Trojan Flubot podszywa się pod polskie aplikacje bankowe

13 sierpnia, 2021

Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego polskiego sektora finansowego (knf.gov.pl) podaje do informacji, aby uważać na złośliwe wiadomości SMS z linkiem przekierowującym do pobrania aplikacji VoiceMail. Ważną informacją jest to, że plik VoiceMail.apk jest przykrywką dla niebezpiecznego malware, jakim docelowo jest złośliwe oprogramowanie Flubot. Stosuje ono „nakładki” (ang. overlay) na aplikacje bankowe w celu kradzieży danych logowania do bankowego konta internetowego.

Flubot – tak wygląda złośliwa aplikacja po zainstalowaniu.
Flubot – tak wygląda złośliwa aplikacja po zainstalowaniu.

W pierwszym kwartale 2021 roku pracownicy firm antywirusowych Eset, F-Secure oraz Blackberry ostrzegali przed Flubotem, ponieważ celem oszustów były numery kart płatniczych oraz loginy i hasła do kont bankowości elektronicznej użytkowników w Europie i Stanach Zjednoczonych.

Flubot atakuje smartfony z Androidem

W dniu dzisiejszym złośliwe oprogramowania działa identycznie. Zaczyna się od tego, że ofiara otrzymuje wiadomość SMS podszywającą się pod popularną firmę (DHL, Fedex, Pocztę Polską lub inne), a nawet instytucję publiczną (ZUS, Urząd Skarbowy, Profil Zaufany).

W sierpniowej kampanii spamu z linkami do złośliwego oprogramowania oszuści wybrali inną metodę – „na pozostawioną wiadomość na poczcie głosowej” z zamiarem zaserwowania użytkownikom linku internetowego do pobrania, w tym zainstalowania niebezpiecznego programu.

Po zainstalowaniu Flubota otrzymuje ono mnóstwo uprawnień: spamowania SMS-ami do osób z książki adresowej, kradzieży numerów i loginów, odczytywania adresów URL z przeglądarki. Jest po prostu oprogramowaniem szpiegującym.

W dalszej kolejności Flubot podszywa się pod aplikacje bankowe np. IKO, wyświetlając własną nakładkę graficzną nad prawdziwą aplikacją bankową.

Złośliwa aplikacja wyłącza również Google Play Protect, aby uniknąć wykrycia przez wbudowane zabezpieczenia systemu operacyjnego Android. Ze względu na przyznane szerokie uprawnienia cyberprzestępca jest w stanie zablokować instalację wielu rozwiązań anty-malware.

flubot nakladka graficzna na aplikacje bankowa
Szata graficzna „nakładana” na uruchomioną, legalną aplikację bankową.

Rekomendacje bezpieczeństwa

Jedną z najważniejszych zasad bezpieczeństwa jest powstrzymanie się od pobierania aplikacji z niepewnych źródeł i korzystanie wyłącznie z oficjalnego sklepu Google Play. Zaawansowanym użytkownikom można zarekomendować alternatywny sklep F-Droid z otwartymi aplikacjami.

Jeśli więc otrzymasz nieznaną lub nieoczekiwaną wiadomość SMS z łączem internetowym, musisz zachować ostrożność. Najprawdopodobniej będzie to oszustwo. Przy czym uwaga! Niestety dzisiaj taka praktyka jest stosowana przez firmy i instytucje. Powinno się odchodzić od powiadomień SMS, ponieważ ten protokół komunikacyjny nie był projektowany z myślą o bezpieczeństwie. Jest bardzo podatny na manipulacje i podszywanie się pod nadawcę.

W niefortunnym scenariuszu, w którym szkodliwe oprogramowanie zostanie zainstalowane na urządzeniu, a od czasu instalacji będzie miała miejsce aktywność bankowa lub podobna, należy się natychmiast skontaktować z bankiem i powiadomić konsultanta o incydencie. Warto też natychmiastowo zmienić hasła, dezaktywować zaufane urządzenie z aplikacją bankową, włączyć dodatkowe alerty oraz powiadomienia bezpieczeństwa, jeżeli są dostępne.

PODZIEL SIĘ:

Czy ten artykuł był pomocny?

Kliknij na gwiazdkę, aby zagłosować!

Średnia ocena: 0 / 5. Liczba głosów: 0

Jak na razie nikt nie podzielił się opinią.

guest
0 komentarzy
Inline Feedbacks
View all comments

Wyrażam zgodę na przesłanie oferty drogą telefoniczną przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

Wyrażam zgodę na przesłanie oferty drogą mailową przez IT Partners security sp. z o.o. z siedzibą Katowicach ul.Padereskiego 35 na podany przeze mnie adres e-mail zgodnie z ustawą z dnia 10 maja 2018 roku o ochronie danych osobowych (Dz. Ustaw z 2018, poz. 1000) oraz zgodnie z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (RODO).

[ninja_tables id=”27481″]