Co tedy trojské koně skutečně jsou a jak se během let vyvinuly?

Stručná historie trojských koní

Jednu z nejranějších zmínek o termínu „trojský kůň“ v kyberbezpečnostním kontextu najdeme už v roce 1971 v prvním manuálu pro systém Unix, který inspiroval většinu dnešních operačních systémů. Sám název ale sahá historicky mnohem dál, konkrétně zhruba do 8. století př. n. l. k pověsti o trojské válce.

Ta vypráví o lsti, ke které se po 10 letech neúspěšného obléhání Troje uchýlili Řekové. Předstírali, že armáda odplula, a na místě ležení zanechali velikého dřevěného koně. Řecký voják Sinon, který zůstal jako posel, Trojany přesvědčil, že jde o dar, a ti navzdory varování kněze vtáhli koně do vrat. V koni ale byli schování vojáci, kteří v noci vpustili do města zbytek armády a Troju konečně dobyli.

Co je trojský kůň z kybernetického hlediska?

Trojský kůň je souhrnné označení pro vícero typů škodlivého softwaru, které se vydávají za jiné, neškodné soubory (např. programy, aktualizace/patche, e-mailové přílohy v PDF či DOCX, mediální soubory apod.) a jejich cílem je přesvědčit oběť, aby je stáhla a spustila. Tím většinou nainstaluje škodlivý kód v podobě spywaru, ransomwaru nebo klidně i napojení na botnet.

Trojské koně se často hází do jednoho pytle s počítačovými viry, ale jde o různé druhy škodlivého kódu. Trojský kůň se na rozdíl od počítačového viru totiž neumí sám kopírovat a šířit, k tomu vždy potřebuje člověka.

A právě tady většinou vstupuje na scénu sociální inženýrství, tedy soubor taktik, které nás přesvědčí soubor stáhnout a spustit. Trojské koně proto často najdeme jako payload v phishingových útocích.

Nejčastější plemena trojských koní

Phishing ale není zdaleka jediné využití trojských koní. Mezi další typy tohoto škodlivého kódu patří například:

• Downloader. Trojský kůň, jehož jediným účelem je stažení a spuštění dalšího škodlivého kódu do zařízení oběti. Obdobně funguje například i adware, který je často součástí legitimních softwarových balíčků.
• Dropper. Nosič obsahující další škodlivý soubor, který po spuštění „upustí“ a nainstaluje do zařízení.
• Backdoor a trojský kůň pro vzdálený přístup (RAT). Sofistikovanější typ trojského koně, který se skládá hned z několika nástrojů. Jejich funkcí je získat plný přístup do napadeného systému, odesílat a přijímat soubory, zaznamenávat údery na klávesnici (keylogger) či pořizovat snímky obrazovky.
• Packer (taky Crypter nebo Protector). V podstatě „jen“ obal, který má za úkol trojského koně skrýt před antivirem a ztížit jeho analýzu. Packery se používají i jako legální nástroje ke kompresi nebo ochraně softwaru před pirátstvím.
• Trojské koně DDoS a botnet. Tyto trojské koně dělají přesně to, co říká jejich název, tedy využívají napadené zařízení k DDoS útokům nebo vytváření sítě botnetů. Obdobně fungují i trojské koně, které nelegálně instalují software pro cryptomining.
• Bankovní trojský kůň. Pravděpodobně nejnebezpečnější typ, který využívá většinu výše popsaných funkcionalit ke kradení bankovních údajů. Dnes je poměrně vzácný, protože jsou jeho funkce prakticky zaměnitelné s infostealery (např. Agent Tesla), ale patří sem třeba Trickbot nebo Grandoreiro.

Dobrá zpráva je, že trojské koně, které mají za úkol zařízení vyřadit nebo úplně zničit, jsou poměrně vzácné. Špatná zpráva je, že dnešní trojští koně cválají hlavně s infostealery. A umí napáchat pořádné škody.

Jak funguje moderní útok pomocí trojského koně?

Útoky trojských koní stále probíhají zcela bájně. Řekové (kyberzločinci) chtějí dobít Troju (naše zařízení), takže si připraví škodlivý kód zabalený do lákavé návnady a uvěřitelný příběh (trojský kůň a Sinon).

Ačkoliv nás kněz (např. kyberbezpečnostní společnost) opakovaně varuje, koně vtáhneme do vrat (stáhneme a spustíme soubor) a Troja je opět dobytá (naše osobní a bankovní údaje padnou do rukou zločinců, počítač nebo mobil má pod kontrolou malware apod.).

