MFA Android-app blev trukket ned efter inficering af 10K-enheder med malware
En multifaktorgodkendelsesapp, der indeholder en Android-banktrojaner, er for nylig blevet fjernet fra Google Play Android-butikken. Ifølge sikkerhedsforskere er appen dog blevet downloadet omkring 10 tusinde gange før nedtagningen.
Applikationen gjorde, hvad den sagde på dåsen - den indeholdt MFA-funktionalitet, som ville passe til dens simple navn - "2FA Authenticator". Den indeholdt dog også Vultur banking Trojan - en Android-tyver, der kan fange banklogin på ofrenes telefoner.
Vultur Malware skjult i funktionel MFA-app
Problemet med appen blev dækket af et forskerhold med sikkerhedsfirmaet Pradeo. Ifølge deres rapport gik hackerne, der distribuerede Vultur gennem appen, gennem bestræbelserne på at skabe en fungerende, legitimt udseende MFA-app, bare så de har et overbevisende redskab til at distribuere infostealer-trojaneren.
Ifølge Pradeo var grunden til, at appen overhovedet formåede at gøre det på Google Play Butik og overleve i to uger, brugen af open source-godkendelseskode tilhørende Aegis Authenticator-projektet. Det faktum, at appen havde et fungerende MFA-modul inde i den, hjalp med at skjule den godt og hjælpe den med at forblive ubemærket i et stykke tid.
Vultur var speciel, fordi den var den første RAT, der bevægede sig væk fra den sædvanlige HTML-overlejring, der bruges i lignende stjælere, og blot registrerede, hvad der sker på enhedens skærm. Vultur-malwaren blev først opdaget i begyndelsen af 2021.
Vultur-Laden-appen beder om yderligere privilegier
Ud over at indeholde banktrojaneren bad den nu fjernede ondsindede MFA-app også om privilegier, der langt oversteg, hvad der blev afsløret på butikssiden. Når først de er givet, vil disse tilladelser give de dårlige aktører bag malwaren mulighed for at spore ofrets GPS-placering, downloade andre apps og endda tage kontrol over hele enheden.
Alle 10.000 brugere, der har downloadet den ondsindede app, rådes til at slippe af med den så hurtigt som muligt for at minimere risikoen for data og legitimations-tyveri.