Falske ondsinnede kloner av Android-apper stjeler bankpålogginger

Bare en dag etter separate rapporter om falske Android-apper som spionerer på ofre og sprer skadelig programvare, advarer sikkerhetsforskere om andre ondsinnede Android-apper som brukes av forfatterne deres for å stjele ofrenes bankinformasjon.

Ondsinnede apper forfalsker ekte tjenester

Oppdateringen kommer fra sikkerhetsfirmaet ESET og beskriver tre forskjellige Android-apper som brukes til å stjele bankpålogginger og informasjon fra ofre. Alle ondsinnede mobilapplikasjoner retter seg mot det malaysiske markedet og er bygget for å etterligne legitime applikasjoner som brukes i det asiatiske landet.

Applikasjonene er rettet mot kunder fra over et halvt dusin malaysiske bankinstitusjoner. De ondsinnede Android-appene etterligner legitime mobilapper som er populære og mye brukt i landet.

Listen over apper som etterlignes av skadelig programvare inkluderer Maid4u - et merke som tilbyr husrengjøringstjenester, samt andre legitime Android-apper som brukes av både rengjørings- og nettbutikktjenester. De andre merkene som er forfalsket av skadelig programvare er Maideasy, Grabmaid og MaidACall. Oppstillingen avrundes av en dyrebutikk-app kalt PetsMore. Det som er rart med kampanjen for forfalskning av ondsinnede apper, er at noen av appene ikke engang har en legitim ekvivalent i Google Play-butikken.

Noen av de falske appene har nettsteder satt opp av skadevareoperatørene for å fungere som dekning og gi de ondsinnede appene en følelse av legitimitet. Nettsidene har selvfølgelig ingen reell kjøpsfunksjonalitet. I stedet kobler de de besøkende til de ondsinnede appene.

Hvis brukeren godtar å installere appen til tross for at den ikke er hentet fra Google Play Store og dermed flagget som en «ukjent app», vises de to alternativer for å kjøpe de falske produktene og tjenestene inne i appen. Ett alternativ er å bruke et kredittkort, men det er deaktivert som standard i de skadelige appene. Det andre alternativet er direkte bankoverføring.

Hackere avskjærer MFA-tekstmeldinger

Når offeret velger bankoverføringsbetaling, tilbys de et grensesnitt som tilbyr betalingsalternativer for flere malaysiske banker. Ved å skrive inn bankkontolegitimasjonen for å fullføre det falske kjøpet, overføres offerets informasjon til de hackerkontrollerte serverne og brukeren blir møtt av en feilmelding – det eneste alternativet siden det ikke er noe reelt produkt knyttet til de ondsinnede appene.

For å sikre at de kan lykkes med å bryte offerets bankkonto, avskjærer og videresender malwareoperatørene også tekstmeldinger mottatt av offerets telefon, slik at de kan fange opp og bruke multifaktorautentiseringskoden offeret kan motta via SMS fra banken sin.