CallPhantom Android átverés

A CallPhantom kampány leleplezte, hogyan tudják a kiberbűnözők kihasználni a közvélemény kíváncsiságát és a félretájékoztatást, hogy hatalmas profitra tegyenek szert csalárd Android-alkalmazásokon keresztül. A hivatalos Google Play Áruházon keresztül terjesztett 28 rosszindulatú alkalmazásból álló csoport hamisan azt állította, hogy hívásnaplókat, SMS-adatokat és WhatsApp-tevékenységeket kér le bármely telefonszámhoz kapcsolódóan. Mielőtt a Google eltávolította az alkalmazásokat, a kampány már több mint 7,3 millió letöltést gyűjtött össze.

Lehetetlen követelések, amelyeket legitim szolgáltatásoknak álcáznak

A CallPhantom klaszterben található összes alkalmazás ugyanazt a megtévesztő funkciót népszerűsítette. A felhasználókat arra kérték, hogy adjanak meg egy telefonszámot, ami után az alkalmazások állítólag teljes kommunikációs előzményeket generáltak, beleértve a híváslistákat, a szöveges üzeneteket és a WhatsApp-beszélgetéseket.

Technikai szempontból ezek az állítások teljesen lehetetlenek voltak. Az Android biztonsági és engedélyezési architektúrája megakadályozza, hogy az alkalmazások hozzáférjenek más felhasználók privát kommunikációs adataihoz. A valós információk lekérése helyett az alkalmazások kitalált eredményeket jelenítettek meg, amelyek fixen kódolt telefonszámokból, előre definiált nevekből és véletlenszerűen hozzárendelt időbélyegekből származtak, közvetlenül az alkalmazáskódba ágyazva.

A kutatók két fő működési modellt azonosítottak, amelyeket a kampány során alkalmaztak:

• Az alkalmazások egy csoportja azonnal korlátozott mennyiségű hamis találatot jelenített meg, majd fizetést követelt az állítólagos „teljes előzmények” feloldásáért.
• Egy másik csoport begyűjtötte a felhasználók e-mail címeit, megígérte, hogy e-mailben küldi el a részletes adatokat, és fizetést követelt, mielőtt bármilyen eredményt állítólag elküldtek volna.

Mindkét esetben az áldozatok olyan adatokért fizettek, amelyek soha nem léteztek.

Manipulatív fizetési rendszerek, amelyeket a visszatérítések elkerülésére terveztek

A CallPhantom mögött álló üzemeltetők számos fizetési mechanizmust alkalmaztak a bevétel maximalizálása, miközben csökkentették a sikeres visszatérítések valószínűségét. Egyes tranzakciókat a hivatalos Google Play számlázási infrastruktúráján keresztül dolgoztak fel, így a felhasználóknak korlátozott lehetőségük volt a terhelések vitatására. Számos alkalmazás azonban teljes mértékben megkerülte a Google Play számlázását azáltal, hogy az áldozatokat harmadik féltől származó UPI fizetési alkalmazásokhoz vagy beágyazott kártyás fizetési űrlapokhoz irányította át.

Ezek a taktikák megsértették a Google irányelveit, és jelentősen bonyolították a visszatérítési folyamatot az érintett felhasználók számára. Bizonyos variánsok növelték a működési rugalmasságot azáltal, hogy dinamikusan lekérték a fizetési URL-eket a Firebase szerverekről. Ez lehetővé tette a támadók számára, hogy tetszés szerint váltogassák a fizetési számlákat, és sokkal megnehezítette a biztonsági rendszerek általi automatikus észlelést.

Az egyik különösen megtévesztő változat pszichológiai manipulációt épített be a tervezésébe. Ha egy felhasználó megpróbálta bezárni az alkalmazást a fizetés befejezése nélkül, hamis értesítésszerű riasztások jelentek meg, amelyek azt állították, hogy a kért híváselőzmények eredményei megérkeztek a beérkező levelek mappájába. Ezeknek az értesítéseknek az egyetlen célja az volt, hogy a felhasználókat a fizetés visszaküldésére és befejezésére kényszerítsék.

