Android: Νέος ιός αντικαθιστά την εφαρμογή της τράπεζάς σου!

Μέχρι σήμερα, ένας από τους πιο γνωστούς τρόπους με τους οποίους οι hackers έκλεβαν τραπεζικούς κωδικούς στο Android ήταν να εμφανίζουν μια ψεύτικη οθόνη σύνδεσης. Τώρα, όμως, ένα νέο malware πηγαίνει την απάτη ένα βήμα παραπέρα: μπορεί να αντικαταστήσει την ίδια την τραπεζική εφαρμογή με μια τροποποιημένη έκδοση.

Ονομάζεται Hirudo και, σύμφωνα με την έρευνα της εταιρείας κυβερνοασφάλειας ThreatFabric, αποτελεί μια ιδιαίτερα ανησυχητική εξέλιξη στις επιθέσεις εναντίον χρηστών Android.

Το πιο επικίνδυνο χαρακτηριστικό του είναι ότι δεν προσπαθεί απλώς να σε πείσει να πληκτρολογήσεις τους κωδικούς σου σε μια απομίμηση. Στοχεύει την εφαρμογή που ήδη γνωρίζεις και εμπιστεύεσαι.

Και αυτό αλλάζει σημαντικά τον τρόπο με τον οποίο πρέπει να αντιμετωπίζουμε την ασφάλεια των τραπεζικών συναλλαγών από το κινητό μας.

Τι είναι το Hirudo και γιατί ανησυχούν οι ερευνητές;

Το Hirudo είναι κακόβουλο λογισμικό για Android που στοχεύει κυρίως τραπεζικές εφαρμογές και ευαίσθητα δεδομένα χρηστών.

Ανήκει στην ευρύτερη κατηγορία των banking trojans, δηλαδή προγραμμάτων που δημιουργούνται με σκοπό την υποκλοπή τραπεζικών πληροφοριών ή τη διευκόλυνση οικονομικής απάτης.

Η ουσιαστική διαφορά βρίσκεται στον τρόπο λειτουργίας του.

Πολλά γνωστά τραπεζικά malware χρησιμοποιούν τεχνικές overlay. Όταν ο χρήστης ανοίγει την εφαρμογή της τράπεζάς του, εμφανίζεται μια ψεύτικη φόρμα σύνδεσης πάνω από την πραγματική εφαρμογή.

Ο χρήστης νομίζει ότι βρίσκεται στο ασφαλές περιβάλλον της τράπεζας, πληκτρολογεί τα στοιχεία του και αυτά καταλήγουν στους επιτιθέμενους.

Το Hirudo ακολουθεί διαφορετική προσέγγιση.

Σύμφωνα με τα ευρήματα που παρουσιάζει το BleepingComputer, μπορεί να χρησιμοποιήσει μια τροποποιημένη έκδοση της γνήσιας τραπεζικής εφαρμογής, αντικαθιστώντας την εγκατεστημένη εφαρμογή στη συσκευή.

Αυτό σημαίνει ότι η απειλή δεν περιορίζεται στην εμφάνιση ενός ψεύτικου παραθύρου.

Πώς το Hirudo αντικαθιστά την πραγματική τραπεζική εφαρμογή;

Για να καταλάβουμε γιατί αυτή η τεχνική είναι τόσο επικίνδυνη, πρέπει να δούμε πώς λειτουργούν οι εφαρμογές Android.

Κάθε εφαρμογή διανέμεται ως πακέτο εγκατάστασης, συνήθως APK, το οποίο περιλαμβάνει τον κώδικα και τα απαραίτητα αρχεία της.

Στην περίπτωση του Hirudo, οι επιτιθέμενοι χρησιμοποιούν τροποποιημένες εκδόσεις πραγματικών τραπεζικών εφαρμογών.

Οι εκδόσεις αυτές μπορούν να διατηρούν μεγάλο μέρος της αρχικής λειτουργικότητας, ενώ παράλληλα περιλαμβάνουν κακόβουλες τροποποιήσεις.

Το αποτέλεσμα είναι ιδιαίτερα ύπουλο.

Ο χρήστης μπορεί να βλέπει ένα γνώριμο περιβάλλον, με χαρακτηριστικά που μοιάζουν με εκείνα της πραγματικής εφαρμογής της τράπεζάς του.

Στο παρασκήνιο, όμως, η τροποποιημένη έκδοση μπορεί να συλλέγει ευαίσθητες πληροφορίες.

Δεν μπορεί απλώς να αντικαταστήσει οποιαδήποτε εφαρμογή χωρίς περιορισμούς

Υπάρχει εδώ μια σημαντική τεχνική λεπτομέρεια.

