01.08.2014 | 11:57

Adam Haertle

Użytkownicy Androida, uwaga na wiadomości „od Kaspersky Lab”

Do fali złośliwego oprogramowania atakującego przez skrzynki email komputery Polaków dołączyła dzisiaj rano nowa kampania, tym razem skierowana na użytkowników telefonów z systemem Android i zagrażająca bezpieczeństwu kont bankowych.

Od wczorajszego wieczora rozsyłane są wiadomości udające komunikację od firmy antywirusowej Kaspersky, zachęcające użytkowników do zainstalowania załączonej złośliwej aplikacji. Aplikacja ta potrafi między innymi kraść wiadomości SMS, w których przychodzą kody autoryzujące z banku.

Szczegóły kampanii

Wiadomość pod tytułem „Uwaga! Wykryto szkodliwe oprogramowanie w Twoim telefonie !” wygląda następująco:

Wiadomość od oszustów (źródło: Kaspersky)

Wiadomość od oszustów (źródło: Kaspersky)

Jej treść to:

W dniu 31.07 Twój bank zlecił firmie Kaspersky przeskanowanie telefonów klientów banku pod kątem wykrycia złośliwego oprogramowania.
W skutek skanowania firma Kaspersky wykryła infekcję na Twoim telefonie z systemem Android
Wykryty wirus jest przeznaczony do okradania kont firmowych zdolny min. do wykradania kodów SMS, służących do autoryzacji przelewów.
Oznacza to że cyberprzestepcy mogą zatwierdzić dowolny przelew z Twojego konta bankowego!
Aby zapobiec kradzieży gotówki z Twojego konta prosimy o bezzwłoczną instalację programu Antywirusowego Kaspersky Mobile Security w urządzeniu mobilnym.
Darmowa wersja programu dla klientów banku została dodana w załączniku wiadomości.
KASPERSKY LAB POLSKA
Trawiasta 35
04-607 Warszawa
NIP:5732447128
REGON:151917632
+48 343 681 814

a do wiadomości załączony jest plik Kaspersky_Mobile_Security.apk. Sama kampania wydaje się mieć mniejszy zasięg niż wcześniejsze, masowe ataki z wykorzystaniem wizerunku operatorów usług telekomunikacyjnych lub pocztowych.

Złośliwa aplikacja

Plik APK zawiera złośliwą aplikację, która prosi o wiele uprawnień, z których najistotniejsze z punktu widzenia bezpieczeństwa użytkownika wydaje się możliwość odczytywania i wysyłania wiadomości SMS. Oznacza ona, że aplikacja ta może odbierać w imieniu użytkownika jego kody autoryzujące przesyłane przez bank i przekazywać je swoim twórcom. Inne uprawnienia aplikacji to dostęp do mikrofonu, kamery, internetu, lokalizacji urządzenia czy listy połączeń lub kontaktów. Jest to prawdopodobnie oprogramowanie typu RAT, czyli Remote Access Trojan. Wykorzystywane nazwy zmiennych (np. com.zero1.sandrorat.GPSLocation) wskazują, że może to być Sandrorat.

Aplikacja po zainstalowaniu łączy się z serwerem pod adresem winrar.nstrefa.pl do którego próbuje przesłać swoje zgłoszenie. Obecnie próba ta kończy się niepowodzeniem, ponieważ operator strony szybko zareagował i zablokował do niej dostęp. Pełen raport z analizy aktywności złośliwej aplikacji znajdziecie pod tym linkiem lub także tutaj.

PS. Osoby dysponujące pełnymi nagłówkami otrzymanej wiadomości prosimy o kontakt z redakcją.

Powrót

Komentarze

  • 2014.08.01 12:14 Rufus

    Zawsze dziwiło mnie, że ludzie łapią się na takie socjotechniki jak „Twój bank” (użytkowniku, przypomnij sobie w którym banku masz konto i wypełnij lukę w tekście) oraz nie widzą żenujących błędów ortograficznych lub interpunkcyjnych.

    Nie wspominając już o tym, że ludzie wierzą w magię (zdalnie przeskanowali mój telefon i wykryli wirusa, ale zdalnie usunąć go już nie mogą lub nie chcą ;)) zamiast pomyśleć „jak by to miało niby działać?”.

    Brak krytycznego myślenia mas jest wspaniałą pożywką dla oszustów wszelkiej maści.

    Odpowiedz
  • 2014.08.01 13:30 Marcin

    Haha dobre. Pomijając brak logiki, który naświetlił kolega powyżej, to jednak uważam, że troche osób sie nabierze.
    Wygląda na to, że ktoś zainwestował pieniądze i zakupił troche malwaru (Sandorat z tego art, Tinba i Papras z trwających „fakturowych” kampanii).

    Odpowiedz
  • 2014.08.01 14:28 Piotr

    „oprogramowanie typu RAT, czyli Remote Access Trojan”
    Jcucycyvivypssucvjuysydvi

    Odpowiedz
  • 2014.08.01 16:22 gimbus

    Najlepsze jest to, że tekst wiadomości nie wygląda na przetłumaczony. Został prawdopodobnie napisany przez słabo ogarniającego ortografię i interpunkcję Polaka.

    Brawo.

    Odpowiedz
  • 2014.08.01 18:12 Stefan

    od 10 lat mam nokie 6310i i nie straszne mi żadne trojany :)

    Odpowiedz
  • 2014.08.01 20:48 yy

    @stefan
    gratulacje, moze jeszcze zaproponuj ognisko zamiast kaloryfera?

    Odpowiedz
  • 2014.08.02 23:52 stefek

    Błędy jezykowe nie budzą podejrzeń – w pismach z uczelni, urzędów, sądów zawsze znajduję co najmniej interpunkcyjne. W bankowych (autentycznych) regulaminach również.

    Odpowiedz

Zostaw odpowiedź do gimbus

Jeśli chcesz zwrócić uwagę na literówkę lub inny błąd techniczny, zapraszamy do formularza kontaktowego. Reagujemy równie szybko.

Użytkownicy Androida, uwaga na wiadomości „od Kaspersky Lab”

Komentarze