Data: Środa, 21 września 2016, 11:46

Mobilny trojan bankowy Gugi - sprytniejszy od zabezpieczeń Androida 6

Eksperci z Kaspersky Lab wykryli modyfikację trojana bankowego Gugi, który potrafi obejść funkcje bezpieczeństwa systemu Android 6 służące do blokowania ataków phishingowych i oprogramowania ransomware. Zmodyfikowany trojan zmusza użytkowników do przekazania mu prawa nakładania się na rzeczywiste aplikacje, wysyłania i przeglądania wiadomości SMS, wykonywania połączeń i innych czynności. Szkodnik rozprzestrzenia się przy użyciu socjotechniki, a jego wykorzystywanie przez cyberprzestępców szybko wzrasta: od kwietnia do początku sierpnia 2016 r. liczba ataków wzrosła dziesięciokrotnie.

Celem trojana Gugi jest kradzież danych uwierzytelniających transakcje bankowości mobilnej poprzez nakładanie narzędzi phishingowych na rzeczywiste aplikacje bankowe oraz przechwytywanie danych dotyczących kart płatniczych przez nakładanie się na Sklep Play firmy Google. Pod koniec 2015 r. pojawiła się 6 wersja systemu Android z nowymi funkcjami bezpieczeństwa, które zostały stworzone z myślą o blokowaniu takich ataków. Obecnie programy wymagają zgody użytkownika, aby nałożyć się na inne aplikacje, i muszą prosić o zezwolenie w przypadku takich działań jak wysyłanie SMS-ów oraz wykonywanie połączeń, gdy po raz pierwszy chcą uzyskać do nich dostęp.

Eksperci z Kaspersky Lab wykryli modyfikację trojana Gugi, która potrafi skutecznie obejść te dwie nowe funkcje.



Pierwotna infekcja przy użyciu tego zmodyfikowanego trojana odbywa się za pośrednictwem socjotechniki, zwykle przy pomocy SMS-a, który zachęca użytkowników do kliknięcia szkodliwego odsyłacza. Po instalacji na urządzeniu trojan dąży do uzyskania potrzebnych mu praw dostępu. Gdy jest gotowy, wyświetla następujący komunikat na ekranie użytkownika: „Potrzebne są dodatkowe prawa w celu pracy z grafiką i oknami”. Istnieje tylko jeden przycisk: „Zezwól”.

Gdy użytkownik kliknie ten przycisk, pojawia się ekran z prośbą o autoryzowanie nałożenia się na aplikację. Po otrzymaniu zgody trojan zablokuje ekran urządzenia, wyświetlając na nim komunikat z prośbą o udzielenie praw „administratora urządzenia”, a następnie poprosi o pozwolenie na wysyłanie i przeglądanie SMS-ów oraz wykonywanie połączeń telefonicznych.
Jeśli trojan nie uzyska wszystkich potrzebnych zezwoleń, całkowicie zablokuje zainfekowane urządzenie. W takiej sytuacji jedyną opcją użytkownika jest ponowne uruchomienie urządzenia w bezpiecznym trybie i próba odinstalowania trojana – działanie, które będzie utrudnione, jeśli szkodnik zdobył już prawa „administratora urządzenia”.

Poza opisanymi możliwościami obejścia zabezpieczeń oraz kilkoma innymi funkcjami Gugi to typowy trojan bankowy, który kradnie finansowe dane uwierzytelniające, SMS-y oraz kontakty, wysyła żądania USSD i SMS-y zgodnie z poleceniami serwera kontrolowanego przez cyberprzestępców. 93% użytkowników zaatakowanych przez trojana Gugi znajduje się w Rosji, jednak liczba jego ofiar wzrasta – w pierwszej połowie sierpnia 2016 r. była ona dziesięciokrotnie wyższa niż w kwietniu 2016 r.