שיבוטים זדוניים מזויפים של אפליקציות אנדרואיד גונבים כניסות לבנק
יממה בלבד לאחר דיווחים נפרדים על אפליקציות אנדרואיד מזויפות שריגולות אחר קורבנות והפצת תוכנות זדוניות, חוקרי אבטחה מזהירים מפני אפליקציות אנדרואיד זדוניות אחרות המשמשות את מחבריהן כדי לגנוב מידע בנקאי של קורבנותיהן.
אפליקציות זדוניות מזייפות שירותים אמיתיים
העדכון מגיע מחברת האבטחה ESET ומפרט שלוש אפליקציות אנדרואיד שונות המשמשות לגניבת כניסות בנקאיות ומידע מקורבנות. כל האפליקציות הניידות הזדוניות מכוונות לשוק המלזי ובנויות לחקות יישומים לגיטימיים המשמשים במדינה האסייתית.
האפליקציות מכוונות ללקוחות של למעלה מחצי תריסר מוסדות בנקאיים במלזיה. אפליקציות האנדרואיד הזדוניות מחקות אפליקציות סלולריות לגיטימיות שהן פופולריות ונפוצות בארץ.
רשימת האפליקציות שחיקו את התוכנה הזדונית כוללת את Maid4u - מותג המציע שירותי ניקיון בתים, כמו גם אפליקציות אנדרואיד לגיטימיות אחרות המשמשות הן שירותי ניקיון והן שירותי קניות מקוונים. המותגים האחרים שזויפו על ידי התוכנה הזדונית הם Maideasy, Grabmaid ו- MaidACall. ההרכב מעוגל על ידי אפליקציית חנות לחיות מחמד בשם PetsMore. מה שמעניין בקמפיין הזיוף של אפליקציות זדוניות הוא שלחלק מהאפליקציות אין אפילו מקבילה לגיטימית בחנות Google Play.
לחלק מהאפליקציות המזויפות יש אתרי אינטרנט שהוקמו על ידי מפעילי תוכנות זדוניות כדי לשמש ככיסוי ולהעניק אווירה של לגיטימציה לאפליקציות הזדוניות. לאתרים, כמובן, אין פונקציונליות רכישה אמיתית. במקום זאת, הם מקשרים את המבקרים לאפליקציות הזדוניות.
אם המשתמש מסכים להתקין את האפליקציה למרות שהיא לא מקורה בחנות Google Play ובכך מסומנת כ"אפליקציה לא ידועה", מוצגות לו שתי אפשרויות לקנות את המוצרים והשירותים המזויפים בתוך האפליקציה. אפשרות אחת היא להשתמש בכרטיס אשראי, אבל זה מושבת כברירת מחדל באפליקציות הזדוניות. האפשרות השנייה היא העברה בנקאית ישירה.
האקרים מיירטים הודעות טקסט של MFA
ברגע שהקורבן בוחר את התשלום בהעברה בנקאית, מוצע לו ממשק המציע אפשרויות תשלום עבור מספר בנקים במלזיה. עם הזנת אישורי חשבון הבנק שלו להשלמת הרכישה המזויפת, המידע של הקורבן מועבר לשרתים הנשלטים על ידי האקרים והמשתמש מתקבל בהודעת שגיאה - האפשרות היחידה שכן אין מוצר אמיתי המשויך לאפליקציות הזדוניות.
כדי לוודא שהם יכולים לפרוץ בהצלחה את חשבון הבנק של הקורבן, מפעילי התוכנות הזדוניות גם מיירטות ומעבירות הודעות טקסט שהתקבלו בטלפון של הקורבן, מה שמאפשר להם ללכוד ולהשתמש בקוד האימות הרב-גורמי שהקורבן עשוי לקבל באמצעות SMS מהבנק שלהם.