Falošný Netflix oklamal za jediný týždeň takmer 15-tisíc ľudí. Stiahli si škodlivú APK, ktorá dokáže na diaľku ovládnuť ich telefón

Kyberzločinci našli ďalší spôsob, ako dostať škodlivý softvér do smartfónov s Androidom. Používateľov lákajú na falošné aplikácie, ktoré napodobňujú známe streamovacie služby. Za ich inštaláciou sa však skrýva trójsky kôň PanDa, ktorý útočníkom umožní sledovať aktivitu obete, získavať citlivé údaje a na diaľku ovládať napadnuté zariadenie.

Na operáciu upozornili výskumníci spoločnosti Intel 471. Prvé súvisiace kampane zachytili v máji 2026 a zamerali sa najmä na španielsky hovoriacich používateľov v Mexiku, odvtedy sa rozšírili aj do ďalších krajín a dnes už ide o medzinárodný podvod. Útočníci na šírenie podvodov využili reklamy na platformách spoločnosti Meta, ktoré obete presmerovali na stránky s ponukou falošnej aplikácie Netflix. Stiahnutý súbor APK s označením ShellA slúžil ako zavádzač. Po spustení pripravil pôdu pre samotný škodlivý softvér PanDa. Útočníci tak nemuseli hneď odhaliť skutočný účel aplikácie. Namiesto toho používateľovi ponúkli napodobeninu streamovacej služby a následne ho presvedčili, aby povolil potrebné systémové oprávnenia.

Intel 471 upozornil, že PanDa dokáže zaznamenávať stlačenia klávesov, zachytávať údaje z obrazovky a získať prístup k citlivým informáciám. Výskumníci medzi jeho schopnosťami identifikovali aj vzdialené ovládanie zariadenia a takzvané HVNC, ktoré útočníkom umožňuje pracovať so skrytým virtuálnym prostredím.

„PanDa poskytuje rozsiahle možnosti sledovania obete,“ uviedli výskumníci.

Takéto funkcie môžu útočníkom pomôcť pri krádeži prihlasovacích údajov, najmä ak obeť otvorí bankovú aplikáciu alebo zadá citlivé informácie na prihlasovacej stránke.

AppPanda odhalil rozsah celej operácie

Výskumníci pri analýze jednej z podvodných stránok narazili na ďalšiu dôležitú súčasť kampane. Sledovacia adresa ich priviedla k panelu AppPanda, ktorý útočníkom slúžil na správu phishingových stránok a vyhodnocovanie kampaní. Získané údaje ukázali, že operácia mala značný dosah. Počas jedného týždňa, ktorý sa začal 2. júla 2026, panel zaznamenal viac než 350-tisíc návštev podvodných stránok, 200-tisíc jedinečných návštevníkov a takmer 15-tisíc stiahnutí škodlivých aplikácií. Útočníci pritom zaregistrovali najmenej 22 domén určených na phishing.

Súvisí s tým

Pozor na falošný Netflix, ktorý sa šíri internetom. Vírus PanDa dokáže ovládnuť mobil a vybieliť účet

Panel AppPanda ponúkal prehľad kampaní, nastavenie podvodných stránok aj štatistiky návštevnosti. Výskumníci objavili 11 pripravených šablón vstupných stránok, ktoré sa líšili témou, doménou a súborom určeným na stiahnutie. Čínština v rozhraní naznačuje, že čínsky hovoriaci útočníci túto infraštruktúru vyvinuli alebo spravovali. Sama osebe však neodhaľuje totožnosť konkrétnych páchateľov. AppPanda navyše nepredstavoval jediný nástroj v celom reťazci. Služba APK Factory umožňovala vytvárať nové verzie škodlivých aplikácií z pripravených šablón. Podporovala PanDa aj bankový trójsky kôň BTMOB. Ďalší nástroj s názvom BAT1688 automaticky upravoval a opätovne podpisoval APK súbory každých 60 minút. Takéto zmeny sťažujú odhalenie škodlivých aplikácií pomocou jednoduchých kontrol ich podpisov alebo kontrolných súčtov.