Jak zjistím, že mám v zařízení trojského koně?

Tahle část je trochu komplikovanější, protože napadený systém se často chová jako starší nebo špatně softwarově optimalizované zařízení. Jinými slovy, je pomalejší, programy a aplikace mrznou nebo padají, objevují se notifikace a pop-up okna apod.

Trojské koně ale nenapadají jen počítače s operačním systémem Windows. Běžně napadají i zařízení s Androidem a troufnou si i na iOS a macOS.

• Jak odstranit malware ze zařízení s operačním systémem Android?
• Jak odstranit malware ze zařízení s operačním systémem iOS?
• Jak odstranit malware ze zařízení s macOS? Odpojte zařízení od internetu a spusťte XProtect, který malware identifikuje a izoluje. Zároveň zvažte pořízení antivirového programu třetí strany pro občasnou dodatečnou kontrolu.

Jak se můžu před trojským koněm efektivně ochránit?

Protože trojský kůň je rovným dílem sociální inženýrství i škodlivý kód, efektivní prevence musí zahrnovat nejen kvalitní a komplexní bezpečnostní řešení pro počítač i mobil, ale i dodržování zásad bezpečného pohybu na internetu.

Takže, na co byste neměli nikdy zapomínat?

• Důsledně aktualizujte operační systém a programy/aplikace, které používáte. Doporučujeme si zapnout automatické aktualizace a pokud je to možné, nestahovat je manuálně z různých stránek. Trojský kůň se často schovává v záplatách nebo jako součást balíčků legitimního softwaru.
• Nestahujte nelegální média ani pirátský software. Obezřetní buďte i s freewarem, protože ten může obsahovat nevyžádaný adware, který je vzdáleným příbuzným trojských koní.
• Neklikejte na vyskakovací reklamy, často totiž vedou na napadené webové stránky nebo webové stránky s „drive-by downloads“ (tj. malwarem, který se při návštěvě stránky automaticky stáhne do zařízení uživatele).
• Pravidelně si zálohujte soubory buď na externí disk nebo na cloud. Pokud totiž dojde na nejhorší, budete moct napadené zařízení zformátovat nebo vrátit do továrního nastavení beze strachu, že přijdete o cenná osobní data.
• Neustále se informujte o nových a vznikajících hrozbách, moderních taktikách sociálního inženýrství, využívání nových technologií v phishingu a podobně. Je totiž o dost snadnější vyvarovat se nepříteli, jehož podobu a taktiky známe.

Shrnutí

Trojské koně zastřešují několik druhů malwaru, které často pracují společně. Do zařízení se dostanou většinou za pomoci sociálního inženýrství. Jedním z nejefektivnějších způsobů obrany je ostražitost, informovanost a spolehlivý antivir, který nám pomůže problém včas odhalit a odstranit.

Mohlo by vás zajímat:
👿 Co je sociální inženýrství a jak se před ním bránit?
👿 Kouká nám pod prsty. Co je to keylogger a jak přesně funguje?
👿 Jdou po vašich datech: Co jsou to infostealery?

Adware často nepovažujeme za příliš závažný problém. Rozhodně ale není moudré ho podceňovat. Malware jako je Andreed zahltí telefon nevyžádanou reklamou. Ten bude pomalý a prakticky nepoužitelný. Navíc inzeráty, které adware zobrazuje, často odkazují na phishingové stránky nebo ke stažení dalšího, mnohem nebezpečnějšího škodlivého kódu.

Detekce adwaru Andreed v červenci mírně oslabily. Podle expertů to není překvapivé. Reklamní škodlivý kód se držel na předních příčkách od začátku roku, je tedy pravděpodobné, že už je pro jeho tvůrce velmi složité obcházet se současnou verzí adwaru bezpečnostní aplikace. Nejčastěji se šíří v neoficiálních verzích her, především pak ve hře Car Factory Simulator.

Útočníci šíří škodlivé kódy i přes sociální sítě

V červenci vzrostl objem detekcí v případě malwaru Agent.HQS. Na začátku roku byl přitom detekován v menším počtu případů, větší aktivitu zachytili analytici až v březnu, a také předešlý měsíc. Útočníci jej šíří v pirátské kopii aplikace MX Player, a to pravděpodobně prostřednictvím sociálních platformy Telegram. Jedná se o tzv. dropper.