Το Android διαθέτει μηχανισμούς ελέγχου ψηφιακών υπογραφών που εμποδίζουν μια εφαρμογή με διαφορετική υπογραφή να εγκατασταθεί κανονικά ως ενημέρωση μιας ήδη εγκατεστημένης εφαρμογής.

Επομένως, η αντικατάσταση δεν σημαίνει ότι οποιοδήποτε κακόβουλο APK μπορεί αυτομάτως να αντικαταστήσει μια νόμιμη τραπεζική εφαρμογή.

Η επίθεση πρέπει να ξεπεράσει συγκεκριμένα εμπόδια εγκατάστασης, αξιοποιώντας την τεχνική που εφαρμόζει το malware και τις ενέργειες ή τα δικαιώματα που καταφέρνει να αποκτήσει.

Αυτή η διάκριση έχει σημασία, γιατί διαφορετικά δημιουργείται η λανθασμένη εντύπωση ότι όλες οι συσκευές Android μπορούν να παραβιαστούν αυτόματα.

Τι μπορεί να κλέψει το Hirudo από το κινητό σου;

Οι δυνατότητες που περιγράφονται στην έρευνα αφορούν ιδιαίτερα ευαίσθητες πληροφορίες.

Μεταξύ αυτών βρίσκονται στοιχεία σύνδεσης σε τραπεζικές υπηρεσίες, PIN, μηνύματα και πληροφορίες της συσκευής.

Ανάλογα με τα δικαιώματα που διαθέτει το κακόβουλο λογισμικό και τις δυνατότητες της τροποποιημένης εφαρμογής, τέτοια δεδομένα μπορούν να αξιοποιηθούν για οικονομική απάτη ή περαιτέρω παραβίαση λογαριασμών.

Ιδιαίτερη σημασία έχουν οι κωδικοί μίας χρήσης, γνωστοί ως OTP, οι οποίοι χρησιμοποιούνται συχνά ως πρόσθετος μηχανισμός επιβεβαίωσης.

Ωστόσο, η υποκλοπή ενός OTP δεν σημαίνει απαραίτητα ότι ένας επιτιθέμενος μπορεί να ολοκληρώσει οποιαδήποτε τραπεζική συναλλαγή. Οι τράπεζες εφαρμόζουν διαφορετικούς μηχανισμούς ελέγχου, όπως επιβεβαίωση συγκεκριμένης συναλλαγής και σύνδεση της έγκρισης με αξιόπιστη συσκευή.

Αυτό που κάνει την απειλή σοβαρή είναι ο συνδυασμός πρόσβασης σε ευαίσθητα δεδομένα και παραποίησης ενός περιβάλλοντος που ο χρήστης θεωρεί αξιόπιστο.

Ποιες τράπεζες και χώρες βρίσκονται στο στόχαστρο;

Μέχρι στιγμής, η δραστηριότητα του Hirudo έχει εντοπιστεί κυρίως σε τραπεζικές εφαρμογές της Ινδονησίας, ενώ υπάρχουν αναφορές για στόχευση χρηματοπιστωτικών οργανισμών και σε άλλες χώρες.

Δεν έχει επιβεβαιωθεί στόχευση ελληνικών τραπεζών, ούτε υπάρχουν στα στοιχεία που εξετάζουμε αποδείξεις ότι το συγκεκριμένο malware έχει χρησιμοποιηθεί εναντίον πελατών ελληνικών χρηματοπιστωτικών ιδρυμάτων.

Αυτό δεν σημαίνει ότι οι χρήστες στην Ελλάδα πρέπει να αγνοήσουν το θέμα.

Οι τεχνικές που χρησιμοποιούνται από ένα banking trojan μπορούν να επαναχρησιμοποιηθούν, να τροποποιηθούν ή να προσαρμοστούν για διαφορετικές αγορές.

Επομένως, το σημαντικότερο δεν είναι μόνο ποιες τράπεζες στοχοποιούνται σήμερα, αλλά και τι αποκαλύπτει αυτή η επίθεση για την εξέλιξη των απειλών στο mobile banking.

Πώς μπορεί να μολυνθεί ένα Android κινητό;

Η ύπαρξη του Hirudo δεν σημαίνει ότι το κινητό σου κινδυνεύει απλώς επειδή χρησιμοποιείς μια τραπεζική εφαρμογή.

Για να λειτουργήσει μια τέτοια επίθεση, πρέπει πρώτα να υπάρξει κάποια μορφή αρχικής παραβίασης ή εγκατάστασης κακόβουλου λογισμικού.

