FlixOnline Malware
En falsk applikation, der lovede gratis Netflix, blev fanget og leverede en malware-trussel ved navn FlixOnline. De våbenapplikationer havde formået at glide af Googles sikkerhedsforanstaltninger, og de var i to måneder tilgængelige for download fra den officielle Play-butik. I løbet af den tid blev over 500 brugere inficeret med FlixOnline-malware-truslen, fandt forskere. Målet er at dirigere brugerne mod et specielt udformet falsk Netflix-websted, der skraber hvert stykke information, der indføres i det. Hackerne var primært efter offerets loginoplysninger og kredit- / betalingskortoplysninger.
Applikationen lokker brugerne ind med løfter om gratis Netflix - '2 måneder med Netflix Premium gratis overalt i verden i 60 dage.' Når den blev installeret, startede den skadelige nyttelast dog en ret ny teknik, der gjorde det muligt at kapre forbindelsen til brugerens WhatsApp-klient. I praksis aflyttede FlixOnline alle indgående underretninger ved at anmode om en tilladelse til notifikationslytter. Dette giver truslen adgang til alle meddelelser om modtagne meddelelser og foretager udpegede handlinger som 'afvis' eller 'svar' automatisk. Malwaren udnyttede fuldt ud denne tilladelse.
Selvforplantning ved kapring af WhatsApp-underretninger
FlixOnline vil anvende en funktion kaldet OnNotificationPosted for at kontrollere pakkenavnet på applikationen, der opretter en given meddelelse. Hvis applikationen er WhatsApp, vil malware annullere underretningen for at skjule den for brugeren og derefter fortsætte med at læse dens titel og indhold. Det sidste trin er at sende et automatisk svar ved hjælp af en nyttelast modtaget fra Command-and-Control-serveren. I de fleste tilfælde blev de udgående WhatsApp-svar oprettet på denne måde brugt til at sprede FlixOnline-malware yderligere. En observeret automatiseret besked oprettet af truslen er:
'2 måneder med Netflix Premium Gratis uden omkostninger FOR BEGRUNDELSE AF KARANTÆNE (CORONA VIRUS) * Få 2 måneder af Netflix Premium gratis hvor som helst i verden i 60 dage. Hent det nu HER [LINK]. '
Ud over Notification Listener beder malware-truslen også om overlay og batterioptimering Ignorer tilladelser. Et overlay udnyttes ofte af dataindsamling af malware-trusler til at generere nye vinduer, såsom falske login-skærme, oven på de legitime applikationer, der er startet af brugeren med det formål at indsamle kontooplysninger og andre følsomme detaljer. Tilladelsen Batterioptimering Ignorer, som navnet antyder, sikrer, at FlixOnline-malware forbliver operationel, selv når den inficerede Android-enhed går i inaktiv tilstand.
Efter at have fået besked om den falske FlixOnline-applikation tog Google det straks ned fra Play Butik.