CallPhantom Android prijevara

Kampanja CallPhantom otkrila je kako kibernetički kriminalci mogu iskoristiti javnu znatiželju i dezinformacije kako bi ostvarili ogroman profit putem lažnih Android aplikacija. Distribuirana putem službene trgovine Google Play, ova skupina od 28 zlonamjernih aplikacija lažno je tvrdila da preuzima zapise poziva, SMS zapise i aktivnosti WhatsAppa povezane s bilo kojim telefonskim brojem. Prije nego što je Google uklonio aplikacije, kampanja je već prikupila više od 7,3 milijuna preuzimanja.

Nemoguće tvrdnje prikrivene kao legitimne usluge

Svaka aplikacija u klasteru CallPhantom promovirala je istu obmanjujuću funkcionalnost. Korisnicima je upućeno da unesu telefonski broj, nakon čega su aplikacije navodno generirale potpunu komunikacijsku povijest, uključujući zapise poziva, tekstualne poruke i WhatsApp razgovore.

S tehničke perspektive, ove su tvrdnje bile potpuno nemoguće. Androidova sigurnosna i dopusna arhitektura sprječava aplikacije da pristupaju privatnim komunikacijskim podacima drugog korisnika. Umjesto dohvaćanja stvarnih informacija, aplikacije su prikazivale izmišljene rezultate generirane iz fiksno kodiranih telefonskih brojeva, unaprijed definiranih imena i nasumično dodijeljenih vremenskih oznaka ugrađenih izravno u kod aplikacije.

Istraživači su identificirali dva primarna operativna modela korištena tijekom kampanje:

• Jedna skupina aplikacija odmah je prikazivala ograničene lažne rezultate, a zatim je tražila plaćanje za otključavanje navodne 'potpune povijesti'.
• Druga skupina prikupljala je adrese e-pošte korisnika, obećavala dostavljanje detaljnih zapisa putem e-pošte i zahtijevala plaćanje prije nego što su rezultati navodno poslani.

U oba slučaja, žrtve su platile za podatke koji nikada nisu postojali.

Manipulativni sustavi plaćanja osmišljeni kako bi se izbjegao povrat novca

Operateri koji stoje iza CallPhantoma koristili su nekoliko mehanizama plaćanja kako bi maksimizirali prihod, a istovremeno smanjili vjerojatnost uspješnih povrata novca. Neke su transakcije obrađene putem službene infrastrukture za naplatu Google Playa, što je korisnicima omogućilo ograničene mogućnosti osporavanja naplate. Međutim, mnoge su aplikacije u potpunosti zaobišle naplatu Google Playa preusmjeravajući žrtve na UPI aplikacije za plaćanje trećih strana ili ugrađene obrasce za plaćanje karticama.

Ove su taktike kršile Googleove politike i značajno komplicirale proces povrata novca za pogođene korisnike. Određene varijante povećale su operativnu fleksibilnost dinamičkim preuzimanjem URL-ova za plaćanje s Firebase poslužitelja. To je omogućilo napadačima da po volji rotiraju račune za plaćanje i znatno otežalo automatsko otkrivanje sigurnosnim sustavima.

Jedna posebno prijevarna varijanta uključivala je psihološku manipulaciju u svoj dizajn. Ako bi korisnik pokušao zatvoriti aplikaciju bez dovršetka plaćanja, pojavljivala bi se lažna upozorenja u stilu obavijesti u kojima se tvrdilo da su traženi rezultati povijesti poziva upravo stigli u pristiglu poštu. Jedina svrha tih upozorenja bila je izvršiti pritisak na korisnike da se vrate i dovrše plaćanje.

Regionalno ciljanje i financijski rizici

Kampanja je prvenstveno ciljala korisnike u Indiji i diljem azijsko-pacifičke regije. Mnoge su aplikacije automatski odabirale indijski pozivni broj +91 kako bi pojačale iluziju legitimnosti za lokalne korisnike. Planovi pretplate kretali su se od otprilike 5 € do 80 USD i prodavali su se putem tjednih, mjesečnih i godišnjih opcija plaćanja.

Osim neposrednog financijskog gubitka, žrtve koje su unijele podatke o platnoj kartici putem neslužbenih obrazaca za naplatu u aplikaciji mogu se suočiti s dodatnim rizicima, uključujući neovlaštene naplate ili zlouporabu podataka o plaćanju.

Kako je CallPhantom iskorištavao povjerenje bez opasnih dozvola

Jedan od najznačajnijih aspekata operacije CallPhantom bila je njegova sposobnost nanošenja značajne financijske štete bez traženja osjetljivih Android dozvola. Cijela prijevara ovisila je o društvenom inženjeringu, a ne o tehničkoj eksploataciji. Korisnici su bili uvjereni da povjeruju u nemoguće tvrdnje, plaćaju za izmišljene informacije i nesvjesno predaju novac putem slabo zaštićenih kanala plaćanja.

Iako su kampanje poput CallPhantoma relativno rijetke, većina kibernetičkih kriminalnih operacija uvelike se oslanja na strah, hitnost ili obmanu kako bi manipulirali korisnicima da preuzmu softver, obave kupnju ili otkriju osjetljive informacije.

Znakovi upozorenja i zaštitne mjere

Sve identificirane CallPhantom aplikacije distribuirane su putem službene Google Play trgovine koristeći zavaravajuća imena, izmišljene opise i umjetno napuhane ocjene kako bi izgledale pouzdano. Iako je Google uklonio aplikacije, uređaji na kojima su instalirane prije uklanjanja i dalje mogu sadržavati softver.

Sljedeće sigurnosne prakse mogu pomoći u smanjenju izloženosti sličnim prijevarama:

• Redovito pregledavajte instalirane aplikacije i uklonite sav softver povezan sa sumnjivim tvrdnjama ili nepoznatim programerima.
• Preuzimajte aplikacije samo iz pouzdanih izvora poput Trgovine Google Play ili provjerenih web-mjesta programera, a kritički procjenjujte recenzije koje se čine pretjerano nejasnima ili jednoglasno pozitivnima.
• Prema zadanim postavkama, svaku aplikaciju koja tvrdi da pristupa privatnoj komunikaciji druge osobe, povijesti lokacija ili zapisima poziva tretirajte kao lažnu.
• Održavajte ažurirane mobilne operativne sustave i koristite renomirana rješenja za mobilnu sigurnost kako biste poboljšali zaštitu od novih prijetnji.

Jasan podsjetnik o mobilnim prijevarama

Kampanja CallPhantom služi kao snažan podsjetnik da se lažne aplikacije ne oslanjaju uvijek na zlonamjerni softver ili napredne exploite za uspjeh. U mnogim slučajevima, sama psihološka manipulacija dovoljna je za generiranje milijuna preuzimanja i značajnih financijskih gubitaka. Svaka aplikacija koja obećava neovlašteni pristup privatnim podacima druge osobe treba odmah smatrati nelegitimnom i potencijalno opasnom.