Συνηθισμένες διαδρομές διανομής Android malware είναι τα παραπλανητικά μηνύματα που οδηγούν σε εγκατάσταση APK, οι ψεύτικες ενημερώσεις εφαρμογών και τα μη αξιόπιστα καταστήματα εφαρμογών.

Αυτές είναι γενικές τεχνικές διανομής και δεν πρέπει να θεωρούνται όλες επιβεβαιωμένες μέθοδοι εξάπλωσης του Hirudo.

Ένα από τα συχνότερα λάθη είναι η εγκατάσταση εφαρμογής επειδή κάποιος σύνδεσμος ισχυρίζεται ότι πρόκειται για υποχρεωτική ενημέρωση της τράπεζας.

Οι επιτιθέμενοι εκμεταλλεύονται την αίσθηση επείγοντος, παρουσιάζοντας την εγκατάσταση ως απαραίτητη ενέργεια για να μη μπλοκαριστεί ένας λογαριασμός.

Και κάπως έτσι, μια φαινομενικά απλή ενημέρωση μπορεί να εξελιχθεί σε σοβαρό πρόβλημα.

Πώς να προστατεύσεις τις τραπεζικές εφαρμογές στο Android

Δεν χρειάζεται να σταματήσεις να χρησιμοποιείς mobile banking. Χρειάζεται, όμως, να είσαι πιο προσεκτικός με τις εφαρμογές που εγκαθιστάς και τα δικαιώματα που παραχωρείς.

Κατέβαζε τραπεζικές εφαρμογές μόνο από αξιόπιστες πηγές

Για τους περισσότερους χρήστες, η ασφαλέστερη επιλογή είναι το επίσημο Google Play Store, ακολουθώντας και τις οδηγίες της ίδιας της τράπεζας.

Απόφυγε APK που αποστέλλονται μέσω SMS, email ή εφαρμογών ανταλλαγής μηνυμάτων, ακόμη κι αν φαίνεται ότι προέρχονται από τραπεζικό οργανισμό.

Διατήρησε ενεργό το Google Play Protect

Το Google Play Protect πραγματοποιεί ελέγχους για δυνητικά επιβλαβείς εφαρμογές.

Δεν εγγυάται ότι θα εντοπίσει κάθε νέα απειλή, αλλά αποτελεί ένα σημαντικό επιπλέον επίπεδο προστασίας.

Πρόσεχε τα δικαιώματα προσβασιμότητας

Τα Android Accessibility Services έχουν απολύτως νόμιμες και χρήσιμες λειτουργίες, ιδιαίτερα για ανθρώπους με αναπηρίες.

Ωστόσο, έχουν χρησιμοποιηθεί και από κακόβουλο λογισμικό για παρακολούθηση ή χειρισμό ενεργειών στη συσκευή.

Μην ενεργοποιείς τέτοιες άδειες για άγνωστες εφαρμογές χωρίς να γνωρίζεις ακριβώς γιατί τις χρειάζονται.

Ενημέρωνε το Android και τις εφαρμογές σου

Οι ενημερώσεις ασφαλείας διορθώνουν γνωστά κενά και περιορίζουν τις δυνατότητες εκμετάλλευσής τους.

Ένα ενημερωμένο κινητό δεν είναι άτρωτο, αλλά είναι σαφώς προτιμότερο από μια συσκευή που έχει μείνει μήνες χωρίς διορθώσεις ασφαλείας.

Χρησιμοποίησε επιπλέον μηχανισμούς επιβεβαίωσης

Ενεργοποίησε τις διαθέσιμες ειδοποιήσεις συναλλαγών και τις πρόσθετες επιλογές προστασίας που παρέχει η τράπεζά σου.

Είναι σημαντικό να ελέγχεις όχι μόνο ότι εμφανίζεται αίτημα έγκρισης, αλλά και ότι τα στοιχεία της συναλλαγής είναι ακριβώς εκείνα που αναγνωρίζεις.

Πώς καταλαβαίνεις ότι κάτι δεν πάει καλά;

Δεν υπάρχει ένα και μοναδικό σύμπτωμα που να αποδεικνύει μόλυνση από το Hirudo.

Ωστόσο, μια τραπεζική εφαρμογή που εξαφανίζεται ξαφνικά, ζητά απροσδόκητα επανεγκατάσταση ή εμφανίζει ασυνήθιστα αιτήματα δικαιωμάτων χρειάζεται προσοχή.