Tento typ malwaru funguje jako obálka: když si uživatelé nainstalují infikovanou aplikaci, obálka se rozbalí a s ní se nainstaluje i nějaký další škodlivý kód. Podoba dropperů se rychle proměňuje a útočníci mohou škodlivý kód vydávat prakticky za jakoukoli aplikaci. Běžné jsou například škodlivé kódy, které z telefonu sbírají přihlašovací údaje, které je možné na černém trhu velmi lukrativně prodat.

Místo závodní hry malware, který vybílí účet

Dlouhodobě patří mezi nejvážnější rizika pro mobilní zařízení s platformou Android bankovní malware Cerberus. V detekční datech se co do počtu případů stabilně drží na stálých hodnotách. Objem jeho detekcí nicméně od června mírně slábne.

Trojský kůň Cerberus se v červenci šířil prostřednictvím falešných mobilních her, například v závodním simulátoru Fast Car Driving – Street City. Představuje riziko především pro internetové bankovnictví, nikoli pro samotné bankovní aplikace. Má několik funkcionalit typických pro tento typ hrozby. V napadeném zařízení dokáže kontrolovat SMS zprávy a zaznamenávat stisky kláves na klávesnici. Sbírá informace o kontaktech, poloze, aplikacích a další údaje z chytrého telefonu.

Pozor na aplikace z neoficiálních zdrojů

Všechny uvedené hrozby si většinou do zařízení stáhne uživatel nevědomky sám. Zdrojem malwaru jsou totiž převážně aplikace z neoficiálních zdrojů, typicky ze sociálních sítí, fór nebo z neoficiálních a pochybných internetových obchodů s aplikacemi. Často si je ale stáhneme i my sami po kliknutí na nějakou reklamu.

Co na to říkají kyberbezpečnostní experti?

„Uživatelům bych na tomto místě poradil, aby si své aplikace vybírali pečlivě a stahovali je jen na Google Play. To je totiž pro platformu Android jediný oficiální zdroj. Tento obchod všechny aplikace kontroluje a aktivně v nich škodlivé prvky vyhledává, to se samozřejmě o diskuzních fórech nebo veřejných úložištích nedá říct. Nenechte se zlákat tím, že je drahá aplikace někde ke stažení zdarma nebo že je na internetu v beta verzi nová hra. To vše bývají triky podvodníků, jak vás ke stažení infikované aplikace nalákat,“ radí Martin Jirkal z ESETu.

Přítomnost malwaru v chytrém telefonu nemusíme na první pohled poznat. Někdy falešná hra skutečně funguje, jen v pozadí běží škodlivý kód, který například začne s odstupem času zobrazovat reklamu nebo sbírat vaše hesla. Proto bezpečnostní experti doporučují nainstalovat si i do chytrého telefonu bezpečnostní program, který podezřelé chování odhalí. Moderní řešení nabízejí i řadu dalších funkcí, které v důsledku chrání vaše data. Jedním z nich je například správce hesel, který poskytuje bezpečné a šifrované uchovávání přihlašovacích údajů a automaticky hesla doplňuje při přihlášení do našich online účtů.

Nejčastější kybernetické hrozby v České republice pro platformu Android za červenec 2024:

1. Android/Andreed trojan (13,44 %)
2. Android/TrojanDropper.Agent.HQS trojan (8,06 %)
3. Android/Spy.Cerberus trojan (5,11 %)
4. Android/TrojanDropper.Agent.LPT trojan (4,84 %)
5. Android/TrojanDropper.Agent.GKE trojan (4,57 %)
6. Android/Spy.Coe trojan (4,30 %)
7. Android/TrojanDownloader.Agent.KE trojan (2,69 %)
8. Android/Hiddad.SJ trojan (2,69 %)
9. Android/Agent.CZB trojan (2,69 %)
10. Android/Agent.ELC trojan (2,69 %)

Uživatelé řešení ESET jsou před těmito hrozbami chráněni.

Adware Andreed se v Česku každý měsíc šíří prostřednictvím jiných mobilních her. Na tyto aplikace nejčastěji narazíme v obchodech třetích stran a jedná se zpravidla o falešné a nelegitimní verze známých předloh, které jsou na těchto místech nabízeny za výhodných podmínek či zcela zdarma.

