Троянец BankBot снова в Google Play
Компания ESET сообщила о новой волне распространения мобильного банковского троянца BankBot в Google Play. На протяжении нынешнего года специалисты компании находили в Google Play несколько вредоносных приложений, замаскированных под легитимные. В октябре и ноябре в ESET обнаружили новые способы распространения мобильного банкера BankBot. Злоумышленники разместили в Google Play приложения, предназначенные для скрытой загрузки троянца на устройства пользователей.
На первом этапе кампании в Google Play появились приложения-фонарики Tornado FlashLight, Lamp For DarkNess и Sea FlashLight с вредоносными функциями. На втором этапе – приложения для игры в пасьянс и софт для очистки памяти устройства.
После первого запуска загрузчик сверяет установленные на устройстве программы с закодированным списком из 160 банковских мобильных приложений. Обнаружив одно или несколько совпадений, он запрашивает права администратора устройства. Через два часа после активации прав стартует загрузка мобильного троянца BankBot – его установочный пакет замаскирован под обновление Google Play.
Все обнаруженные загрузчики скачивают одну и ту же версию BankBot с hxxp://138.201.166.31/kjsdf.tmp. Загрузка возможна только в том случае, если на устройстве пользователя разрешена установка приложений из неизвестных источников. Если эта опция не включена, на экране появится сообщение об ошибке и атака не сможет быть продолжена.
После установки BankBot действует типичным образом: когда пользователь открывает целевое банковское приложение, троянец подгружает поддельную форму ввода логина и пароля. Введенные данные будут отправлены злоумышленникам и использованы для несанкционированного доступа к банковскому счету жертвы.
Для профилактики заражения в ESET рекомендуют:
- загружать ПО только из Google Play, поскольку большинство вредоносных программ распространяется через сторонние площадки;
- проверять отзывы пользователей и рейтинг приложения – вредоносные программы размещаются в магазине недолго и не успевают набрать много скачиваний;
- отключить возможность установки приложений из неизвестных источников;
- обращать внимание на запросы прав администратора устройства или активации службы специальных возможностей;
- использовать надежное антивирусное ПО.
Исследование вредоносной кампании выполнили совместно специалисты ESET, Avast и SfyLabs.