Η Check Point Research (CPR) έχει εντοπίσει έξι εφαρμογές στο Play Store της Google που διέδιδαν κακόβουλο λογισμικό παριστάνοντας λύσεις προστασίας από ιούς. Γνωστό ως Sharkbot, το κακόβουλο λογισμικό κλέβει διαπιστευτήρια και τραπεζικές πληροφορίες.
Κατά τη διάρκεια της έρευνας της, η CPR μέτρησε πάνω από 1.000 μοναδικές IP διευθύνσεις μολυσμένων συσκευών, κυρίως στο Ηνωμένο Βασίλειο και την Ιταλία. Ωστόσο, τα στατιστικά του Google Play Store αποκάλυψαν ότι οι κακόβουλες εφαρμογές κατέβηκαν περισσότερες από 11.000 φορές. Το Sharkbot δελεάζει τα θύματά του μέσω ειδοποιήσεων push και εξαπατώντας τους χρήστες να εισάγουν διαπιστευτήρια σε περιβάλλοντα που μιμούνται φόρμες εισαγωγής στοιχείων. Η CPR υποπτεύεται ότι οι παράγοντες της απειλής είναι Ρωσόφωνοι και προειδοποιεί τους χρήστες Android σε όλο τον κόσμο να είναι ιδιαίτερα προσεκτικοί πριν κάνουν λήψη λύσεων προστασίας από ιούς στο Play Store.
- Το 62% των θυμάτων βρέθηκε στην Ιταλία, 36% στο Ηνωμένο Βασίλειο, 2% σε άλλες χώρες
- Οι φορείς απειλών εφάρμοσαν τη δυνατότητα γεωγραφικής περίφραξης, η οποία αγνοεί τους χρήστες συσκευών στην Κίνα, την Ινδία, τη Ρουμανία, τη Ρωσία, την Ουκρανία και τη Λευκορωσία
- Η CPR άμεσα ανέφερε τα ευρήματα της στην Google, η οποία αφαίρεσε τις κακόβουλες εφαρμογές
Η Check Point Research (CPR) ανακάλυψε έξι εφαρμογές που διαδίδουν τραπεζικό κακόβουλο λογισμικό στο Play Store της Google καθώς μεταμφιάζονται ως λύσεις προστασίας από ιούς. Το κακόβουλο λογισμικό, γνωστό ως «Sharkbot», κλέβει διαπιστευτήρια και τραπεζικές πληροφορίες χρηστών Android. Το Sharkbot δελεάζει τα θύματά του να εισάγουν τα διαπιστευτήριά τους σε παράθυρα που μιμούνται φόρμες εισαγωγής διαπιστευτηρίων. Όταν ο χρήστης εισάγει τα στοιχεία του εκεί, τα παραβιασμένα δεδομένα αποστέλλονται σε έναν κακόβουλο διακομιστή. Η CPR διαπίστωσε ότι οι δημιουργοί κακόβουλου λογισμικού εφάρμοσαν μια δυνατότητα γεωγραφικής περίφραξης, η οποία αγνοεί τους χρήστες συσκευών στην Κίνα, την Ινδία, τη Ρουμανία, τη Ρωσία, την Ουκρανία ή τη Λευκορωσία.
Οι Έξι Κακόβουλες Εφαρμογές
Τέσσερις από τις εφαρμογές προέρχονταν από τρεις λογαριασμούς προγραμματιστή, τους Zbynek Adamcik, Adelmio Pagnotto και Bingo Like Inc. Όταν η CPR έλεγξε το ιστορικό αυτών των λογαριασμών, είδαν ότι δύο από αυτούς ήταν ενεργοί το φθινόπωρο του 2021. Μερικές από τις εφαρμογές που συνδέονται με αυτούς τους λογαριασμούς αφαιρέθηκαν από το Google Play, αλλά εξακολουθούν να υπάρχουν σε ανεπίσημες αγορές. Αυτό θα μπορούσε να σημαίνει ότι ο φορέας πίσω από τις εφαρμογές προσπαθεί να παραμείνει “κάτω από το ραντάρ” ενώ εξακολουθεί να εμπλέκεται σε κακόβουλη δραστηριότητα.
