EventBot е нов зловреден софтуер за Android, който краде данни за онлайн банкиране, пароли и кодове за двуфакторно удостоверяване. Откриха го изследователи от Cybereason, а към края на април 2020 г. в Google Play не е виждан.
Накратко
- EventBot се маскира като познати приложения и краде банкови данни, пароли за криптовалути и кодове за 2FA.
- Чете известия и записва натисканията по екрана, за да види какво правите.
- Кодът се обновява на всеки няколко дни – зловредният софтуер още се разработва.
- Защита: инсталирайте приложения само от надеждни магазини и не давайте излишни права.
Какво прави EventBot
Android е най-разпространената мобилна операционна система, затова хакерите насочват вниманието си натам. Cybereason описва EventBot като нов банков троянец. Той краде банкова информация, ключове на криптопортфейли и кодове за двуфакторно удостоверяване.
Приложението се представя за нещо познато, като Adobe Acrobat Reader или софтуер на Microsoft, и тихо събира информация за ползването на телефона. След като се инсталира, получава достъп до данни на устройството. Целите включват приложения като PayPal, Coinbase, Binance и CapitalOne.
Защо експертите са притеснени
Най-вече заради качеството на кода. „Разработчикът зад EventBot инвестира много време и ресурси в създаването на кода, а нивото на усъвършенстване и възможности е наистина високо“, каза Асаф Дахан, ръководител на проучването на заплахите в Cybereason.
Зловредният софтуер записва докосванията на екрана и натискането на клавиши. Чете известията от други приложения, така че нападателите виждат какво се случва на телефона на жертвата. С времето прехвърля събраните пароли към сървъра им.
Как се „закача“ за телефона
Според изследователите EventBot злоупотребява с функциите за достъпност на Android. Те са създадени да помагат на хора със затруднения, затова имат широк достъп до това, което се показва на екрана. Ако потребителят ги разреши на фалшиво приложение, то може да чете съдържанието на екрана, да следи кои програми се отварят и да имитира докосвания.
Именно така зловредният софтуер вижда банкови формуляри, пароли и кодове за потвърждение, дори когато те са защитени с двуфакторно удостоверяване. Според Cybereason целите са над 200 финансови приложения, сред които банки и криптоборси от различни държави.
Затова най-важният момент е разрешението за достъпност. Ако непознато приложение го поиска, откажете и го премахнете.
Все още в разработка
Изследователите са наблюдавали EventBot няколко седмици след откриването му през март. За това време кодът се актуализира на всеки няколко дни и получава нови злонамерени функции. В един момент авторите подобряват и шифроването при връзката със сървъра.
Добавена е и функция, която може да вземе кода за заключване на екрана. Така зловредният софтуер вероятно ще получи по-големи привилегии – например да извършва плащания и да променя системни настройки.
Cybereason твърди, че засега не е виждала EventBot в Google Play и не го е засичала в активни кампании. Това е добра новина, но кодът очевидно се развива, а за потребителите е важно да са предпазливи.
Как да се пазите
Съветът на изследователите е да избягвате ненадеждни приложения от сайтове и магазини на трети страни. Много от тях не проверяват приложенията си за зловреден софтуер. Дори официалните магазини не са гаранция, затова гледайте какви права иска всяко приложение.
Подозрително е, ако приложение за четене на PDF иска достъп до известията или до функциите за достъпност. Вижте нашата статия за 15 антивирусни приложения, които искат опасни права. Ползвайте и сигурни пароли – най-слабите пароли са лесна плячка.
Допълнително четиво: как да защитите личните си данни и колко години обновления получава телефонът ви. Старите версии на Android са по-лесна цел за такъв зловреден софтуер.
Тази статия е публикувана първоначално в СмартМакс на 30 април 2020 г. и е възстановена от архива на сайта. Информацията отразява известното към датата на публикуване.