Hra může fungovat bez problémů, její součástí je ale adware. Ten pak může zobrazovat agresivní reklamu, zpomalovat chytrý telefon nebo stahovat další škodlivé kódy. V červnu bezpečnostní specialisté objevili adware Andreed nejčastěji ve verzi hry Flower Girls Tamagotchi Anime. Častými zdroji adwaru mohou být i verze her se závodní tématikou či strategické hry.

Co na to říkají kyberbezpečnostní odborníci?

„Uživatelé a uživatelky mohou být někdy v případě varování před adwarem lehkovážnější, protože ho nepovažují za vážnou kybernetickou hrozbu. Rozhodně by ale neměli podceňovat riziko stahování her mimo oficiální obchody s aplikacemi. Jak můžeme totiž vidět, falešné verze her útočníci využívají i v případě šíření bankovního malwaru. A ten již rozhodně nechcete mít ve svém zařízení,“ říká Martin Jirkal z ESETu.

Z Česka zatím nemizí ani bankovní malware

Již před několika měsíci se do Česka znovu vrátil bankovní trojský kůň Cerberus. Mezi detekcemi se objevil také v červnu. I tento malware útočníci šíří prostřednictvím různých verzí herních aplikací. V červnu to byla již dříve detekovaná hra Fast Car Driving – Street City nebo verze kulečníkové hry Pool Stars.

Bankovní malware i adware doplnil v červnu trojský kůň Agent.HQS, který se ve větším počtu detekcí objevil již letos v březnu. Stále se vydává především za pirátskou kopii aplikace MX Player. Šíří se v podobě tzv. dropperu, škodlivého kódu, který funguje jako obálka a škodlivý obsah tak skrytě doručí do cílového zařízení. Podle posledních zjištění bezpečnostních specialistů existuje možnost, že se šíří prostřednictvím sítě Telegram.

Čte naše SMS zprávy a zaznamenává stisky na klávesnici

Návrat bankovního malwaru do Česka a jeho několikaměsíční stabilní přítomnost svědčí podle bezpečnostních expertů o tom, že zvolené strategie útočníků jsou zatím úspěšné. Bankovní trojský kůň je rizikem především pro internetové bankovnictví, nikoli pro samotné bankovní aplikace. I ty by měli uživatelé stahovat ale výhradně z oficiálního obchodu Google Play.

Bankovní malware Cerberus má několik funkcionalit typických pro tento typ hrozby. V napadeném zařízení dokáže kontrolovat SMS zprávy a zaznamenávat stisky kláves na klávesnici. Sbírá informace o kontaktech, poloze, aplikacích a další údaje z chytrého telefonu.

S ohledem na to, že se jedná o již pokročilejší typ hrozby, bychom podle expertů měli využívat bezpečnostní software, který dokáže bankovní malware včas rozpoznat a funguje také jako včasná prevence před jeho různými variantami.

Nejčastější kybernetické hrozby v České republice pro platformu Android za červen 2024:

1. Android/Andreed trojan (17,48 %)
2. Android/Spy.Cerberus trojan (6,76 %)
3. Android/TrojanDropper.Agent.HQS trojan (6,53 %)
4. Android/Spy.Coe trojan (5,36 %)
5. Android/Spy.SpinOk trojan (4,66 %)
6. Android/Agent.CZB trojan (4,43 %)
7. Android/TrojanSMS.Agent.DYW trojan (2,80 %)
8. Android/Spy.Bahamut trojan (2,33 %)
9. Android/Monitor.Traca application (2,10 %)
10. Android/TrojanDropper.Agent.GKW trojan (1,86 %)

Uživatelé řešení ESET jsou před těmito hrozbami chráněni.

ESET HOME Security

Chrání před malwarem, keyloggery a dalšími typy digitálních hrozeb.

VYZKOUŠET

Letní období bývá pro nás jako uživatele obecně více nebezpečné. Vlivem letních dovolených, výletů a více prostoru pro volnočasové aktivity můžeme totiž polevit ve své ostražitosti vůči nástrahám digitálního světa. A kyberbezpečnostní rizika se nevyhýbají ani dětem. Ty budou mít s příchodem prázdnin také větší prostor k tomu, aby povinnosti vyměnily právě například za hraní her.

Adware je pak pro zacílení na děti ideální. Po stažení do zařízení se může chovat velmi nenápadně a projevit se až po čase. Vyskakující agresivní reklamy ale mezitím mohou nabízet uživatelům nebezpečné odkazy. Pokud na ně kliknou, mohou se dostat na nebezpečné a podvodné webové stránky. S příchodem letních prázdnin je tak určitě vhodné děti poučit o těchto rizicích.

