môže za PanDa stáť. Počas jediného týždňa, ktorý sa začal 2. júla 2026, zaznamenal systém viac ako 350-tisíc návštev podvodných stránok. Z toho išlo o približne 200-tisíc unikátnych návštevníkov. Takmer 15-tisíc ľudí si zároveň stiahlo škodlivú aplikáciu. Výskumníci identifikovali najmenej 22 phishingových domén.

„Prítomnosť čínskeho jazyka v celom paneli naznačuje, že phishingovú infraštruktúru vyvinuli alebo spravovali čínski hovoriaci aktéri,“ uviedli výskumníci Intel 471.

AppPanda navyše nefungoval ako samostatný nástroj. Útočníci mali k dispozícii ďalšie služby, ktoré im umožnili vytvárať nové škodlivé aplikácie, meniť ich podpisy a sledovať výsledky reklamných kampaní. Jedna zo služieb s názvom APK Factory napríklad umožňovala vytvoriť nové verzie škodlivých APK. Okrem PanDa podporovala aj ďalší škodlivý program BTMOB, ktorý sa zameriava na bankové služby. Ďalší nástroj s názvom BAT1688 dokázal APK súbory automaticky upravovať, obfuscovať a podpisovať. Tento proces sa opakoval každých 60 minút. Cieľom bolo sťažiť antivírusovým systémom rozpoznanie škodlivého súboru.

Falošná aplikácia si vypýta nebezpečné povolenie

Samotný útok je postavený na pomerne jednoduchom triku. Používateľ si stiahne aplikáciu, ktorá sa tvári ako streamovacia služba. Následne ho aplikácia presvedčí, aby povolil inštaláciu aplikácií z neznámych zdrojov. Ide o nastavenie Androidu, ktoré umožňuje inštalovať aplikácie mimo oficiálneho obchodu Google Play. Používateľ môže nadobudnúť dojem, že toto povolenie potrebuje na prehrávanie videa. V skutočnosti však týmto krokom otvorí dvere ďalšej časti útoku.

Škodlivý loader si vo svojom vnútri ukrýva ďalšie súbory. Po spustení ich dešifruje a zostaví z nich funkčný APK súbor s PanDa. Pred inštaláciou navyše zmení časť digitálneho podpisu aplikácie, takže jednotlivé inštalácie nemusia mať úplne rovnaký podpis. To útočníkom pomáha obchádzať jednoduché zoznamy škodlivých súborov založené napríklad na ich hashoch. Po nainštalovaní PanDa príde ďalšia dôležitá fáza. malvér požiada používateľa o povolenie pre služby prístupnosti Androidu.

Toto povolenie má legitímne využitie. Pomáha napríklad ľuďom so zdravotným znevýhodnením ovládať telefón. V rukách škodlivého programu však môže predstavovať veľký problém.

Intel 471 pri analýze objavil zoznam aplikácií, na ktoré sa keylogger v PanDa zameriava. Obsahoval 62 bánk a finančných inštitúcií v Mexiku, Nigérii a ďalších krajinách. Malvér tak môže cieliť na údaje, ktoré používateľ zadáva napríklad pri prihlasovaní do bankovej aplikácie. PanDa však nepredstavuje iba klasický keylogger. Jeho schopnosti siahajú oveľa ďalej. Dokáže streamovať obrazovku napadnutého telefónu, ovládať zariadenie na diaľku a využívať takzvané HVNC. Ide o techniku, ktorá umožňuje vzdialenú interakciu so zariadením bez toho, aby používateľ musel priamo vidieť všetky vykonávané úkony.

Útočník tak môže získať pomerne detailný pohľad na dianie v napadnutom telefóne. Výskumníci navyše zistili, že PanDa komunikuje so serverom útočníkov cez WebSocket. Spojenie podľa ich analýzy nemalo dodatočnú šifrovaciu vrstvu.

Facebook pomáhal útočníkom nájsť vhodné obete

Zaujímavou súčasťou kampane je aj spôsob, akým podvodníci pracovali s reklamami. V auguste začali používať Facebook Pixel SDK, ktorý umožňuje sledovať výsledky reklamných kampaní. Útočníci tak mohli zistiť, ktoré reklamy priniesli najviac návštev a stiahnutí škodlivej aplikácie. Systém zároveň odosielal udalosti do reklamnej platformy Meta. Jej algoritmy tak mohli pomôcť optimalizovať doručovanie reklám smerom k ľuďom, ktorí mali väčšiu pravdepodobnosť kliknúť na podvodnú stránku.

„Ide o vysoko škálovateľnú a nákladovo efektívnu phishingovú operáciu,“ uviedli výskumníci.

Útočníci navyše používali takzvané jump domény. Tie fungovali ako medzistupeň medzi reklamou a skutočnou phishingovou stránkou. Ak niektorú doménu bezpečnostné firmy alebo platforma zablokovali, útočníci mohli nasadiť inú. Celá infraštruktúra tak pripomína skôr organizovaný online biznis než jednoduchý podvod vytvorený jedným človekom.

Na čo si dať pozor?

Kampaň PanDa ukazuje, prečo je pri Androide dôležité dávať pozor najmä na aplikácie inštalované mimo Google Play. Ak ťa webová stránka alebo reklama presviedča, aby si kvôli sledovaniu filmu povolil inštaláciu z neznámych zdrojov, ide o výrazný varovný signál. Rovnako treba spozornieť v momente, keď aplikácia na prehrávanie videa žiada prístup k službám prístupnosti.

Oficiálny obchod pritom nepredstavuje absolútnu záruku bezpečnosti, no sťahovanie APK súborov z náhodných reklám a webových stránok pridáva ďalšie riziko. Intel 471 zároveň očakáva, že podobné kampane sa môžu neskôr rozšíriť aj do ďalších krajín. Útočníkom totiž nič nebráni v tom, aby zmenili názov falošnej streamovacej služby, jazyk stránky alebo značku, ktorú napodobnia.

Práve kombinácia agresívnej reklamy, falošných aplikácií a škodlivého softvéru tak môže predstavovať problém aj u nás. Pre používateľa pritom často stačí jedno nesprávne kliknutie a následné povolenie, ktoré by legitímna aplikácia vôbec nemala potrebovať.