Банкер DEFENSOR ID маскировался под защитное приложение

Рекомендуем почитать:

Xakep #252. Чемоданчик хакера

• Содержание выпуска
• Подписка на «Хакер»-35%

Эксперты компании ESET обнаружили в официальном магазине Google Play банковский троян. Малварь размещалась в разделе «Образование» и называлась DEFENSOR ID.

Описание банкера гласило, что его задача — повысить безопасность пользователя при помощи использования сквозного шифрования. Разумеется, на самом деле приложение не повышало безопасность. Так, для работы DEFENSOR ID запрашивало несколько критически значимых разрешений, среди которых изменение системных настроек, а также доступ к ­Accessibility Service (Служба специальных возможностей).

Исследователи отмечают, что приложение попало в официальный магазин Google Play благодаря исключительной скрытности. Его операторы сократили вредоносную активность до минимума, удалив все потенциально подозрительные функции, кроме одной: злоупотребление Accessibility Service. За счет этого приложение продержалось в Google Play несколько месяцев: DEFENSOR ID было добавлено в каталог 3 февраля 2020 года и в начале мая 2020 года обновилось до версии 1.4.

Служба специальных возможностей – это известная «ахиллесова пята» Android. Хотя основная задача Accessibility Service, это облегчения использования приложений для людей с ограниченными возможностями, злоумышленники уже много лет используют возможности службы в своих целях, для взаимодействия с интерфейсом системы и приложениями.

Получив необходимые привилегии, приложение получало возможность читать любой текст, отображаемый в любом другом приложении и отправлять его злоумышленникам, например, SMS-сообщения, учетные данные для входа в аккаунты, коды двухфакторной аутентификации и так далее. Таким образом, вредонос был способен получить доступ к аккаунтам онлайн-банков, социальных сетей и электронной почте жертвы.

Имя разработчика малвари, GAS Brazil, предполагает, что преступники нацеливалась на бразильских пользователей (хотя существует не только португальская, но и английская версия приложения). Судя по всему, название также намекало на известное антифрод-решение под названием GAS Tecnologia. Это ПО обычно устанавливается на компьютеры в Бразилии, и несколько банков страны требуют, чтобы доступ к онлайн-банкингу осуществлялся именно через GAS Tecnologia.

Вместе с DEFENSOR ID эксперты нашли и еще одно вредоносное приложение под названием Defensor Digital: оба вредоноса пользовались одним и тем же управляющим сервером. В настоящее время обе программы уже удалены из Google Play.

Источник