Také v květnu se v čele statistiky nadále držel bankovní trojský kůň Cerberus. Ve vyšším počtu detekcí se v Česku začal objevovat před několika měsíci. Stále se šíří především prostřednictvím neoficiální verze hry Fast Car Driving – Street City. Dlouhodobá přítomnost adwaru a opakované detekce trojského koně svědčí o tom, že se zcela evidentně jedná o úspěšné škodlivé kódy, jejichž využívání se útočníkům stále vyplácí.

Zájem o naše data neklesá

Zatímco počet detekcí malwaru Spy.SpinOk s prvky spywaru v květnu znatelně klesl, vystřídal ho na třetím místě statistiky downloader Agent.CZB. Nejvíce případů tohoto škodlivého kódu zachytili bezpečnostní experti 24. května. Uživatelé a uživatelky na něj mohli narazit ve verzi aplikace na malování ibisPaint.

Downloader Agent.CZB stahuje z internetu další škodlivý kód, který pak nepozorovaně dokáže spustit v našem zařízení. Útočníci mohou jeho prostřednictvím pravděpodobně také zobrazovat adware, převzít kontrolu nad telefonem nebo získávat ze zařízení informace.

Léto se pojí s konkrétními typy hrozeb

V obraně před kybernetickými hrozbami je klíčová naše ostražitost v kombinaci s komplexním bezpečnostním softwarem. Kybernetická rizika bychom neměli podceňovat ani v letním období.

A co na to kyberbezpečnostní odborníci?

„Většinou to není tak, že by kyberútočníci v letním období vynakládali více času a energie na vývoj nových hrozeb a nových strategií, přesto je toto období pro uživatele více nebezpečné. Nastává zkrátka více příležitostí pro to, aby se škodlivý kód dostal do jejich zařízení. Kromě neuváženého stahování aplikací z neprověřených obchodů třetích stran a internetových fór se s létem pojí ještě další rizika. Jsou to například veřejné Wi-Fi sítě na letištích, v hotelech a kavárnách, které nejsou dostatečně zabezpečené před zneužitím. Takovému útoku se říká man-in-the-middle, což v češtině znamená člověk uprostřed. Hackeři jeho prostřednictvím dokáží překonat šifrování sítě a odposlouchávat tak naši komunikaci,“ říká Martin Jirkal z ESETu.

V neposlední řadě je toto období ideální pro to, abychom zavedli řeč na téma kybernetické bezpečnosti také s našimi dětmi. Vhodné je jim v základu vysvětlit, s jakými riziky se mohou na internetu setkat a na co si dávat v online prostředí pozor.

Nejčastější kybernetické hrozby v České republice pro platformu Android za květen 2024:

1. Android/Andreed trojan (16,42 %)
2. Android/Spy.Cerberus trojan (8,63 %)
3. Android/Agent.CZB trojan (6,32 %)
4. Android/TrojanDropper.Agent.HQS trojan (4,00 %)
5. Android/Clicker.OZ trojan (3,37 %)
6. Android/Spy.Bahamut trojan (2,95 %)
7. Android/TrojanDropper.Agent.GKW trojan (2,32 %)
8. Android/Spy.SpinOk trojan (2,32 %)
9. Android/FakeApp.ACS trojan (2,11 %)
10. Android/TrojanDropper.Agent.MGC trojan (1,89 %)

Uživatelé řešení ESET jsou před těmito hrozbami chráněni.

Útočníci šíří adware Andreed prostřednictvím falešných verzí známých her, které každý měsíc mění. V březnu se adware nejčastěji skrýval ve falešné verzi hry Interstellar Pilot 2.

Co na to říkají experti

„To, že je adware Andreed tak dlouho v čele naší pravidelné statistiky, svědčí především o tom, že se útočníkům stále vyplácí – tedy že ho uživatelé a uživatelky v Česku stále stahují,“ říká Martin Jirkal z ESETu. „Útočníci se nás opakovaně snaží v případě adwaru Andreed nalákat na hry zdarma, na které narazíme zpravidla v obchodech třetích stran a na internetových úložištích. Nadále však platí, že stahování mimo oficiální obchody a distribuční místa je dnes prakticky vždy zárukou, že kromě hry nebo různých nástrojů stáhneme i škodlivý kód,“ dodává.

