Mobilny trojan Svpeng przechwytuje dane bankowe

Usługi dostępności zwykle odnoszą się do usprawnień interfejsu programu, które umożliwiają wykorzystywanie urządzenia przez osoby niepełnosprawne (np. niedowidzące) lub takie, które tymczasowo nie są w stanie w pełni go obsługiwać, ponieważ np. prowadzą samochód. W lipcu 2017 r. badacze z Kaspersky Lab odkryli, że Svpeng ewoluował, uzyskując możliwość wykorzystywania tej funkcji systemu w celu kradzieży wprowadzanego tekstu z innych aplikacji na urządzeniu oraz udzielania sobie wielu dodatkowych przywilejów.

Trojan jest rozprzestrzeniany za pośrednictwem szkodliwych stron internetowych; występuje on pod postacią odtwarzacza animacji i filmów flash. Po aktywacji prosi o zezwolenie na wykorzystywanie usług dostępności. Poprzez tę funkcję może uzyskać dostęp do interfejsów innych aplikacji oraz wykonać zrzuty ekranu za każdym razem, gdy na klawiaturze wciskany jest klawisz, a także rejestrować dane uwierzytelniające dostęp do bankowości i podobne informacje. Szkodnik może uzyskać dla siebie przywileje administratora urządzenia oraz możliwość nakładania się na inne aplikacje. Możliwość nałożenia się na aplikacje jest niezbędna, ponieważ niektóre z nich, głównie bankowe, nie zezwalają na wykonywanie zrzutów ekranu, kiedy są „na wierzchu”. W takich przypadkach trojan nakłada na aplikację swoje okno phishingowe. Badacze zidentyfikowali listę phishingowych adresów URL, których celem były aplikacje bankowe czołowych europejskich banków detalicznych.

Ponadto trojan potrafi zainstalować się jako domyślna aplikacja SMS, wysyłać i otrzymywać SMS-y, wykonywać połączenia i odczytywać kontakty, jak również blokować wszelkie próby odebrania przywilejów administratora urządzenia — uniemożliwiając tym samym odinstalowanie go. Szkodliwe techniki trojana działają nawet w przypadku w pełni uaktualnionych urządzeń, na których zainstalowano najnowszą wersję systemu operacyjnego Android oraz wszystkie aktualizacje bezpieczeństwa.

Trojan nie został jeszcze szeroko rozprzestrzeniony, a łączna liczba ataków jest stosunkowo niewielka. Większość wykrytych dotąd ataków miała miejsce w Rosji (29 proc.), Niemczech (27 proc.), Turcji (15 proc.), Polsce (6 proc.) oraz Francji (3 proc.). W przypadku Polski szkodnik potrafi m.in. kraść dane logowania do przynajmniej 7 różnych aplikacji przeznaczonych do przeprowadzania transakcji finansowych online.

"Funkcjonalność keyloggera oraz wykorzystywanie usług dostępności stanowią nowy krok w ewolucji szkodliwego oprogramowania dla bankowości mobilnej i nie dziwi nas, że to właśnie twórcy szkodnika Svpeng wprowadzają te nowości. Trojan jest znany ze swojej innowacyjności, co czynni go jednym z najgroźniejszych zagrożeń mobilnych. Svpeng jako jeden z pierwszych wykorzystywał strony phishingowe do nakładania się na aplikacje w celu przechwytywania danych uwierzytelniających oraz blokował urządzenia, żądając okupu. Dlatego tak ważne jest monitorowanie i analizowanie każdej nowej wersji" - powiedział Roman Unuchek z Kaspersky Lab.

Kaspersky Lab zaleca użytkownikom zainstalowanie na swoich urządzeniach niezawodnego rozwiązania bezpieczeństwa, sprawdzanie, czy pobierane aplikacje zostały udostępnione przez godnego zaufania dostawcę oraz niepobieranie podejrzanych programów i aplikacji, w przypadku których weryfikacja źródła jest niemożliwa. Warto również pamiętać o zachowaniu ostrożności podczas udzielania aplikacjom dodatkowych przywilejów.