Протягом 2017 року фахівці Eset знаходили у Google Play шкідливі програми, замасковані під легітимні. Наприклад, у лютому мобільні банкери пропонувалися під виглядом погодних програм, а у вересні – під виглядом гри Jewels Star Classic. Як правило, такі підробки видаляють протягом декількох днів, але за цей час вони встигають заразити тисячі пристроїв користувача.

У жовтні та листопаді 2017 року в Eset виявили нові способи розповсюдження мобільного банкера BankBot. Зловмисники розмістили у Google Play програми, призначені для прихованого завантаження трояна на пристрої користувачів.

На першому етапі кампанії в Google Play з'явилися програми-ліхтарики Tornado FlashLight, Lamp For DarkNess та Sea FlashLight із шкідливими функціями. На другому етапі – програми для гри в пасьянс та софт для очищення пам'яті пристрої.

Після першого запуску завантажувач звіряє встановлені на пристрої програми із закодованим списком із 160 банківських мобільних програм. Виявивши один або кілька збігів, він запитує права адміністратора пристрою. Далі, за дві години після активації прав, стартує завантаження мобільного трояна BankBot – його інсталяційний пакет замаскований під оновлення Google Play.

Всі виявлені завантажувачі завантажують ту саму версію BankBot з hxxp://138.201.166.31/kjsdf.tmp. Завантаження можливе лише в тому випадку, якщо на пристрої користувача дозволено встановлення програм із невідомих джерел. Якщо ця опція не увімкнена, на екрані з'явиться повідомлення про помилку і атака не зможе бути продовжена.

Після встановлення BankBot діє типовим для мобільних банкерів чином. Коли користувач відкриває цільове банківське додаток, троян підвантажує підроблену форму введення логіну та пароля. Введені дані будуть надіслані зловмисникам та використані для несанкціонованого доступу до банківського рахунку жертви.

Дослідження шкідливої ​​кампанії спільно виконали фахівці Eset, Avast та SfyLabs.

Інші новини