טרויאני בנקאי חדש לאנדרואיד מתחזה לאפליקציית IPTV ומנטרל את Google Play Protect

חברת האבטחה Group-IB פרסמה ב-23 בספטמבר מחקר על RemControl, טרויאני בנקאי חדש לאנדרואיד. הוא מתחזה לאפליקציית צפייה בערוצי טלוויזיה. הוא משתלט על הטלפון כדי לגנוב קודים של אפליקציות בנק. לפי החוקרים, RemControl כבר מכוון ללקוחות של מעל 30 מוסדות פיננסיים באירופה, בקנדה ובמדינות המפרץ. המפעילים מוכרים אותו כשירות לכל מי שמוכן לשלם.

עמוד Play מזויף, VPN מקומי וחתימה חדשה: ההסוואה של RemControl

נקודת הפתיחה היא עמוד שנראה כמו חנות Google Play. העמוד מציע להוריד את TVTap, אפליקציית IPTV שבכלל לא קיימת בחנות הרשמית. IPTV היא צפייה בערוצי טלוויזיה דרך האינטרנט. בקמפיין אחד שכוון לאיטליה מצאה Group-IB שישה אתרי הפצה. האתרים הגישו את הקובץ רק למכשירים ניידים עם כתובת IP איטלקית. בעמודים יש שני קודי Meta Pixel. זה מרמז שהמפעילים קונים מודעות בפייסבוק ובאינסטגרם כדי להביא אליהם קורבנות.

אחרי ההורדה, אפליקציית ההתקנה מציגה מסך ״עדכון״ מזויף ומבקשת הרשאת VPN. מטרת ה-VPN הזה אינה פרטיות. הוא חוסם את התעבורה של אפליקציית Google Play עצמה. כך Play Protect, מנגנון הסריקה המובנה של Google, לא מצליח לבדוק את ההתקנה בזמן אמת. בנוסף, הנוזקה יוצרת על המכשיר מפתח חתימה חדש בכל התקנה, כך שלכל עותק יש תעודה אחרת. זה מנטרל כלי אבטחה שמזהים נוזקות לפי טביעת אצבע של הקובץ או של התעודה.

מה RemControl עושה אחרי הרשאת הנגישות

הצעד הקריטי הוא בקשה להפעיל את Accessibility Service, שירות הנגישות של אנדרואיד. מטרת השירות לעזור לאנשים עם מוגבלויות להפעיל את הטלפון. מי שמקבל את ההרשאה הזאת יכול לקרוא את כל מה שמופיע על המסך וללחוץ במקום המשתמש.

עם ההרשאה, RemControl מציג מסכי התחברות מזויפים מעל אפליקציות הבנק. הוא אוסף קודים, סיסמאות לבנקאות בנייד ותאריכי תפוגה של כרטיסים. הוא גם מצלם את המסך באופן רציף ומתעד הקלדות ולחיצות בכל האפליקציות. המפעיל יכול להקיש ולהחליק מרחוק. בנוסף, RemControl לוכד את תבנית פתיחת המסך בממשקים של עשרה יצרני מכשירים שונים. כשהמשתמש מנסה להסיר אותו, הוא מסיט אותו מהמסכים האלה. אותו דבר קורה כשהמשתמש מנסה לבטל את הרשאת הנגישות או לאפס את המכשיר.

המפעילים מסתירים את כתובת שרת השליטה בהודעות שמוצפנות בשני ערוצי טלגרם ציבוריים. כך הם יכולים להחליף שרתים בלי לשחרר גרסה חדשה. לוח הבקרה שנחשף לחוקרים כולל עורך תבניות למסכים מזויפים. הוא כולל גם מערכת שמייצרת גרסה ייחודית לכל ״שותף״. לפי Help Net Security, המפעיל יכול לשנות את רשימת הבנקים המותקפים בכל רגע. Group-IB מצאה גם סימנים לכך שמפתחים כתבו חלק מהקוד בעזרת AI. אחד המסכים המזויפים אפילו כולל תשובה שלמה של עוזר AI ששכחו בתוכו.

למה זה רלוונטי גם למשתמשים בישראל

ישראל לא מופיעה ברשימת היעדים שזוהו. אבל שלושה מרכיבים בסיפור מוכרים מאוד גם כאן. הראשון הוא אפליקציות IPTV שמתקינים מחוץ לחנות הרשמית. השני הוא מודעות ממומנות ברשתות החברתיות שמובילות להורדות. השלישי הוא בקשות להרשאת נגישות. במודל של נוזקה כשירות, הוספת בנק חדש היא עניין של תבנית מסך נוספת. לכן כדאי להתייחס לשיטה עצמה, ולא רק לרשימת המדינות הנוכחית.

עוד ב-GEEKLIK: Microsoft השביתה את EvilTokens: שירות פישינג עם צ׳טבוט AI שפרץ ל-12,000 תיבות דואר