Ένα από τα πιο επικίνδυνα τραπεζικά Trojans για Android συσκευές που έχουν υπάρξει ποτέ εντόπισε η ομάδα anti-malware έρευνας της Kaspersky Lab. O λόγος για το κακόβουλο λογισμικό Acecard, το οποίο μπορεί να επιτεθεί σε χρήστες περίπου 30 online χρηματοοικονομικών εφαρμογών και υπηρεσιών, παρακάμπτοντας τα μέτρα ασφαλείας του Google Play Store.
Αναλυτικότερα, το τρίτο τρίμηνο του 2015 οι ειδικοί της Kaspersky Lab εντόπισαν στην Αυστραλία μια ασυνήθιστη και ύποπτη αύξηση των τραπεζικών επιθέσεων σε φορητές συσκευές. Πολύ σύντομα αποκαλύφθηκε ότι ο κύριος υπαίτιος αυτής της αύξησης ήταν ένα και μόνο τραπεζικό Trojan: το Acecard.
Η «οικογένεια» του Τrojan προγράμματος Acecard χρησιμοποιεί σχεδόν όλες τις διαθέσιμες λειτουργίες κακόβουλου λογισμικού, από την κλοπή γραπτών και φωνητικών μηνυμάτων μιας τράπεζας μέχρι την επικάλυψη παραθύρων επίσημων εφαρμογών με ψευδή μηνύματα που προσομοιάζουν με επίσημη σελίδα σύνδεσης, σε μια προσπάθεια υποκλοπής προσωπικών πληροφοριών και λεπτομερειών λογαριασμού.
Εφαρμογές που χρήζουν προσοχής και τρόποι πρόληψης
Οι πιο πρόσφατες εκδόσεις της οικογένειας του Acecard μπορούν να επιτεθούν στις εφαρμογές πελατών από περίπου 30 τράπεζες και συστήματα πληρωμών. Αν μάλιστα ληφθεί υπόψη ότι αυτά τα Trojans έχουν τη δυνατότητα να επικαλύπτουν κάθε εφαρμογή κατόπιν εντολής, ο συνολικός αριθμός των χρηματοοικονομικών εφαρμογών που έχουν δεχτεί επίθεση μπορεί να είναι πολύ μεγαλύτερος.
Εκτός από τις τραπεζικές εφαρμογές, το Acecard μπορεί να επικαλύψει και τις παρακάτω εφαρμογές με παράθυρα phishing:
- υπηρεσίες άμεσης ανταλλαγής μηνυμάτων: WhatsApp, Viber, Instagram, Skype
- μέσα Κοινωνικής Δικτύωσης: VKontakte, Odnoklassniki, Facebook, Twitter
- το Gmail
- τη mobile εφαρμογή του PayPal
- τις εφαρμογές Google Play και Google Music.
Για να αποφευχθεί η μόλυνση από αυτό το κακόβουλο λογισμικό, η Kaspersky Lab συνιστά τα εξής:
- μην κατεβάζετε ή/και μην εγκαθιστάτε οποιεσδήποτε εφαρμογές από το Google Play ή εσωτερικές πηγές, αν δεν είναι αξιόπιστες ή δεν μπορούν να θεωρηθούν τέτοιες
- μην επισκέπτεστε ύποπτες ιστοσελίδες με συγκεκριμένο περιεχόμενο και μην κάνετε κλικ σε ύποπτα links
- εγκαταστήστε μια αξιόπιστη λύση ασφάλειας για φορητές συσκευές, όπως το Kaspersky Internet Security for Android
- βεβαιωθείτε ότι οι antivirus βάσεις δεδομένων σας είναι ενημερωμένες και λειτουργούν σωστά.
Η αποκάλυψη του Acecard
Το συγκεκριμένο λογισμικό εντοπίστηκε για πρώτη φορά τον Φεβρουάριο του 2014, αλλά για ένα μεγάλο διάστημα δεν παρουσίαζε σχεδόν καμία κακόβουλη δραστηριότητα. Όλα άλλαξαν το 2015: από τον Μάιο μέχρι τον Δεκέμβριο πάνω από 6.000 χρήστες δέχτηκαν επιθέσεις, στην πλειονότητά τους κάτοικοι Ρωσίας, Αυστραλίας, Γερμανίας, Αυστρίας και Γαλλίας.
