Обережно! Нова техніка фішингу націлена на користувачів мобільного банкінгу за допомогою складних веб-додатків
З’явилася нова тривожна техніка фішингу, яка становить серйозну загрозу для користувачів мобільного банкінгу на платформах iOS і Android. Відповідно до нещодавнього попередження від постачальника засобів захисту від зловмисного програмного забезпечення ESET, кіберзлочинці використовують прогресивні веб-додатки (PWA) і WebAPK, щоб обійти заходи безпеки та викрасти конфіденційні банківські облікові дані.
Зміст
Як працює атака
Ця нова фішингова кампанія використовує переваги гнучкості PWA, які є веб-додатками, розробленими, щоб виглядати та функціонувати як власні програми. PWA не вимагають від користувачів увімкнути встановлення програм сторонніх розробників, що робить їх менш підозрілими. Кіберзлочинці інструктують користувачів iOS додавати ці PWA на свої головні екрани, тоді як користувачів Android просять підтверджувати власні спливаючі вікна у своїх браузерах, що призводить до встановлення цих оманливих програм.
Для користувачів Android загроза зростає з використанням WebAPK. По суті, це оновлені PWA, які імітують зовнішній вигляд і поведінку законних програм, часто змушуючи користувачів повірити, що вони завантажили їх із Google Play. Дослідження ESET підкреслює, що ці WebAPK не запускають звичайні попередження системи безпеки, навіть якщо користувач не дозволив установку програм із невідомих джерел. Після встановлення ці зловмисні програми бездоганно зливаються з пристроєм користувача, відображаючи піктограми та інформацію, яка свідчить про те, що вони є офіційними банківськими програмами.
Методи розподілу
Розповсюдження цих фішингових програм організовано за допомогою поєднання автоматичних голосових дзвінків, шкідливої реклами в соціальних мережах і SMS-повідомлень. Користувачів заманюють переходити за посиланнями, які спрямовують їх на підроблені веб-сайти, схожі на офіційні магазини програм або веб-сайт цільового банку. Потім їм буде запропоновано встановити те, що виглядає як оновлення для мобільного банківського додатка.
Після встановлення ці програми запитують облікові дані користувача під виглядом доступу до його банківського рахунку. Без відома користувача ця конфіденційна інформація негайно надсилається на командно-контрольні (C&C) сервери зловмисників.
Ландшафт загрози
Розслідування ESET показує, що ця фішингова кампанія, ймовірно, почалася в листопаді 2023 року, а сервери C&C стали активними до березня 2024 року. Хоча основна увага була зосереджена на користувачах мобільного банкінгу в Чеській Республіці, атаки також були спрямовані на осіб в Угорщині та Грузії. Компанія ESET визначила двох окремих суб’єктів загрози, які стоять за цими атаками, кожна з яких використовує схожі методи для компрометації користувачів.
Більше того, зростає занепокоєння, що ці зловмисники розширять свій арсенал, розробляючи більше копіювальних програм. Складність цих PWA та WebAPK робить їх особливо небезпечними, оскільки їх майже неможливо відрізнити від законних банківських програм.
Захист себе від загрози
З появою таких передових методів фішингу користувачам як ніколи важливо залишатися пильними. Ось кілька кроків, які ви можете зробити, щоб захистити себе:
- Будьте обережні під час встановлення додатків : уникайте встановлення додатків, які не надходять безпосередньо з офіційних магазинів додатків. Якщо з’явиться запит на встановлення програми або оновлення за посиланням, спочатку перевірте його законність.
- Остерігайтеся незвичайних запитів : будьте обережні з будь-якою програмою, яка запитує конфіденційну інформацію, як-от облікові дані для входу або банківські реквізити, особливо якщо вона претендує на оновлення.
- Будьте в курсі : будьте в курсі останніх новин безпеки та переконайтеся, що програмне забезпечення безпеки вашого пристрою оновлено, щоб виявляти та блокувати такі загрози.
Ця нова техніка фішингу підкреслює розвиток тактики кіберзлочинців і потребу в підвищеній обізнаності серед користувачів. Оскільки межа між законними та шахрайськими програмами продовжує стиратися, найкращим захистом є інформованість і обережність.