Podvod CallPhantom pre Android

Kampaň CallPhantom odhalila, ako môžu kyberzločinci zneužívať verejnú zvedavosť a dezinformácie na generovanie obrovských ziskov prostredníctvom podvodných aplikácií pre Android. Tento zoskupenie 28 škodlivých aplikácií, distribuovaných prostredníctvom oficiálneho obchodu Google Play, falošne tvrdilo, že získava záznamy o hovoroch, SMS správy a aktivitu WhatsApp prepojenú s akýmkoľvek telefónnym číslom. Predtým, ako Google aplikácie odstránil, kampaň už nahromadila viac ako 7,3 milióna stiahnutí.

Nemožné tvrdenia maskované ako legitímne služby

Každá aplikácia v klastri CallPhantom propagovala rovnakú klamlivú funkciu. Používatelia boli vyzvaní, aby zadali telefónne číslo, po čom aplikácie údajne vygenerovali kompletnú históriu komunikácie vrátane záznamov o hovoroch, textových správ a konverzácií cez WhatsApp.

Z technického hľadiska boli tieto tvrdenia úplne nemožné. Architektúra zabezpečenia a povolení systému Android bráni aplikáciám v prístupe k súkromným komunikačným údajom iného používateľa. Namiesto získavania skutočných informácií aplikácie zobrazovali vymyslené výsledky vygenerované z pevne zakódovaných telefónnych čísel, preddefinovaných mien a náhodne priradených časových pečiatok vložených priamo do kódu aplikácie.

Výskumníci identifikovali dva hlavné operačné modely používané počas celej kampane:

• Jedna skupina aplikácií okamžite zobrazovala obmedzené falošné výsledky a potom požadovala platbu za odomknutie údajnej „úplnej histórie“.
• Ďalšia skupina zhromažďovala e-mailové adresy používateľov, sľubovala doručenie podrobných záznamov e-mailom a požadovala platbu pred údajným odoslaním akýchkoľvek výsledkov.

V oboch prípadoch obete platili za údaje, ktoré nikdy neexistovali.

Manipulatívne platobné systémy navrhnuté tak, aby sa vyhli vráteniu peňazí

Prevádzkovatelia stojaci za CallPhantom použili niekoľko platobných mechanizmov na maximalizáciu príjmov a zároveň zníženie pravdepodobnosti úspešného vrátenia peňazí. Niektoré transakcie boli spracované prostredníctvom oficiálnej fakturačnej infraštruktúry Google Play, čo používateľom umožňovalo obmedzené možnosti napadnúť poplatky. Mnohé aplikácie však fakturáciu Google Play úplne obchádzali presmerovaním obetí na platobné aplikácie UPI tretích strán alebo na vložené formuláre na platby kartou.

Tieto taktiky porušovali pravidlá spoločnosti Google a výrazne skomplikovali proces vrátenia peňazí pre dotknutých používateľov. Niektoré varianty zvýšili prevádzkovú flexibilitu dynamickým načítaním platobných adries URL zo serverov Firebase. To umožnilo útočníkom ľubovoľne striedať platobné účty a výrazne sťažilo automatickú detekciu bezpečnostnými systémami.

Jeden obzvlášť klamlivý variant zahŕňal psychologickú manipuláciu. Ak sa používateľ pokúsil zatvoriť aplikáciu bez dokončenia platby, zobrazili sa falošné upozornenia v štýle oznámení, ktoré tvrdili, že požadované výsledky histórie hovorov práve dorazili do doručenej pošty. Jediným účelom týchto upozornení bolo prinútiť používateľov, aby sa vrátili a dokončili platbu.

Regionálne zacielenie a finančné riziká

Kampaň bola primárne zameraná na používateľov v Indii a v celom ázijsko-tichomorskom regióne. Mnohé aplikácie automaticky vybrali indickú predvoľbu +91, aby posilnili ilúziu legitimity pre miestnych používateľov. Predplatné sa pohybovalo od približne 5 € do 80 USD a bolo ponúkané prostredníctvom týždenných, mesačných a ročných platobných možností.

Okrem okamžitej finančnej straty môžu obete, ktoré zadali informácie o platobných kartách prostredníctvom neoficiálnych formulárov v aplikácii, čeliť ďalším rizikám vrátane neoprávnených poplatkov alebo zneužitia platobných údajov.

Ako CallPhantom zneužíval dôveru bez nebezpečných povolení

Jedným z najpozoruhodnejších aspektov operácie CallPhantom bola jej schopnosť spôsobiť značné finančné škody bez toho, aby si vyžiadal citlivé povolenia od systému Android. Celý podvod sa spoliehal skôr na sociálne inžinierstvo než na technické zneužitie. Používatelia boli presvedčení, aby uverili nemožným tvrdeniam, platili za vymyslené informácie a nevedomky vracali peniaze prostredníctvom slabo chránených platobných kanálov.

Hoci kampane ako CallPhantom sú pomerne zriedkavé, väčšina kybernetických zločineckých operácií sa vo veľkej miere spolieha na strach, naliehavosť alebo podvod, aby manipulovali používateľov sťahovaním softvéru, nákupmi alebo zverejňovaním citlivých informácií.

Výstražné signály a ochranné opatrenia

Všetky identifikované aplikácie CallPhantom boli distribuované prostredníctvom oficiálneho obchodu Google Play s použitím zavádzajúcich názvov, vymyslených popisov a umelo nafúknutých hodnotení, aby vyzerali dôveryhodne. Aj keď spoločnosť Google aplikácie odstránila, zariadenia, ktoré ich nainštalovali pred odstránením, môžu softvér stále obsahovať.

Nasledujúce bezpečnostné postupy môžu pomôcť znížiť vystavenie sa podobným podvodom:

• Pravidelne kontrolujte nainštalované aplikácie a odstraňujte akýkoľvek softvér spojený s podozrivými tvrdeniami alebo neznámymi vývojármi.
• Aplikácie sťahujte iba z dôveryhodných zdrojov, ako je Obchod Google Play alebo overené webové stránky vývojárov, a kriticky hodnotte recenzie, ktoré sa zdajú byť príliš vágne alebo jednotne pozitívne.
• Akúkoľvek aplikáciu, ktorá tvrdí, že má prístup k súkromnej komunikácii, histórii polohy alebo záznamom hovorov inej osoby, štandardne považovať za podvodnú.
• Udržiavajte aktualizované mobilné operačné systémy a používajte renomované riešenia mobilného zabezpečenia na zlepšenie ochrany pred novými hrozbami.

Jasná pripomienka o mobilných podvodoch

Kampaň CallPhantom slúži ako silná pripomienka toho, že podvodné aplikácie sa nie vždy spoliehajú na malvér alebo pokročilé exploity, aby uspeli. V mnohých prípadoch stačí samotná psychologická manipulácia na generovanie miliónov stiahnutí a značných finančných strát. Akákoľvek aplikácia sľubujúca neoprávnený prístup k súkromným údajom inej osoby by mala byť okamžite považovaná za nelegitímnu a potenciálne nebezpečnú.