Regionális célcsoport-meghatározás és pénzügyi kockázatok

A kampány elsősorban az indiai és ázsiai-csendes-óceáni térségbeli felhasználókat célozta meg. Sok alkalmazás automatikusan India +91-es országkódját választotta, hogy megerősítse a helyi felhasználók legitimitás illúzióját. Az előfizetési csomagok ára körülbelül 5 euró és 80 amerikai dollár között mozgott, és heti, havi és éves fizetési lehetőségekkel hirdették őket.

A közvetlen anyagi veszteségen túl az áldozatok, akik nem hivatalos alkalmazáson belüli fizetési űrlapokon keresztül adták meg bankkártya-adataikat, további kockázatokkal is szembesülhetnek, beleértve a jogosulatlan terheléseket vagy a fizetési adatokkal való visszaélést.

Hogyan használta ki a CallPhantom a bizalmat veszélyes engedélyek nélkül?

A CallPhantom művelet egyik legfigyelemreméltóbb aspektusa az volt, hogy jelentős pénzügyi kárt tudott okozni anélkül, hogy érzékeny Android-engedélyeket kért volna. A teljes csalás inkább a társadalmi manipuláción, mint a technikai kihasználáson alapult. A felhasználókat meggyőzték arról, hogy higgyenek el lehetetlen állításokat, fizessenek kitalált információkért, és tudtukon kívül pénzt adjanak át rosszul védett fizetési csatornákon keresztül.

Bár a CallPhantomhoz hasonló kampányok viszonylag ritkák, a legtöbb kiberbűnözői művelet nagymértékben a félelemre, a sürgősségre vagy a megtévesztésre támaszkodik, hogy manipulálja a felhasználókat szoftverek letöltésére, vásárlásra vagy érzékeny információk közlésére.

Figyelmeztető jelek és védőintézkedések

Az összes azonosított CallPhantom alkalmazást a hivatalos Google Play Áruházon keresztül terjesztették, félrevezető neveket, kitalált leírásokat és mesterségesen felfújt értékeléseket használva, hogy megbízhatónak tűnjenek. Annak ellenére, hogy a Google eltávolította az alkalmazásokat, az eltávolítás előtt telepített eszközökön továbbra is előfordulhat, hogy a szoftver megtalálható.

A következő biztonsági gyakorlatok segíthetnek csökkenteni a hasonló csalásoknak való kitettséget:

• Rendszeresen ellenőrizze a telepített alkalmazásokat, és távolítson el minden gyanús állításokkal vagy ismeretlen fejlesztőkkel kapcsolatos szoftvert.
• Csak megbízható forrásokból, például a Google Play Áruházból vagy ellenőrzött fejlesztői weboldalakról tölts le alkalmazásokat, és kritikusan értékeld a túlzottan homályosnak vagy egyöntetűen pozitívnak tűnő véleményeket.
• Alapértelmezés szerint csalárdnak kell tekinteni minden olyan alkalmazást, amely azt állítja, hogy hozzáfér egy másik személy privát kommunikációjához, helyelőzményeihez vagy híváslistáihoz.
• Tartsa naprakészen a mobil operációs rendszereket, és használjon megbízható mobilbiztonsági megoldásokat a felmerülő fenyegetésekkel szembeni védelem javítása érdekében.

Egyértelmű emlékeztető a mobilcsalásokról

A CallPhantom kampány erőteljes emlékeztetőül szolgál arra, hogy a csalárd alkalmazások nem mindig támaszkodnak rosszindulatú programokra vagy fejlett biztonsági résekre a sikerhez. Sok esetben a pszichológiai manipuláció önmagában is elegendő több millió letöltés és jelentős anyagi veszteség generálásához. Minden olyan alkalmazást, amely jogosulatlan hozzáférést ígér más személyek személyes adataihoz, azonnal illegitimnek és potenciálisan veszélyesnek kell tekinteni.