FlixOnline Malware
Een nep-applicatie die gratis Netflix belooft, is betrapt op het afleveren van een malwarebedreiging genaamd FlixOnline. De bewapende applicaties waren erin geslaagd door de voorzorgsmaatregelen van Google te glippen en waren gedurende twee maanden beschikbaar om te downloaden van de officiële Play Store. In die tijd raakten meer dan 500 gebruikers besmet met de flixonline-malwarebedreiging, ontdekten onderzoekers. Het doel is om gebruikers naar een speciaal vervaardigde nep-Netflix-website te leiden die elk stukje informatie dat erin is ingevoerd, wegschraapt. De hackers waren vooral op zoek naar de inloggegevens van het slachtoffer en de creditcard- / betaalpasgegevens.
De applicatie lokte gebruikers binnen met beloften van gratis Netflix - '2 maanden Netflix Premium gratis overal ter wereld gedurende 60 dagen'. Na installatie startte de schadelijke lading echter een vrij nieuwe techniek waarmee het de verbinding met de WhatsApp-client van de gebruiker kon kapen. In de praktijk onderschepte FlixOnline alle inkomende meldingen door toestemming van een meldingsluisteraar te vragen. Hierdoor heeft de dreiging toegang tot alle meldingen over ontvangen berichten en kan hij automatisch bepaalde acties ondernemen, zoals 'negeren' of 'antwoorden'. De malware maakte optimaal gebruik van deze toestemming.
Zelfvoortplanting door WhatsApp-meldingen te kapen
FlixOnline zou een functie genaamd OnNotificationPosted gebruiken om te controleren op de pakketnaam van de toepassing die een bepaalde melding genereert. Als die applicatie WhatsApp is, annuleert de malware de melding om deze voor de gebruiker te verbergen en gaat vervolgens verder met het lezen van de titel en inhoud. De laatste stap is het verzenden van een automatisch antwoord met behulp van een payload die is ontvangen van de Command-and-Control-server. In de meeste gevallen werden de uitgaande WhatsApp-antwoorden die op deze manier werden gecreëerd, gebruikt om de FlixOnline-malware verder te verspreiden. Een waargenomen geautomatiseerd bericht dat door de dreiging is gemaakt, is:
'2 maanden gratis Netflix Premium gratis voor REDEN VAN QUARANTINE (CORONA VIRUS) * Krijg 60 dagen lang gratis 2 maanden Netflix Premium overal ter wereld. Download het nu HIER [LINK]. '
Naast Notification Listener vraagt de malwarebedreiging ook om machtigingen voor het negeren van overlay en batterijoptimalisatie. Een overlay wordt vaak misbruikt door gegevensverzamelende malwarebedreigingen om nieuwe vensters te genereren, zoals valse inlogschermen, bovenop de legitieme toepassingen die door de gebruiker zijn gestart met als doel accountreferenties en andere gevoelige details te verzamelen. De toestemming voor het negeren van batterijoptimalisatie, zoals de naam al doet vermoeden, zorgt ervoor dat de FlixOnline-malware operationeel blijft, zelfs wanneer het geïnfecteerde Android-apparaat in de inactieve modus gaat.
Nadat Google op de hoogte was gebracht van de nep-applicatie FlixOnline, verwijderde het deze onmiddellijk uit de Play Store.