Mobilny trojan bankowy Gugi atakuje telefony

Przeczytaj także: System Android najczęściej atakowany w 2012 roku

Czego chce Gugi? Szkodnikowi chodzi o uzyskanie danych służących do uwierzytelniania transakcji dokonywanych za pośrednictwem bankowości mobilnej. W tym celu nakłada narzędzia phishingowe na rzeczywiste aplikacje bankowe oraz przechwytuje dane kart płatniczych poprzez nakładanie się na Google Play.

Pod koniec 2015 r. pojawiła się 6 wersja systemu Android z nowymi funkcjami bezpieczeństwa, które zostały stworzone z myślą o blokowaniu takich ataków. Obecnie programy wymagają zgody użytkownika, aby nałożyć się na inne aplikacje, i muszą prosić o zezwolenie w przypadku takich działań jak wysyłanie SMS-ów oraz wykonywanie połączeń, gdy po raz pierwszy chcą uzyskać do nich dostęp.

Eksperci z Kaspersky Lab wykryli modyfikację trojana Gugi, która potrafi skutecznie obejść te dwie nowe funkcje.

Pierwotna infekcja przy użyciu tego zmodyfikowanego trojana odbywa się za pośrednictwem socjotechniki, zwykle przy pomocy SMS-a, który zachęca użytkowników do kliknięcia szkodliwego odsyłacza. Po instalacji na urządzeniu trojan dąży do uzyskania potrzebnych mu praw dostępu. Gdy jest gotowy, wyświetla następujący komunikat na ekranie użytkownika: „Potrzebne są dodatkowe prawa w celu pracy z grafiką i oknami”. Istnieje tylko jeden przycisk: „Zezwól”.

Gdy użytkownik kliknie ten przycisk, pojawia się ekran z prośbą o autoryzowanie nałożenia się na aplikację. Po otrzymaniu zgody trojan zablokuje ekran urządzenia, wyświetlając na nim komunikat z prośbą o udzielenie praw „administratora urządzenia”, a następnie poprosi o pozwolenie na wysyłanie i przeglądanie SMS-ów oraz wykonywanie połączeń telefonicznych.

Jeśli trojan nie uzyska wszystkich potrzebnych zezwoleń, całkowicie zablokuje zainfekowane urządzenie. W takiej sytuacji jedyną opcją użytkownika jest ponowne uruchomienie urządzenia w bezpiecznym trybie i próba odinstalowania trojana – działanie, które będzie utrudnione, jeśli szkodnik zdobył już prawa „administratora urządzenia”.

Poza opisanymi możliwościami obejścia zabezpieczeń oraz kilkoma innymi funkcjami Gugi to typowy trojan bankowy, który kradnie finansowe dane uwierzytelniające, SMS-y oraz kontakty, wysyła żądania USSD i SMS-y zgodnie z poleceniami serwera kontrolowanego przez cyberprzestępców. 93% użytkowników zaatakowanych przez trojana Gugi znajduje się w Rosji, jednak liczba jego ofiar wzrasta – w pierwszej połowie sierpnia 2016 r. była ona dziesięciokrotnie wyższa niż w kwietniu 2016 r.

„Cyberbezpieczeństwo to niekończący się wyścig. Twórcy systemów operacyjnych, takich jak Android, nieustannie uaktualniają funkcje bezpieczeństwa, aby utrudnić życie cyberprzestępcom i zapewnić większe bezpieczeństwo klientom. Z kolei cyberprzestępcy nie ustępują w próbach obejścia zabezpieczeń, podczas gdy branża bezpieczeństwa równie ciężko pracuje nad tym, aby działania atakujących się nie powiodły. Dobrym tego przykładem jest wykrycie zmodyfikowanego trojana Gugi. Ujawniając to zagrożenie, możemy je zneutralizować i pomóc w zabezpieczeniu ludzi, ich urządzeń i danych” – powiedział Roman Unuchek, starszy analityk szkodliwego oprogramowania, Kaspersky Lab.

Rodzina Trojan-Banker.AndroidOS.Gugi znana jest od grudnia 2015 r. Modyfikacja Trojan-Banker.AndroidOS.Gugi.c została po raz pierwszy wykryta w czerwcu 2016 r. Produkty firmy Kaspersky Lab wykrywają wszystkie modyfikacje trojanów z rodziny Gugi.