Velké varování: Neaktualizujte na svém mobilu bankovní aplikaci. Je o podvod a přijdete o všechny peníze

Aplikace vypadá stejně, ikonka sedí a přihlášení funguje jako vždycky. Přesto už ji nemusí ovládat banka, ale někdo úplně jiný. Právě na tomto principu staví nový škodlivý software pro Android, který dostal jméno Hirudo.

Důvěra v známou aplikaci jako slabé místo

Na hrozbu upozornili analytici bezpečnostní společnosti ThreatFabric. Podle nich Hirudo nestaví jen na klasické falešné přihlašovací stránce. Míří hlouběji: snaží se ovlivnit samotné fungování aplikace, získat široká práva v telefonu a na dálku sledovat, co oběť dělá.

Nebezpečné je to hlavně proto, že útočníci zneužívají něco, co si uživatelé budují roky: důvěru v program, který znají a používají bez přemýšlení.

Cesta do telefonu přitom nevypadá nijak dramaticky. Malware se šíří přes aplikace, které na první pohled nebudí podezření. Může jít o nákupní nástroj, aplikaci s obsahem pro dospělé nebo platformu s krátkými seriály. Zpočátku nabízejí to, co člověk čeká, ale ve skutečnosti slouží jen jako vstupní brána pro další škodlivý kód.

Po instalaci se objeví falešné upozornění na aktualizaci. Následují žádosti o oprávnění, mezi nimi i přístup ke službám zjednodušení ovládání. Android je původně vytvořil pro lidi se zdravotním znevýhodněním, jenže v rukou útočníka dovolují provádět úkony za uživatele a číst, co se děje na displeji. Právě proto je rozumné všímat si aplikací, které chtějí tak široký přístup bez jasného důvodu.

Jak probíhá výměna a co všechno malware získá

Teď přichází jádro celého útoku. Hirudo nejprve spustí odinstalování původní bankovní aplikace. Poté stáhne její upravenou verzi a pomocí získaných práv se ji pokusí nainstalovat. Pro útočníky je to riskantní chvíle, protože oběť může postup přerušit, pokud ji znejistí nečekané mizení aplikace nebo žádost o potvrzení instalace.

Když se výměna povede, uživatel dál pracuje s aplikací, která vypadá jako ta původní. Rozdíl je skrytý uvnitř: obsahuje nástroje, které obcházejí bezpečnostní kontroly a posílají data útočníkům. Podle analýzy zůstává téměř celý původní kód zachovaný, přibývá jen mechanismus zasahující do vybraných funkcí a měnící výsledky ochranných testů.

„Když tento mechanismus běží přímo v procesu bankovní aplikace, její vlastní obranné prvky se obrátí proti ní.“ („upozornili výzkumníci z ThreatFabric“)

Aplikace dokáže předstírat důvěryhodné prostředí. Při kontrole digitálního podpisu může vrátit údaje odpovídající originálu, skrýt zapnuté služby zjednodušení ovládání a vypnout ochranu proti snímání obrazovky. Některé ověřovací požadavky navíc zpracovává server v rukou útočníků.

Po úspěšné instalaci sbírá hesla k bankovním účtům, platební PINy, údaje k odemknutí telefonu i SMS zprávy. Útočníci mohou sledovat obrazovku v reálném čase a získat přístup k fotoaparátům a mikrofonu. Využívají také falešné platební obrazovky: vyžádají si PIN a zobrazí zprávu o úspěšné platbě, ačkoliv jde jen o krádež údajů.

Výzkumníci narazili i na nezabezpečený panel s tisíci záznamy o přihlašovacích údajích, zařízeních, zámcích obrazovky a finančních profilech. Přesný počet obětí ale neznají. Útok navíc nemusí vždy vyjít: součást ověřování obsahuje klíče a certifikáty, které unikly na veřejnost, a Google některé z nich už označil za kompromitované. Serverová kontrola je pak může odhalit a odmítnout.

Zatím se zdá, že útočníci cílí hlavně na uživatele indonéských bankovních aplikací. Kód ale už obsahuje přípravu pro banky v dalších zemích, například v Číně, Indii, Mexiku či Thajsku. Hirudo umí také prohledat a vyexportovat historii SMS zpráv až 90 dní zpětně. Stejný princip výměny důvěryhodného softwaru za upravenou verzi by přitom šel použít i na jiné finanční aplikace.

Co s tím dělat doma

Základem je neinstalovat aplikace z neoficiálních zdrojů a nevěřit upozorněním, která bez důvodu nutí ke stažení aktualizace mimo běžný obchod. Pravidelně aktualizuj systém i programy a spouštěj kontrolu přes Google Play Protect.

Pozor si dej na žádosti o služby zjednodušení ovládání. Pokud je chce aplikace, která je zjevně nepotřebuje, oprávnění neuděluj. Všímej si i nečekaného odinstalování či opětovné instalace bankovní aplikace.

Při podezření kontaktuj banku přes oficiální aplikaci nebo telefonní číslo a požádej o zajištění účtu. Z bezpečného zařízení pak změň přihlašovací údaje a projdi poslední transakce.

Hirudo ukazuje, že i program, který znáš léta, nemusí zůstat bezpečný, když někdo zasáhne do jeho fungování. Kontrolujete u svých aplikací jen původ, nebo i to, jaká práva si říkají?