V obchode Google Play sa objavila aplikácia, ktorá na prvý pohľad nerobila nič podozrivé. Otvárala PDF dokumenty, mala bežný názov a používatelia si ju mohli nainštalovať rovnako ako ktorýkoľvek iný nástroj. V skutočnosti však mohla do telefónu dostať škodlivý softvér schopný napadnúť mobilné bankovníctvo. Nešlo pritom o ojedinelé stiahnutie z pochybného webu. Aplikácia sa nachádzala priamo v oficiálnom obchode Googlu.
Bezpečnostná spoločnosť Zscaler potvrdila, že objavila falošnú aplikáciue na čítanie PDF, za ktorou sa skrýval inštalátor bankového malvéru Anatsa, známeho aj ako TeaBot. Z Google Play si ju pritom stiahlo viac než 10-tisíc ľudí, čo síce neznamená, že všetky tieto zariadenia boli skutočne infikované, no je veľká pravdepodobnosť, že nejaká časť z nich áno.
Aplikácia najskôr fungovala úplne normálne
Útočníci zvolili pomerne premyslený postup. Aplikácia najprv fungovala ako obyčajná čítačka dokumentov, takže používateľ nemal dôvod spozornieť. Až neskôr dokázala zo vzdialeného servera stiahnuť ďalšiu časť škodlivého kódu. Podobné útoky sa často maskujú ako aktualizácia či dokončenie nastavenia aplikácie. Podvodníci sa tým snažia obísť bezpečnostné kontroly Googlu. Anatsa pritom nie je nový vírus. Ide o bankového trójskeho koňa, ktorého bezpečnostní experti sledujú už niekoľko rokov. Dokáže rozpoznať otvorenie bankovej aplikácie a pokúsiť sa získať prihlasovacie údaje. Využíva pritom falošné prihlasovacie obrazovky, zaznamenávanie stlačení klávesov aj zneužívanie oprávnení Androidu.
Obzvlášť nebezpečný je prístup k funkciám zjednodušenia ovládania. Tie sú určené napríklad používateľom so zdravotným znevýhodnením, po ich zneužití však škodlivá aplikácia môže sledovať dianie na obrazovke a vykonávať úkony v mene majiteľa telefónu. Útočníci tak môžu získať kontrolu aj nad operáciami v mobilnom bankovníctve.
Podobný útok už zasiahol desaťtisíce zariadení
Nejde o prvý prípad, keď sa Anatsa dostala do oficiálneho obchodu. Už minulý rok sme informovali o podobnej kampani, ktorá zasiahla približne 90-tisíc zariadení. Aj vtedy sa škodlivý program ukrýval za nenápadnou aplikáciou na prehliadanie dokumentov. Podľa analýzy Zscaleru dokázali verzie tohto malvéru cieliť na viac než 830 finančných inštitúcií po celom svete.
Google podvodnú aplikáciu medzičasom z obchodu odstránil, čo však bohužiaľ neznamená, že automaticky zmizla aj z telefónov ľudí, ktorí si ju stihli nainštalovať. Program vystupoval pod názvom PDF Reader od vývojára Duka Zuri. Presnejšie ho identifikuje názov balíka com.railforge.footplate.documentreader_pdfviewer.
Ak máte podozrenie, v nastaveniach Androidu skontrolujte nainštalované aplikácie a odstráňte konkrétny škodlivý program. Následne otvorte Google Play, klepnite na svoj profil a v časti Play Protect spustite bezpečnostnú kontrolu. Google potvrdzuje, že táto služba dokáže škodlivé aplikácie rozpoznať, upozorniť na ne a v niektorých prípadoch ich aj odstrániť. Ak ste aplikáciu používali a existuje podozrenie, že do telefónu stiahla malvér, samotné odinštalovanie nemusí stačiť. Kontaktujte banku, skontrolujte pohyby na účte a z bezpečného zariadenia zmeňte prihlasovacie údaje.
