Életstílus

2017.09.28. 14:48

Óvatosan telepítse a Jewels Star játékot! - Bankkártya adatokra vadászik a Google Playben felbukkant vírus

A kártevő a játékalkalmazásokba épült be. Az ESET szakembereinek elemzéséből kiderül, hogyan működik a kártevő, miként távolítható el és miként védekezhetünk a hasonló támadások ellen.

A BankBot elnevezésű trójai program folyamatosan fejlődött az év eleje óta, és jelent meg különböző verziókban a Google Play áruházban és azon kívül is. Az ESET által felfedezett változat, amely szeptember 4-én tűnt fel a mobilos alkalmazástérben, elsőként ötvözi a kártevő fejlődése során elért összes funkciót: javított kód elrejtés, kifinomult kódbejuttatási funkció és az Android hozzáférhetőségi szolgáltatását kihasználó ravasz fertőző mechanizmus - írta meg a computerworld.hu.


A vírus egy Jewels Star Classic elnevezésű játékba elrejtve került fel az áruházba.

 


A támadók ezúttal a népszerű Jewels Star játék nevét használták, amely eredetileg az ITREEGAMER fejlesztése, és semmilyen formában nem kötődik a támadáshoz - hívják fel a figyelmet. A tapasztalatok szerint sajnos évek óta gyakori forgatókönyv, hogy a népszerű mobiljátékok nevével visszaélve, azok hasonmásaiba, klónjaiba rejtenek el kártékony kódokat.


Az ESET szakemberei haladéktalanul jelezték a vírus felbukkanását a Google biztonsági csoportjának, ám kártékony appot az eltávolítás előtt már sajnos közel 5000 felhasználó töltötte le és telepítette.


Hogyan működik?

Miután a gyanútlan felhasználó letöltötte a GameDevTony által fejlesztett Jewels Star Classic játékot, egy működő androidos játékot kap ugyan, de a program emellett trójai funkciókkal is rendelkezik: az alkalmazásban rejtőzködő banki kártevő és a rosszindulatú szolgáltatások az előre beállított késleltetést követően várják az indítást.


A rosszindulatú folyamatok 20 perccel a játék első indítás után veszik kezdetüket. A fertőzött eszköz képernyőjén egy figyelmeztetés jelenik meg, és arra kéri a felhasználót, hogy engedélyezzen egy "Google szolgáltatást", amelynek tartalma mindig a felhasználó aktuális tevékenységétől függ, és nincs kapcsolatban a játékkal. Miután a felhasználó rányom az 'OK' gombra, amely a figyelmeztetés eltüntetésének egyetlen módja, a program az Android Hozzáférések menübe navigálja, ahol a szolgáltatások és a hozzáférések kezelhetők. A hivatalos szolgáltatások között megjelenik egy új pont, amelyet a kártevő hozott létre. Rákattintva a Google felhasználói feltételei jelennek meg.


Ha a felhasználó aktiválja a szolgáltatást, megjelennek a kért engedélykérések: a felhasználó tevékenységének megfigyelése, az ablakok tartalmának lekérdezése, a böngészés bekapcsolása érintéssel, továbbfejlesztett webes lehetőségek bekapcsolása és a mozgások végrehajtása. Ezek jóhiszemű jóváhagyása viszont sajnos elérést biztosít a kártevő saját hozzáférési szolgáltatásához, és szinte minden feladat végrehajtását lehetővé teszi számára, amelyre innentől a vírusnak csak szüksége lehet.


A jóváhagyás után, miközben a felhasználó a frissítés betöltésére vár, a kártevő az alábbi folyamatokat hajtja végre:

  • Engedélyezi az ismeretlen forrásból származó alkalmazások letöltését,
  • telepíti és elindítja a BankBot kártevőt,
  • a kártevő eszközadminisztrátorrá teszi a BankBot programot,
  • alapértelmezett SMS küldő alkalmazásnak állítja be a BankBot vírust
  • engedélyt ad más alkalmazásoknak is.
  • Ezek után a vírus következő feladatán, a bankkártyaadatok ellopásán dolgozik. Amikor a felhasználó elindítja a Google Play alkalmazást, a BankBot közbelép, és felülírja a hivatalos programot egy hamis űrlappal, amelyben a bankkártyaadatokat kéri. Ha ezeket a felhasználó beírja, akkor a program el is érte célját. A BankBot az SMS kommunikáció során is közbelép, megkerülve így az eredetileg a biztonságunkat szolgáló kétfaktoros azonosítást.


    Hogyan távolítsuk el a kártevőt?

    A Jewels Star Classic játék utáni kutatás önmagában nem elég, a támadók gyakran változtatják a terjesztéshez használt alkalmazást. Ahhoz, hogy megtudjuk fertőzött-e az eszközünk, az alábbi jeleket keressük:


    Google Update elnevezésű alkalmazás (Beállítások-> Alkalmazások->Google Update)

    Aktív készülékadminisztrátor "System Update" (rendszerfrissítés) néven (Beállítások->Biztonság-> Készülékadminisztrátorok)

    A "Google Service" figyelmeztetés többszöri megjelenése.


    A készülék manuális megtisztításához le kell tiltani a "System Update" adminisztrátori jogosultságát, majd törölni kell a "Google Update" és a fertőzött alkalmazást is.

    Ezek is érdekelhetik