Šta se desilo?

ThreatFabric je opisao Android bankarski trojanac Hirudo, koji kombinuje krađu pristupnih podataka i daljinsku kontrolu telefona. Preko lažnog ažuriranja u aplikaciji za kupovinu ili zabavu instalira se zaseban zlonamerni paket.

Koga pogađa?

Namenske izmenjene kopije pronađene su za osam bankovnih aplikacija u Indoneziji, koje pripadaju sedam banaka. Kod sadrži širi spisak finansijskih meta, ali taj spisak nije dokaz uspešnih napada na svaku navedenu instituciju. Ukupan broj žrtava nije utvrđen.

Kako se zaštititi?

  • Instalirajte bankarsku aplikaciju preko izvora koji potvrđuje sama banka.
  • Odbijte neočekivani zahtev druge aplikacije da ukloni ili zameni vašu bankarsku aplikaciju.
  • Ne odobravajte Accessibility pristup nepoznatim aplikacijama.
  • Ažurirajte Android i aplikacije i proverite stanje Play Protect zaštite.
  • Ako sumnjate na infekciju, prekinite bankarske aktivnosti na tom telefonu.
  • Sa pouzdanog uređaja kontaktirajte banku, proverite transakcije i obezbedite naloge.

Tehnički detalji

Zamenska aplikacija koristi javni Android test ključ, pa ne može biti obična nadogradnja preko originala potpisanog ključem banke. Hirudo zato pokreće uklanjanje originala i zloupotrebljava Accessibility tokom instalacije. Korisnik može da prekine ove korake. Izmenjeni kod pokušava da omete provere integriteta i druga zaštitna ograničenja unutar aplikacije.

Zašto je važno?

Poznat izgled aplikacije nije dokaz njenog porekla. Dodatna autentifikacija ne uklanja rizik ako napadač kontroliše telefon na kome se potvrđuje pristup.

Preporuka Sajber Radara

Kod sumnje na zamenu aplikacije proverite ceo uređaj, ne samo ikonicu banke. Vratite autentičnu aplikaciju tek posle sanacije i koordinacije sa bankom; sačuvajte podatke o sumnjivim transakcijama.