Aplikacija iz Google Play prodavnice inficira uređaje bankarskim trojancem

Poslije više od dvije nedelje, koliko je bila dostupna u Googleovoj prodavnici, zlonamjerna aplikacija za dvofaktornu autentifikaciju (2FA) je uklonjena iz prodavnice, ali tek pošto je preuzeta i instalirana više od 10.000 puta. Aplikacija, koja je inače potpuno funkcionalna, krije malver Vultur koji krade finansijske podatke.

Istraživači iz firme Pradeo koji su primijetili zlonamjernu aplikaciju pod nazivom „2FA Authenticator“, savjetuju onima koji su je instalirali da je odmah izbrišu sa uređaja jer su i dalje izloženi riziku, kako od krađe podataka za prijavljivanje na onlajn bankovni račun, tako i od drugih napada koji su mogući zahvaljujući prekomjernim dozvolama aplikacije.

U opisu na stranici aplikacije na Google Play, „2FA Authenticator“ je opisan kao „bezbjedni autentifikator za vaše onlajn usluge, koji takođe uključuje neke funkcije koje nedostaju postojećim aplikacijama za potvrdu identiteta, kao što su pravilno šifrovanje i rezervne kopije“.
Nakon preuzimanja, aplikacija instalira bankarskog trojanca Vultur, koji krade finansijske podatke na kompromitovanom uređaju. Aplikacija za koju su njeni programeri iskoristili otvoreni kod zvanične Aegis aplikacije za autentifikaciju u koju su ubacili zlonamjerni kod, ponaša se kao “dropper” za malver Vultur.

Malver Vultur, trojanac za daljinski pristup, bio je prvi te vrste koji je koristio keylogging i snimanje ekrana kao svoju primarnu taktiku za krađu bankarskih podataka, omogućavajući sajber kriminalcima da automatizuju proces prikupljanja podataka. Autori malvera su odlučili da se odmaknu od uobičajene strategije preklapanja aplikacija banaka koju obično vidimo kod drugih Android bankarskih trojanaca: ovaj pristup obično zahtijeva više vremena i truda da bi se ukrale relevantne informacije od korisnika. Umjesto toga, Vultur jednostavno snima ono što se prikazuje na ekranu, dobijajući isti krajnji rezultat.

„2FA Authenticator“ takođe traži više dozvola u odnosu na ono što je navedeno u Google Play profilu aplikacije, uključujući pristup kameri i biometriji. Te skrivene privilegije omogućavaju napadačima da urade mnogo više od onoga što omogućavaju standardni bankarski trojanci, kao što je pristup podacima o lokaciji korisnika, tako da napadi mogu biti usmjereni na određene regione, zatim, onemogućavanje zaključavanja uređaja i postavljanje lozinke, preuzimanje aplikacija iz nezvaničnih izvora i preuzimanje kontrole nad uređajem, čak i ako se aplikacija ugasi.

Kada je uređaj kompromitovan, aplikacija instalira Vultur, „naprednu i relativno novu vrstu malvera koja uglavnom cilja interfejs za onlajn bankarstvo da bi ukrao korisničke akreditive i druge važne finansijske informacije“. Vultur uglavnom cilja evropske banke i novčanike za kriptovalute.