חלקנו התעורר מהבוקר מה שנראה כמו הפחדת אבטחה רצינית עבור הרבה משתמשי אנדרואיד.
התוכנה הזדונית נחשפה לראשונה על ידי ESET בנובמבר 2018, ומשלבת את היכולות של טרויאני בנקאי מבוקר מרחוק עם שימוש לרעה חדש בשירותי נגישות אנדרואיד, למיקוד למשתמשים באפליקציית PayPal הרשמית.
הסיפור הזה לווה בסרטון מפחיד, שהדגים את האפליקציה הסוררת הזו "מסתכלת" על כניסה ל- PayPal ואז מעתיק את התהליך שלך בכדי להיכנס אליו. מה שהופך את המראה המפחיד במיוחד הזה לאופן בו נראה שהוא עוקף אימות דו-גורמי ואז שליחת כסף בשמך. מבלי שהמשתמש ידע זאת מעולם, היישום הזה התחבר עבורך ושלח את כספך. דברים מפחידים, נכון? ובכן, יש מלכוד. למעשה, ישנם כמה.
הראשון, כפי שצוין על ידי הצוות המקורי שדיווח על טרויאני זה (שלי מוקד):
התוכנה הזדונית מתחפשת לכלי אופטימיזציה של סוללות ומופצת באמצעות חנויות אפליקציות של צד שלישי.
אוקיי, כך שכלי אופטימיזציית הסוללות הסוררת הזה אינו זמין כלל דרך Google Play. לבדוק. כעת, כאשר האפליקציה מותקנת כיצד היא עושה את שלה? האם אפליקציה זו באמת פועלת ברקע כאשר המשתמש אינו החכם יותר? ובכן, לא בדיוק. שוב, מהצוות המקורי שדיווח על כך (הדגש שלי):
בקשה זו מוצגת בפני המשתמש כשירות "הפעל סטטיסטיקות" לא מזיק.
נכון, אתה מקבל בקשת הרשאה כאשר האפליקציה הסוררת הזו מופעלת לראשונה. ואותה הרשאה "נשמעת-לא-נשמע" כוללת את המילים צפו במעשיכם בתיאור באותיות גדולות ונועזות. לא בדיוק אזהרה מהבהבת אדומה, אבל כמו כל הרשאה עליכם לבחור להפעיל אותה. אם לא, האפליקציה לא יכולה לעשות דבר.
אז ברגע שאפליקציית הסוללות הסוררת הזו מותקנת ממקור של צד שלישי ואתה נותן לה באופן עיוור גישה לטלפון שלך על ידי כך שלא קוראת את ההרשאות שלך, האם זה פשוט אורב ברקע ומחכה להכות? לא. שוב, מהצוות המקורי שדיווח על כך (הדגש שלי):
אם אפליקציית PayPal הרשמית מותקנת במכשיר שנפגע, התוכנה הזדונית מציגה התראה על הודעה המבקשת מהמשתמש להפעיל אותה.
אתה מקבל הודעה המורה לך להיכנס ל- PayPal ממשהו שאינו PayPal, ואתה פשוט עושה את זה? באמת? לא ככה כל זה עובד.
אז לסיכום, טרויאני אנדרואיד סופר רציני זה:
- לא היה בחנות Google Play, אז אתה צריך להוריד מחנות אקראית ולאפשר למקורות לא ידועים אפילו להתקין אותה.
- מבקש אישור חריג למדי ברגע שפותחים אותו.
- מייד נותן לך הודעה המבקשת להיכנס ל- PayPal.
באופן פרטני מדובר בדגלי אזהרה. יחד, זה בעצם מישהו ששולח לך מכתב בדואר שמבקש ממך ליידע אותם מתי לא תהיה בבית כדי שיוכלו לשדוד אותך.
זה לא איום ביטחוני אמיתי. בכלל. למרות שמהווה איום אבטחה אמיתי, PayPal עדיין לא מסתמכת על דבר מלבד מסירת הודעות טקסט לצורך אימות דו-גורמי. זה 2018, חברים. קבל מערכת אסימון אמיתית.
