Mobilny trojan Svpeng przechwytuje dane i dokonuje kradzieży za pośrednictwem usług dostępności – także w Polsce!

Eksperci z Kaspersky Lab wykryli nowy wariant bankowego trojana mobilnego o nazwie Svpeng, który zawiera funkcjonalność keyloggera — technikę kojarzoną raczej z cyberprzestępcami stosującymi ataki ukierunkowane. Zmodyfikowany trojan przechwytuje wprowadzany tekst, taki jak dane uwierzytelniające transakcje bankowe, poprzez wykorzystywanie usług dostępności systemu Android. Podejście to umożliwia również trojanowi udzielenie sobie innych zezwoleń i uprawnień oraz przeciwdziałanie próbom odinstalowania go. Badacze ostrzegają, że samo aktualizowanie oprogramowania urządzenia nie zapewnia ochrony przed tym trojanem. Szkodnik atakuje także w Polsce.

Usługi dostępności zwykle odnoszą się do usprawnień interfejsu programu, które umożliwiają wykorzystywanie urządzenia przez osoby niepełnosprawne (np. niedowidzące) lub takie, które tymczasowo nie są w stanie w pełni go obsługiwać, ponieważ np. prowadzą samochód. W lipcu 2017 r. badacze z Kaspersky Lab odkryli, że Svpeng ewoluował, uzyskując możliwość wykorzystywania tej funkcji systemu w celu kradzieży wprowadzanego tekstu z innych aplikacji na urządzeniu oraz udzielania sobie wielu dodatkowych przywilejów.

Trojan jest rozprzestrzeniany za pośrednictwem szkodliwych stron internetowych; występuje on pod postacią odtwarzacza animacji i filmów flash. Po aktywacji prosi o zezwolenie na wykorzystywanie usług dostępności. Poprzez tę funkcję może uzyskać dostęp do interfejsów innych aplikacji oraz wykonać zrzuty ekranu za każdym razem, gdy na klawiaturze wciskany jest klawisz, a także rejestrować dane uwierzytelniające dostęp do bankowości i podobne informacje. Szkodnik może uzyskać dla siebie przywileje administratora urządzenia oraz możliwość nakładania się na inne aplikacje. Możliwość nałożenia się na aplikacje jest niezbędna, ponieważ niektóre z nich, głównie bankowe, nie zezwalają na wykonywanie zrzutów ekranu, kiedy są „na wierzchu”. W takich przypadkach trojan nakłada na aplikację swoje okno phishingowe. Badacze zidentyfikowali listę phishingowych adresów URL, których celem były aplikacje bankowe czołowych europejskich banków detalicznych.

Ponadto trojan potrafi zainstalować się jako domyślna aplikacja SMS, wysyłać i otrzymywać SMS-y, wykonywać połączenia i odczytywać kontakty, jak również blokować wszelkie próby odebrania przywilejów administratora urządzenia — uniemożliwiając tym samym odinstalowanie go. Szkodliwe techniki trojana działają nawet w przypadku w pełni uaktualnionych urządzeń, na których zainstalowano najnowszą wersję systemu operacyjnego Android oraz wszystkie aktualizacje bezpieczeństwa.

Geografia — użytkownicy polskich aplikacji finansowych na celowniku

Trojan nie został jeszcze szeroko rozprzestrzeniony, a łączna liczba ataków jest stosunkowo niewielka. Większość wykrytych dotąd ataków miała miejsce w Rosji (29%), Niemczech (27%), Turcji (15%), Polsce (6%) oraz Francji (3%). W przypadku Polski szkodnik potrafi m.in. kraść dane logowania do przynajmniej 7 różnych aplikacji przeznaczonych do przeprowadzania transakcji finansowych online.

Funkcjonalność keyloggera oraz wykorzystywanie usług dostępności stanowią nowy krok w ewolucji szkodliwego oprogramowania dla bankowości mobilnej i nie dziwi nas, że to właśnie twórcy szkodnika Svpeng wprowadzają te nowości. Trojan jest znany ze swojej innowacyjności, co czynni go jednym z najgroźniejszych zagrożeń mobilnych. Svpeng jako jeden z pierwszych wykorzystywał strony phishingowe do nakładania się na aplikacje w celu przechwytywania danych uwierzytelniających oraz blokował urządzenia, żądając okupu. Dlatego tak ważne jest monitorowanie i analizowanie każdej nowej wersji — powiedział Roman Unuchek, starszy analityk szkodliwego oprogramowania, Kaspersky Lab.

Kaspersky Lab zaleca użytkownikom zainstalowanie na swoich urządzeniach niezawodnego rozwiązania bezpieczeństwa, takiego jak Kaspersky Internet Security for Android, sprawdzanie, czy pobierane aplikacje zostały udostępnione przez godnego zaufania dostawcę, oraz niepobieranie podejrzanych programów i aplikacji, w przypadku których weryfikacja źródła jest niemożliwa. Warto również pamiętać o zachowaniu ostrożności podczas udzielania aplikacjom dodatkowych przywilejów.

Szczegóły techniczne dotyczące najnowszej modyfikacji trojana Svpeng są dostępne na stronie http://r.kaspersky.pl/YZQmQ.

Źródło: Kaspersky Lab