Το ίδιο ισχύει για ανεξήγητες εγκρίσεις συναλλαγών, ειδοποιήσεις σύνδεσης από άγνωστες συσκευές ή αλλαγές σε ρυθμίσεις ασφαλείας που δεν πραγματοποίησες.

Κανένα από αυτά τα σημάδια δεν αποδεικνύει από μόνο του παρουσία συγκεκριμένου malware.

Είναι, όμως, αρκετός λόγος για να ελέγξεις την κατάσταση.

Τι πρέπει να κάνεις αν υποψιάζεσαι μόλυνση;

Εάν θεωρείς ότι η τραπεζική εφαρμογή σου έχει παραβιαστεί, μην επιχειρήσεις να πραγματοποιήσεις δοκιμαστικές συναλλαγές για να διαπιστώσεις αν λειτουργεί.

Χρησιμοποίησε μια διαφορετική, αξιόπιστη συσκευή για να επικοινωνήσεις με την τράπεζά σου μέσω των επίσημων καναλιών της.

Ζήτησε έλεγχο πρόσφατων κινήσεων και, εφόσον χρειάζεται, προσωρινό περιορισμό της πρόσβασης ή των συναλλαγών.

Άλλαξε τους κωδικούς σου από καθαρή συσκευή και έλεγξε τους λογαριασμούς που ενδέχεται να έχουν επηρεαστεί.

Εάν επιβεβαιωθεί σοβαρή μόλυνση, μπορεί να απαιτηθεί πλήρης επαναφορά της συσκευής και προσεκτική επανεγκατάσταση εφαρμογών από αξιόπιστες πηγές.

Η απλή διαγραφή μιας ύποπτης εφαρμογής δεν πρέπει να θεωρείται πάντοτε αρκετή.

Το πραγματικό πρόβλημα με το Hirudo

Κατά τη γνώμη μου, η πιο ανησυχητική πλευρά αυτής της υπόθεσης δεν είναι μόνο η δυνατότητα υποκλοπής κωδικών.

Είναι ότι οι επιθέσεις γίνονται ολοένα πιο δύσκολες να αναγνωριστούν από έναν συνηθισμένο χρήστη.

Όταν μια εφαρμογή μοιάζει, συμπεριφέρεται και λειτουργεί σε μεγάλο βαθμό όπως η πραγματική, η οπτική αναγνώριση δεν αρκεί πλέον ως μέτρο ασφάλειας.

Το Hirudo αποτελεί μια υπενθύμιση ότι η προστασία των τραπεζικών συναλλαγών δεν εξαρτάται μόνο από το πόσο ισχυρός είναι ο κωδικός μας.

Εξαρτάται και από το κατά πόσο μπορούμε να εμπιστευτούμε το λογισμικό που χρησιμοποιούμε για να τον πληκτρολογήσουμε.

Και σε μια εποχή όπου σχεδόν όλες οι οικονομικές μας συναλλαγές περνούν από το smartphone, αυτή η λεπτομέρεια μόνο μικρή δεν είναι.

Συχνές ερωτήσεις για το Hirudo

Μπορεί το Hirudo να μολύνει όλα τα Android κινητά;

Το Hirudo στοχεύει συσκευές Android, αλλά η επιτυχία μιας επίθεσης εξαρτάται από τις συνθήκες εγκατάστασης, τα δικαιώματα και τους μηχανισμούς ασφαλείας της συσκευής.

Κινδυνεύουν οι ελληνικές τράπεζες;

Δεν έχει επιβεβαιωθεί συγκεκριμένη στόχευση ελληνικών τραπεζών από το Hirudo. Η γενική απειλή του τραπεζικού malware, ωστόσο, αφορά και τους Έλληνες χρήστες Android.

Μπορεί να εγκατασταθεί χωρίς να κάνω τίποτα;

Δεν υπάρχουν στοιχεία που να δικαιολογούν τον ισχυρισμό ότι το Hirudo εγκαθίσταται αυτόματα σε οποιαδήποτε ενημερωμένη συσκευή Android χωρίς προϋποθέσεις.

Με προστατεύει το Google Play Protect;

Προσφέρει σημαντική προστασία, αλλά κανένα σύστημα ανίχνευσης δεν εγγυάται απόλυτη ασφάλεια απέναντι σε κάθε νέα απειλή.

Τι κάνω αν πιστεύω ότι έχουν κλαπεί οι τραπεζικοί μου κωδικοί;

Επικοινώνησε αμέσως με την τράπεζά σου, έλεγξε τις συναλλαγές και άλλαξε τους κωδικούς από διαφορετική, αξιόπιστη συσκευή.