Bankovní malware Cerberus je zpět

V letošním březnu se do popředí statistiky dostal po delší odmlce také bankovní malware Cerberus. Podobně, jako adware Andreed, i trojský kůň Cerberus se nejčastěji vyskytoval ve falešných verzích závodních her.

Malware Cerberus v Česku rozhodně není minulostí. Šíří se často prostřednictvím tzv. dropperů, škodlivého kódu, který napodobuje známé nástroje a služby. Rizikem je zejména pro internetové bankovnictví. Podobně jako jiné bankovní trojské koně, i Cerberus dokáže v napadeném zařízení kontrolovat SMS zprávy nebo zaznamenávat stisky kláves na klávesnici. Dokáže ale také sbírat informace o kontaktech, poloze, aplikacích a další údaje přímo ze zařízení.

Podobně, jako v případě trojského koně Cerberus, se v březnu jako dropper šířil i malware Agent.HQS. Vydával se za pirátské kopie aplikací MX Player anebo Ultimate USB. Podle posledních zjištění bezpečnostních specialistů existuje možnost, že se takové aplikace šíří i prostřednictvím sítě Telegram.

Bankovní aplikace a biometrické ověření

V případě obrany před malwarem Cerberus bezpečnostní experti doporučují využívat vždy oficiální aplikace bank a ověřovat všechny operace v aplikaci ideálně pomocí otisků prstů či snímkem obličeje.

Biometrické způsoby ověřování, jako je otisk prstu nebo snímek obličeje, využívání oficiálních bankovních aplikací a nainstalování bezpečnostní aplikace do chytrého mobilního telefonu jsou spolehlivou zárukou toho, že naše přihlašovací i platební údaje zůstanou v bezpečí. Bezpečnostní software nás navíc ochrání i před dalšími kybernetickými hrozbami, včetně adwaru, který občas bývá nesprávně označován za méně škodlivý kód. I reklama vytvořená útočníky nás může odvést na nebezpečné webové stránky, které mohou být zdrojem dalších rizik.

Kromě bezpečnostního softwaru experti doporučují také pravidelně aktualizovat operační systém i všechny aplikace zařízení a maximálně se vyvarovat stahování programů a her mimo obchod Google Play.

Nejčastější kybernetické hrozby v České republice pro platformu Android za březen 2024:

1. Android/Andreed trojan (17,52 %)
2. Android/TrojanDropper.Agent.HQS trojan (6,90 %)
3. Android/Spy.Cerberus trojan (6,19 %)
4. Android/Spy.Agent.DFM trojan (3,89 %)
5. Android/Agent.ELC trojan (3,72 %)
6. Android/TrojanDropper.Agent.IDL trojan (2,65 %)
7. Android/Clicker.JT trojan (2,65 %)
8. Android/Spy.SpinOk trojan (2,65 %)
9. Android/Spy.Bahamut trojan (2,12 %)
10. Android/TrojanDropper.Agent.GKW trojan (1,95 %)

Uživatelé produktů ESET jsou před těmito hrozbami chráněni.

Přítomnost reklamního malwaru neboli adwaru v telefonu se projevuje vyskakováním velkého počtu reklamních oken v aplikaci nebo zpomalováním výkonu zařízení. Adware ale může také sbírat informace o našem chování nebo odkazovat na nebezpečné webové stránky, kde již reálně hrozí, že do zařízení stáhneme daleko nebezpečnější malware.

Falešné aplikace šíří bankovní malware

Ve více než desetině případů objevili bezpečnostní experti v květnu také bankovního trojského koně Spy.Banker.ASS, který se šířil prostřednictvím dropperu Agent.IVA.

Dropper je typ škodlivého kódu, který podobně jako obálka doručí do zařízení skrytě další malware. Méně kvalitní bezpečnostní programy ho tak nemusí vůbec odhalit. Droppery se často maskují za falešné verze známých aplikací a nástrojů a velmi často mění svou podobu.

V květnu se tak v Česku objevila celá řada falešných aplikací. Bankovní malware se ukrýval například v podvodné verzi tureckého přehrávače médií Temel Video Player nebo aplikace od DHL. Dále na něj mohli uživatelé narazit v jedné voicemail aplikaci na posílání hlasových zpráv nebo v aplikaci k ovládání chytrých hodinek.

