Malware SpyLoan infekuje 8 milionów użytkowników Androida

Badacze cyberbezpieczeństwa odkryli ponad tuzin groźnych aplikacji w Google Play Store, które łącznie mają ponad 8 milionów pobrań. Aplikacje te niosą ze sobą znane zagrożenie oznaczone jako SpyLoan, które atakuje użytkowników za pomocą oszukańczych praktyk. Po zainstalowaniu aplikacje te wykorzystują swoje ofiary, uzyskując nieautoryzowany dostęp do poufnych danych i zmuszając użytkowników do szkodliwych schematów finansowych.

Przynęta: szybkie pożyczki dla nieostrożnych

Aplikacje te przedstawiają się jako dostawcy szybkich pożyczek z minimalnymi wymaganiami, kierując je do użytkowników w regionach takich jak Meksyk, Kolumbia, Senegal, Tajlandia, Indonezja, Wietnam, Tanzania, Peru i Chile. Żerując na finansowej desperacji, przyciągają niczego niepodejrzewających ludzi szukających natychmiastowej ulgi.

Wśród zidentyfikowanych aplikacji, niektóre zostały zmienione, aby dostosować się do zasad Google Play. Jednak ich podstawowe ryzyko nadal istnieje, co podkreśla potrzebę czujności. Pełna lista odkrytych aplikacji SpyLoan obejmuje:

Préstamo Seguro-Rápido, seguro (com.prestamoseguro.ss )

Préstamo Rápido-Credit Easy (com.voscp.rapido)

ได้บาทง่ายๆ-สินเชื่อด่วน (com.uang.belanja)

RupiahKilat-Dana Cair (com.rupiahkilat.best)

ยืมอย่างมีความสุข – เงินกู้ (com.gotoloan.cash)

เงินมีความสุข – สินเชื่อด่วน (com.hm.happy.money)

KreditKu-Uang Online (com.kreditku.kuindo)

Dana Kilat-Pinjaman kecil (com.winner.rupiahcl)

Pożyczka gotówkowa – Vay tiền (com.vay.cashloan.cash)

RapidFinance (com.restrict.bright.cowboy)

PrêtPourVous (com.credit.orange.enespeces.mtn.ouest.wave.argent.tresor.payer.pret)

Huayna Money – Préstamo Rápido (com.huaynamoney.prestamos.creditos.peru.loan.credit)

IPréstamos: Rápido Crédito (com.credito.iprestamos.dinero.en.linea.chile)

ConseguirSol-Dinero Rápido (com.conseguir.sol.pe)

ÉcoPrêt Prêt En Ligne (com.pret.loan.ligne.personnel)

Inżynieria społeczna i uprawnienia inwazyjne

Sukces SpyLoan polega na poleganiu na taktykach inżynierii społecznej. Aplikacje często agresywnie reklamują się na platformach mediów społecznościowych, takich jak Facebook, aby zwabić ofiary. Po zainstalowaniu żądają nadmiernych uprawnień, w tym dostępu do list kontaktów, rejestrów połączeń, danych z aparatu, a nawet wiadomości SMS. Uprawnienia te, uzasadniane pozorem weryfikacji tożsamości i zapobiegania oszustwom, pozwalają aplikacjom na tajne zbieranie danych osobowych.

Użytkownicy muszą również podać poufne dane, takie jak informacje o koncie bankowym, dane uwierzytelniające pracowników i wydane przez rząd identyfikatory. Następnie dane te są szyfrowane za pomocą AES-128 i wysyłane do serwera Command-and-Control (C2), co utrudnia namierzać.

Powtarzające się zagrożenie: mroczna historia SpyLoan

SpyLoan nie jest nowicjuszem w świecie oszustw internetowych. Po raz pierwszy wykryto go w 2020 r., a od tego czasu pojawił się ponownie w różnych formach. Raport z grudnia 2023 r. ujawnił 18 kolejnych groźnych aplikacji działających pod tym samym pretekstem oferowania szybkich pożyczek. Ostatecznym celem Cel tych aplikacji pozostaje ten sam: wyłudzenie maksymalnej ilości danych użytkownika i wykorzystywanie ofiar za pomocą wymuszeń i nękania.

Zebrane dane mogą być wykorzystywane do narzucania wygórowanych stóp procentowych lub zastraszania użytkowników, którzy nie spłacają pożyczek na czas. W niektórych przypadkach skradzione zdjęcia osobiste były wykorzystywane do grożenia ofiarom, co podkreśla poważne naruszenie prywatności, jakie ułatwiają te aplikacje.

Wspólny kod, zasięg globalny

Stwierdzono, że aplikacje SpyLoan mają wspólną, zunifikowaną strukturę, zarówno pod względem projektu, jak i funkcjonalności. Ta modułowa baza kodu pozwala cyberprzestępcom wdrażać te aplikacje w różnych regionach, dostosowując je do wykorzystywania lokalnych luk. Pomimo różnic w interfejsach użytkownika i strategiach kierowania, aplikacje te działają z uderzająco podobnymi mechanizmami.

Wspólność kodu na poziomie aplikacji i serwera C2 sugeruje zaangażowanie jednego dewelopera lub wykorzystanie wspólnego, oszukańczego frameworka sprzedawanego cyberprzestępcom. To skalowalne podejście zapewnia, że zagrożenie pozostaje trwałe, nawet gdy władze pracują nad rozmontowaniem konkretnych operatorów.

Przerwanie cyklu eksploatacji

Aplikacje SpyLoan wykorzystują nie tylko finansową desperację, ale także zaufanie użytkowników do sklepów z aplikacjami i platform cyfrowych. Aby chronić się przed takimi zagrożeniami, użytkownicy muszą podejmować proaktywne działania. Przeglądanie uprawnień aplikacji, analizowanie recenzji użytkowników i weryfikacja poświadczeń programisty to kluczowe kroki przed pobraniem jakiejkolwiek aplikacji.

Ponadto użytkownicy powinni zachować ostrożność w stosunku do aplikacji, które żądają niepotrzebnego dostępu do danych osobowych lub żądają poufnych dokumentów pod wątpliwymi pretekstami. Przyjęcie tych środków ostrożności może pomóc złagodzić ryzyko stwarzane przez oszukańcze aplikacje, takie jak te związane ze SpyLoan.

Trwałe wyzwanie

Saga SpyLoan uwypukla globalny problem w ekosystemie cyfrowym. Podczas gdy agencje ścigania skutecznie zlikwidowały niektóre operacje, wciąż pojawiają się nowe grupy, przyjmujące podobne taktyki. Trwająca eksploatacja podkreśla potrzebę surowszych przepisów dotyczących sklepów z aplikacjami i zwiększonej świadomości społecznej w celu ograniczenia tych oszukańczych działań.

Ciągła ewolucja SpyLoan pokazuje, jak złośliwi aktorzy dostosowują się, aby utrzymać swoje schematy. Wykorzystując modułowe projekty i celując w niedostatecznie obsługiwane rynki, zapewniają stały strumień ofiar, pozostawiając użytkowników podatnymi na nadużycia finansowe i prywatności. Pozostawanie czujnym i poinformowanym jest najskuteczniejszą obroną przed takimi zagrożeniami.