Τα Θύματα
Η CPR μπόρεσε να συλλέξει στατιστικά στοιχεία για μία εβδομάδα. Κατά τη διάρκεια αυτής της περιόδου, μέτρησε περισσότερες από 1.000 IP θυμάτων. Κάθε μέρα, ο αριθμός των θυμάτων αυξανόταν κατά περίπου 100. Σύμφωνα με στατιστικά στοιχεία του Google Play, οι έξι κακόβουλες εφαρμογές που εντοπίστηκαν από την CPR λήφθηκαν περισσότερες από 11.000 φορές. Τα περισσότερα από τα θύματα βρίσκονται στο Ηνωμένο Βασίλειο και την Ιταλία.
Η Μεθοδολόγια της Επίθεσης
- Παρακίνηση του χρήστη να παραχωρήσει δικαιώματα προσβασιμότητας για εφαρμογή
- Μετά από αυτό, το κακόβουλο λογισμικό αποκτά τον έλεγχο ενός μεγάλου μέρους της συσκευής του θύματος
- Οι φορείς απειλών μπορούν επίσης να στέλνουν ειδοποιήσεις push στα θύματα που περιέχουν κακόβουλους συνδέσμους
Στοιχεία σχετικά με την επίθεση
Η CPR δεν έχει αρκετά στοιχεία για να αποδώσει την ευθύνη κάπου συγκεκριμένα. Μπορούμε να υποθέσουμε ότι οι συντάκτες του κακόβουλου λογισμικού μιλούν ρωσικά. Επιπλέον, το κακόβουλο λογισμικό δεν θα εκτελέσει την κακόβουλη λειτουργικότητά του εάν η τοπική τοποθεσία της συσκευής βρίσκεται στην Κίνα, την Ινδία, τη Ρουμανία, τη Ρωσία, την Ουκρανία ή τη Λευκορωσία.
Γνωστοποιούμε Υπεύθυνα
Αμέσως μετά τον εντοπισμό αυτών των εφαρμογών που διαδίδουν το Sharkbot, η CPR γνωστοποίησε τα ευρήματα της στην Google. Αφού εξέτασε τις εφαρμογές, η Google προχώρησε στην οριστική κατάργηση αυτών των εφαρμογών στο Google Play store. Την ίδια ημέρα που η CPR ανέφερε τα ευρήματα στην Google, η ομάδα NCC δημοσίευσε μια ξεχωριστή έρευνα για το Sharkbot, αναφέροντας μια από τις κακόβουλες εφαρμογές.
Σχόλιο του Alexander Chailytko, Cyber Security, Research & Innovation Manager, Check Point Software:
«Ανακαλύψαμε έξι εφαρμογές στο Play Store της Google που διέδιδαν κακόβουλο λογισμικό Sharkbot. Αυτό το κακόβουλο λογισμικό κλέβει διαπιστευτήρια και τραπεζικές πληροφορίες. Είναι προφανώς πολύ επικίνδυνο. Εξετάζοντας τον αριθμό εγκαταστάσεων, μπορούμε να υποθέσουμε ότι ο παράγοντας απειλής διάλεξε επιτυχώς τη μέθοδο εξάπλωσης κακόβουλου λογισμικού, επιλέγοντας στρατηγικά την τοποθεσία εφαρμογών στο Google Play που έχει την εμπιστοσύνη των χρηστών. Αυτό που είναι επίσης αξιοσημείωτο εδώ, είναι ότι οι φορείς απειλών προωθούν μηνύματα στα θύματα που περιέχουν κακόβουλους συνδέσμους, γεγονός που οδηγεί σε ευρεία υιοθεσία. Συνολικά, η χρήση push-messages από τους φορείς απειλών, που ζητούν απάντηση από τους χρήστες είναι μια ασυνήθιστη τεχνική διάδοσης. Νομίζω ότι είναι σημαντικό για όλους τους χρήστες Android να γνωρίζουν ότι θα πρέπει να είναι ιδιαίτερα προσεκτικοί πριν κατεβάσουν οποιαδήποτε λύση προστασίας από ιούς από το Play Store. Θα μπορούσε να είναι Sharkbot.”
Συμβουλές Ασφαλείας για Χρήστες Android
- Εγκαταστήστε εφαρμογές μόνο από αξιόπιστους και επαληθευμένους εκδότες.
- Aν δείτε μια εφαρμογή από έναν νέο εκδότη, αναζητήστε ανάλογες από έναν αξιόπιστο.
- Αναφέρετε στην Google τυχόν φαινομενικά ύποπτες εφαρμογές που συναντάτε.