Udrel nový bankový trojan LongKong. Tvári sa ako PDF čítačka, šíri sa cez WhatsApp a dokáže ovládať bankovú aplikáciu

Reklama na Facebooku alebo odkaz vo WhatsAppe ponúkne PDF čítačku, kuriérsku aplikáciu či pracovnú ponuku. Namiesto sľubovanej služby si však človek môže do telefónu stiahnuť LongKong, bankový malvér, ktorý po získaní potrebných oprávnení dokáže sledovať a ovládať zariadenie.

Na novú vlnu útokov upozornil malajzijský tím pre kybernetickú bezpečnosť MyCERT. LongKong pritom nie je nový malvér, ide o ďalší variant už známej rodiny, ktorú útočníci používajú aj na krádeže bankových údajov.

Falošná aplikácia môže vyzerať ako e-wallet, pôžičková služba, systémová aktualizácia alebo obyčajná čítačka PDF. Odkaz vedie mimo Google Play a ponúkne APK súbor na ručnú inštaláciu. Útočníkom pritom stačí veľmi krátky čas. V zachytených prípadoch prešlo od otvorenia návnady po inštaláciu aplikácie a udelenie citlivého povolenia menej než päť minút.

LongKong sa vydáva za PDF čítačku, kuriéra aj obchod s aplikáciami

V kampani sa objavili aplikácie s názvami PDF Reader, PDF X, GetApp Updater, Delivery4U, Service4U či MaxTagCOD. Pri ďalších vzorkách útočníci použili názvy Huawei AppGallery alebo vivo appstore, aby aplikácia pôsobila ako známy obchod s aplikáciami.

Názvy sa medzi jednotlivými verziami menia, rovnako ako názvy balíkov. Ďalšia vzorka LongKongu sa preto pokojne môže objaviť pod úplne iným menom.

Súvisí s tým

Populárna aplikácia z Google Play šírila bankový trojan. Mala viac ako 100 tisíc stiahnutí a tvárila sa ako obyčajný čítač dokumentov

Maskovanie za PDF čítačku už poznáme aj z iných bankových kampaní. Bankový trojan Anatsa sa napríklad šíril práve cez aplikáciu, ktorá sa vydávala za PDF čítačku. LongKong po získaní potrebných oprávnení pridáva aj vzdialené ovládanie napadnutého telefónu.

Po udelení Prístupnosti môže LongKong ovládať prvky iných aplikácií

Po inštalácii sa LongKong snaží dostať k službám Prístupnosti systému Android. Falošná aplikácia môže toto povolenie vydávať za súčasť overenia zariadenia alebo dokončenia nastavenia.

Po jeho udelení dokáže malvér zasahovať do rozhrania iných aplikácií, sledovať, čo máš otvorené, a vykonávať dotyky namiesto teba. Ak mu niektoré oprávnenie odoberieš, môže sa ho pokúsiť znova zapnúť.

Analyzované vzorky zvládali aj živý prenos obrazovky, keylogging, čítanie a odosielanie SMS správ, prístup k súborom, fotoaparátu či polohe a vzdialený shell. Prístup aplikácií ku kamere, mikrofónu alebo polohe si vieš skontrolovať cez nástroje na ochranu súkromia v Androide.

V niektorých prípadoch LongKong využíva aj Android Wireless Debugging, funkciu určenú na bezdrôtové ladenie telefónu. MyCERT upozorňuje najmä na kombináciu zapnutého Wireless Debugging a Prístupnosti u aplikácie nainštalovanej mimo Google Play. Takýto stav už môže byť známkou napadnutého zariadenia.

LongKong prekryje bankovú aplikáciu falošným prihlasovacím oknom

Keď používateľ otvorí bankovú aplikáciu, LongKong nad ňu môže zobraziť vlastný formulár, ktorý napodobňuje prihlasovaciu obrazovku banky. Originál pritom zostáva spustený pod ním.

Do podvrhnutého okna potom používateľ zadá prihlasovacie meno, heslo alebo ďalší údaj, ktorý od neho banka bežne žiada. Ak banka používa na potvrdenie operácie PIN alebo iný dodatočný overovací údaj, LongKong sa môže pokúsiť získať aj ten.

Po získaní údajov nemusí útok skončiť. LongKong umožňuje operátorovi pokračovať priamo na napadnutom telefóne a pracovať s bankovou aplikáciou na zariadení obete.

LongKong využíva telefón obete ako dôveryhodné zariadenie pre banku

LongKong môže pomocou Prístupnosti ovládať bankovú aplikáciu priamo na telefóne obete. Simuluje dotyky a operácia tak prebieha na zariadení, ktoré už banka pozná a ktoré môže mať používateľ zaregistrované na schvaľovanie platieb.

Ak príde overovací kód cez SMS, trojan vie správu prečítať a jej obsah odoslať operátorovi.

Po inštalácii môže LongKong čakať na príkaz operátora

LongKong sa po inštalácii nemusí okamžite aktivovať. Operátor môže nechať napadnuté zariadenie bez zásahu a pripojiť sa k nemu až vo chvíli, keď chce začať pracovať s bankovou aplikáciou.

Niektoré vzorky dokážu skryť svoju ikonu a získať práva správcu zariadenia, takže ich odstránenie je neskôr zložitejšie.

Samotné APK súbory a riadiaca infraštruktúra navyše bežia oddelene. Útočníci priebežne menia domény, IP adresy aj názvy aplikácií, cez ktoré LongKong šíria.

APK mimo Google Play a žiadosť o Prístupnosť sú najväčšie varovania

APK stiahnuté mimo Google Play, ktoré si po inštalácii vypýta Prístupnosť, je dôvod aplikáciu ďalej nepoužívať. PDF čítačka, kuriérska služba ani aplikácia s pracovnými ponukami takýto prístup na svoju bežnú funkciu nepotrebujú.

Ak už LongKong alebo podobná aplikácia v telefóne je, najskôr jej odober prístup k Prístupnosti a práva správcu zariadenia. Skontroluj aj Wireless Debugging, aplikáciu odstráň a telefón potom prever cez Google Play Protect.

Po zadaní bankových údajov alebo PIN-u do podozrivého formulára ich už nemeň na rovnakom telefóne. Použi iné dôveryhodné zariadenie a kontaktuj banku, aby preverila posledné transakcie a prístup k účtu.