Κατά τη διάρκεια της διετούς παρατήρησης, οι ερευνητές της Kaspersky Lab έγιναν μάρτυρες της ενεργής ανάπτυξης του Trojan. Κατέγραψαν περισσότερες από 10 νέες εκδόσεις του κακόβουλου λογισμικού, καθεμιά από τις οποίες είχε πολύ μεγαλύτερη λίστα κακόβουλων λειτουργιών από την προηγούμενη.
Οι φορητές συσκευές συνήθως «μολύνονταν» μετά τη λήψη μιας κακόβουλης εφαρμογής που παρουσιαζόταν ως νόμιμη. Οι εκδόσεις του Acecard τις περισσότερες φορές διανέμονται ως βίντεο Flash Player ή πορνό, αν και ενίοτε χρησιμοποιούν άλλα ονόματα, σε μια προσπάθεια να μιμηθούν δημοφιλές λογισμικό.
Αλλά αυτός δεν είναι ο μόνος τρόπος διανομής. Στις 28 Δεκεμβρίου 2015 οι ειδικοί της Kaspersky Lab εντόπισαν μια έκδοση του Acecard downloader Trojan (Trojan-Downloader.Android OS.Acecard.b) στο επίσημο κατάστημα του Google Play. Για τη διανομή του, το Trojan «κρύβεται» πίσω από ένα παιχνίδι. Όταν το κακόβουλο λογισμικό έχει εγκατασταθεί από το Google Play, ο χρήστης θα δει μόνο ένα εικονίδιο του Adobe Flash Player στην επιφάνεια εργασίας του και καμία πραγματική ένδειξη της εγκατεστημένης εφαρμογής.
Εξετάζοντας προσεκτικά τον κώδικα του κακόβουλου λογισμικού, οι ειδικοί της Kaspersky Lab τείνουν να πιστέψουν ότι το Acecard δημιουργήθηκε από την ίδια ομάδα ψηφιακών εγκληματιών που ήταν υπεύθυνη για το πρώτο TOR Trojan για Android συσκευές (Backdoor.AndroidOS.Torec.a) και το πρώτο mobile encryptor/ransomware (Trojan-Ransom.AndroidOS.Plethor.a).
Η απόδειξη γι’ αυτό βασίζεται στις παρόμοιες γραμμές κώδικα (ονόματα μεθόδων και τάξεων) και στη χρήση των ίδιων C&C (Command and Control) server. Το γεγονός αυτό καταδεικνύει ότι το Acecard δημιουργήθηκε από μια ισχυρή και έμπειρη ομάδα εγκληματιών, πιθανότατα ρωσόφωνων.
«Αυτή η ομάδα κυβερνοεγκληματιών χρησιμοποιεί σχεδόν κάθε διαθέσιμη μέθοδο για να διαδώσει το τραπεζικό Trojan Acecard. Μπορεί να διανεμηθεί με το πρόσχημα ενός άλλου προγράμματος, μέσω επίσημων app stores ή μέσω άλλων Trojans. Ένα ιδιαίτερο χαρακτηριστικό αυτού του κακόβουλου λογισμικού είναι ότι μπορεί να επικαλύπτει περισσότερα από 30 τραπεζικά συστήματα και συστήματα πληρωμών, καθώς και μέσα κοινωνικής δικτύωσης, άμεσης ανταλλαγής μηνυμάτων και άλλες εφαρμογές. Ο συνδυασμός των δυνατοτήτων του Acecard και των μεθόδων διάδοσης καθιστούν αυτό το κακόβουλο πρόγραμμα μια από τις μεγαλύτερες απειλές για τους χρήστες σήμερα», προειδοποιεί ο Roman Unuchek, Senior Malware Analyst της Kaspersky Lab στις ΗΠΑ.
Περισσότερες πληροφορίες σχετικά με το Acecard Trojan είναι διαθέσιμες σε ειδικό blogpost στον ιστότοπο Securelist.com.