Súčasťou ekosystému bola aj služba Appchi, známa pod názvom Pixel Center. Operátori cez ňu mohli spravovať reklamné kampane na Facebooku, vytvárať odkazy na sledovanie návštevnosti a vyhodnocovať výdavky na reklamu. Celý systém tak zjednodušil prípravu útokov aj ľuďom, ktorí nemuseli sami vybudovať kompletnú technickú infraštruktúru.

PanDa cieli aj na bankové aplikácie

Po spustení falošnej aplikácie sa používateľ stretne s výzvou na povolenie inštalácie aplikácií z neznámych zdrojov. Podvodníci tento krok odôvodňujú tým, že ide o potrebnú podmienku na plynulé prehrávanie videí. V skutočnosti tým používateľa navedú k obídeniu ochrany, ktorú poskytuje oficiálny obchod Google Play.

Zavádzač ShellA následne rozšifruje skryté súbory, ktoré obsahuje, a poskladá z nich ďalší APK balík. Pred inštaláciou upraví časť jeho podpisu, takže jednotlivé inštalácie môžu vytvoriť odlišné súbory. Po dokončení inštalácie PanDa požiada o prístup k službám zjednodušenia ovládania systému Android. Tieto funkcie majú legitímne využitie, napríklad pri pomoci ľuďom so zdravotným znevýhodnením. Ak ich však získa škodlivá aplikácia, môže ich zneužiť na sledovanie toho, čo používateľ zadáva na obrazovke. Útočníci tak môžu zachytiť prihlasovacie údaje aj v situáciách, keď obeť sama nič neposiela na podozrivú webovú stránku.

Bezpečnostní analytici hovoria, že falošný Netflix si stiahlo takmer 15 000 používateľov. Výskumníci zároveň identifikovali zoznam 62 bánk a finančných inštitúcií z Mexika a Nigérie, na ktorých aplikácie sa zameral modul na zaznamenávanie klávesov. Správa však neuvádza, že všetky tieto inštitúcie utrpeli úspešný útok alebo že útočníci získali údaje každého ich zákazníka. Škodlivý softvér komunikoval so serverom útočníkov cez spojenie WebSocket bez dodatočného šifrovania. Tento poznatok môže pomôcť bezpečnostným tímom pri hľadaní známok infekcie v sieťovej prevádzke.

Podvodníci menia názvy, aby oslovili viac ľudí

V júli útočníci rozšírili kampaň o fiktívne streamovacie značky. Medzi názvami, ktoré výskumníci zaznamenali, boli AlvoPlay, CeloloPlay, CineviaBox, EvotiPrime, FaroreLive, HalogoBox, HalonaNow, NovaoraPrime, PicomiPlay, RivasaTV, UltraTV a VivaPlay. Tieto názvy nepredstavujú zoznam oficiálnych služieb, ale označenia, ktoré útočníci použili na podvodných stránkach.

V auguste sa kampaň opäť vrátila k napodobňovaniu Netflixu a využila aj značku PicomiPlay. Útočníci pridali do reklamných kampaní Facebook Pixel SDK, ktorý im pomohol vyhodnotiť, ktoré reklamy priviedli návštevníkov na podvodné stránky. Systém Meta tak mohol na základe získaných údajov optimalizovať zobrazovanie reklám a vyhľadávať ďalších používateľov s podobným správaním.

Na distribúciu používali aj dočasné presmerovacie domény. Tie tvorili medzikrok medzi reklamou a skutočnou phishingovou stránkou, čo útočníkom pomáhalo skryť hlavnú infraštruktúru a rýchlejšie meniť adresy po zásahu bezpečnostných tímov.

Intel 471 očakáva, že podobné kampane môžu postupne zasiahnuť aj ďalšie regióny a prispôsobiť podvodné stránky miestnym používateľom. Ak chceš znížiť riziko podobného útoku, nesťahuj aplikácie zo stránok, na ktoré ťa presmerovala podozrivá reklama, a neudeľuj neznámym aplikáciám prístup k službám zjednodušenia ovládania bez jasného dôvodu. Pri streamovacích službách sa drž oficiálneho obchodu Google Play a overených zdrojov. Samotný názov ani vzhľad aplikácie totiž nezaručujú, že ide o skutočnú službu.