FlixOnline skadlig programvara
En falsk applikation som lovar gratis Netflix fångades och levererade ett hot mot skadlig kod som heter FlixOnline. De vapenapplikationerna hade lyckats glida av Googles skyddsåtgärder och var i två månader tillgängliga för nedladdning från den officiella Play-butiken. Under den tiden infekterades över 500 användare med FlixOnline-malwarehotet, fann forskare. Målet är att rikta användarna mot en speciellt utformad falsk Netflix-webbplats som skrapar varje del av informationen som finns i den. Hackarna var främst efter offrets inloggningsuppgifter och kredit- / betalkortsuppgifter.
Applikationen lockade in användare med löften om gratis Netflix - '2 månader med Netflix Premium gratis var som helst i världen i 60 dagar.' När den installerades initierade dock den skadliga nyttolasten en ganska ny teknik som gjorde det möjligt att kapa anslutningen till användarens WhatsApp-klient. I praktiken avlyssnade FlixOnline alla inkommande aviseringar genom att begära tillstånd för avlyssnare. Detta gör det möjligt för hotet att få tillgång till alla meddelanden om mottagna meddelanden och vidta avsedda åtgärder som "avvisa" eller "svara" automatiskt. Skadlig programvara utnyttjade detta tillstånd fullt ut.
Självförökning genom kapning av WhatsApp-meddelanden
FlixOnline skulle använda en funktion som heter OnNotificationPosted för att söka efter paketnamnet på applikationen som skapar en viss avisering. Om det programmet är WhatsApp kommer skadlig programvara att avbryta meddelandet för att dölja det för användaren och sedan fortsätta att läsa dess titel och innehåll. Det sista steget är att skicka ett automatiskt svar med en nyttolast som tas emot från Command-and-Control-servern. I de flesta fall användes de utgående WhatsApp-svar som skapats på detta sätt för att ytterligare sprida FlixOnline-skadlig kod. Ett observerat automatiskt meddelande som skapats av hotet är:
'2 månader med Netflix Premium gratis utan kostnad FÖR KARANTÄNSAK (CORONA VIRUS) * Få 2 månader Netflix Premium gratis var som helst i världen i 60 dagar. Hämta det nu HÄR [LINK]. '
Förutom Notifieringslyssnare frågar malwarehotet också om överlägg och batterioptimering Ignorera behörigheter. Ett överlägg utnyttjas ofta av datainsamling av skadliga hot för att generera nya fönster, såsom falska inloggningsskärmar, ovanpå de legitima applikationer som startas av användaren med målet att samla in kontouppgifter och andra känsliga detaljer. Batterioptimering Ignorera-tillståndet, som namnet antyder, säkerställer att FlixOnline-skadlig programvara förblir operativ även när den infekterade Android-enheten går i viloläge.
Efter att ha underrättats om den falska applikationen FlixOnline tog Google omedelbart ner den från Play Store.