FakeCall Vishing-malware
Cybersecurity-onderzoekers hebben een nieuwe variant ontdekt van de bekende Android-bedreigingsfamilie FakeCall. Deze maakt gebruik van voice phishing-technieken, ook wel 'vishing' genoemd, om gebruikers ertoe te verleiden hun persoonlijke gegevens vrij te geven.
Deze geavanceerde vishing-aanval is gebaseerd op malware die uitgebreide controle kan krijgen over een geïnfecteerd mobiel apparaat, en zelfs zowel inkomende als uitgaande gesprekken kan onderscheppen. Slachtoffers worden wijsgemaakt dat ze legitieme gesprekken voeren. In plaats daarvan worden ze verbonden met frauduleuze nummers die door de aanvaller worden beheerd, terwijl ze een vertrouwde interface op hun apparaat ervaren.
FakeCall, ook wel bekend als FakeCalls en Letscall, wordt sinds de verschijning in april 2022 uitgebreid bestudeerd door onderzoekers op het gebied van informatiebeveiliging. Eerdere aanvalsgolven waren vooral gericht op mobiele gebruikers in Zuid-Korea.
Inhoudsopgave
FakeCall verzamelt informatie van de schermen van slachtoffers
De volgende pakketnamen zijn gekoppeld aan dropper-toepassingen die de malware verspreiden:
- com.qaz123789.serviceone
- com.sbbqcfnvd.skgkkvba
- com.securegroup.assistent
- com.seplatmsm.skfplzbh
- eugmx.xjrhry.eroreqxo
- gqcvctl.msthh.swxgkyv
- ouyudz.wqrecg.blxal
- plnfexcq.fout.kyxvb
- Xkeqoi.iochvm.vmyab
Net als andere Android-bankbedreigingen misbruikt FakeCall toegankelijkheidsservices-API's om controle over het apparaat te krijgen en kwaadaardige activiteiten uit te voeren. Het misbruikt deze API's om informatie op het scherm vast te leggen en zichzelf indien nodig extra machtigingen te verlenen.
De spionagemogelijkheden van de malware zijn uitgebreid, waardoor het gegevens kan verzamelen zoals sms-berichten, contacten, locaties en geïnstalleerde applicaties. Het kan ook foto's maken, livestreams opnemen van zowel de voor- als achtercamera, contacten toevoegen en verwijderen, audiofragmenten vastleggen, afbeeldingen uploaden en een live videofeed van apparaatacties simuleren met behulp van de MediaProjection API.
De sluwe nieuwe tactieken van de FakeCall-malware
De onlangs ontdekte versies van de malware zijn verbeterd om zowel de Bluetooth-status als de schermactiviteit op het apparaat te monitoren. Wat de dreiging echter aanzienlijk vergroot, is de tactiek om de gebruiker te vragen de applicatie in te stellen als de standaardkiezer, waardoor deze alle inkomende en uitgaande gesprekken kan volgen en manipuleren.
Met deze toegang kan FakeCall niet alleen gesprekken onderscheppen, maar ook gebelde nummers wijzigen. Zo kunnen gesprekken die bedoeld zijn voor een bank worden omgeleid naar malafide nummers die onder controle staan van de aanvaller, waardoor slachtoffers worden misleid en onbedoelde acties ondernemen.
Eerdere versies van FakeCall zouden gebruikers ertoe aanzetten om via de applicatie zelf te bellen naar hun bank, vaak door zich voor te doen als verschillende financiële instellingen en nepleningaanbiedingen met aantrekkelijke rentetarieven te presenteren. Wanneer een gecompromitteerde gebruiker probeert om zijn bank te bellen, leidt de malware het gesprek om naar een frauduleus nummer dat door de aanvaller wordt beheerd.
De bedreigende applicatie misleidt gebruikers met een overtuigende nep-interface die lijkt op het Android-oproepscherm, waarop het telefoonnummer van de echte bank wordt weergegeven. Deze nagebootste interface zorgt ervoor dat de gebruiker zich niet bewust is van de manipulatie, waardoor aanvallers gevoelige informatie kunnen verzamelen of ongeautoriseerde toegang kunnen krijgen tot de financiële rekeningen van het slachtoffer.
Hackers blijven zoeken naar manieren om beveiligingsfuncties te omzeilen
De opkomst van geavanceerde mobiele phishingtechnieken (mishing) is een reactie op verbeterde veiligheidsmaatregelen en de wijdverbreide acceptatie van apps voor nummerherkenning. Deze apps zijn ontworpen om verdachte nummers te identificeren en gebruikers te waarschuwen voor mogelijke spam.
Google heeft onlangs een beveiligingsinitiatief getest dat automatisch het sideloaden van mogelijk schadelijke Android-apps voorkomt, waaronder apps die om toegankelijkheidsservices vragen, in landen als Singapore, Thailand, Brazilië en India.