Spy.Banker.ASS má všechny funkce typické pro bankovní malware. Umí číst SMS zprávy a monitorovat hovory, nahrávat obrazovku zařízení, a tím zaznamenávat naše aktivity. Dokáže získat přístup k uložišti a ke službám usnadnění přístupu. Škodlivý kód pak tyto služby využije k tomu, aby získal všechna ostatní oprávnění.

V okamžiku, kdy bankovní malware infikuje chytrý telefon, nad ním prakticky převezme veškerou kontrolu.

Bankovní malware tak zkrátka zabrání uživatelům v tom, aby mohli škodlivou aplikaci, se kterou malware stáhli, odinstalovat. V konečném důsledku pak bankovní trojský kůň udělá to, k čemu byl určen – odcizí přihlašovací údaje k bankovnímu účtu.

Základem je zabezpečení chytrého telefonu

Bankovní trojské koně jsou dlouhodobě obávanou hrozbou pro platformu Android v Česku. Útočníci je velmi často šíří právě prostřednictvím dropperů a spoléhají se na to, že zneužité názvy známých aplikací, které nabízejí v neoficiálních obchodech zdarma jako součást nějakého balíku dalších programů, nás motivují ke stažení.

Jak se bránit před útokem bankovního malwaru?

1. Používejte pouze oficiální aplikaci své banky.
2. V zařízení využívejte zamykání a potvrzování operací pomocí biometrických údajů – tedy otiskem prstu nebo rozpoznáním obličeje.
3. Stahujte jen aplikace, které opravdu potřebujete, a pouze z oficiálních zdrojů – v případě zařízení s Androidem tedy z obchodu Google Play.
4. Operační systém zařízení i všechny aplikace v něm pravidelně aktualizujte.
5. Mějte také na svém telefonu nainstalovaný bezpečnostní software.

Nejčastější kybernetické hrozby v České republice pro platformu Android za květen 2022:

1. Android/Andreed trojan (33,37 %)
2. Android/TrojanDropper.Agent.IVA trojan (13,96 %)
3. Android/Triada trojan (2,79 %)
4. Android/TrojanDropper.Agent.GKW trojan (2,21 %)
5. Android/TrojanDropper.Agent.JDU trojan (1,97 %)
6. Android/Spy.Cerberus trojan (1,97 %)
7. Android/Spy.Agent.CBT trojan (1,69 %)
8. Android/TrojanDownloader.Agent.WI trojan (1,25 %)
9. Android/TrojanDropper.Agent.IDL trojan (1,11 %)
10. Android/TrojanDropper.Agent.DER trojan (1,11 %)

Uživatelé produktů ESET jsou před těmito hrozbami chráněni.

Agent.IEG přitom ještě v únoru poklesl v detekcích o 47 %, což byl největší propad od doby, kdy se v Česku začal pravidelně objevovat. Trojský kůň Cerberus, který silně dominoval statistikám minulý měsíc, se v březnu objevil pouze v desetině detekovaných případů. Může se ale jednat pouze o přípravu nových útočných kampaní.

Útočníci bankovní malware Cerberus šířili v posledních několika měsících prostřednictvím nelegitimní galerie fotek od Google. V březnu se pak škodlivý kód nejčastěji šířil prostřednictvím dropperu Agent.FAL. Dle bezpečnostních specialistů se jedná o variantu škodlivého kódu, která vznikla teprve minulý měsíc. Do současnosti zatím dropper zvýšil svou aktivitu o 16 %.

Španělský trojský kůň se v březnu objevil i v Česku

Po několika měsících se v Česku mezi nejčastějšími škodlivými kódy opět objevil bankovní trojský kůň Banker.AQN. Primárně se tento malware dosud zaměřoval na španělské finanční instituce. V březnu se šířil prostřednictvím dropperu Agent.IYY.

Pokud Banker.AQN napadne zařízení, umí odcizit nejen informace, jako jsou kontakty, informace o hovorech a SMS, dělat screenshoty či sledovat polohu, ale dokáže také odcizit přihlašovací údaje nebo čísla kreditních karet přímo v bankovní aplikaci.

Banker.AQN dokáže také odcizit přihlašovací údaje nebo čísla kreditních karet přímo v bankovní aplikaci.

Bezpečnostní experti tak doporučují, abychom si k přístupu do svého internetového bankovnictví na zařízeních s operačním systémem Android vždy stahovali pouze oficiální bankovní aplikaci od svého poskytovatele bankovních služeb.

Vsaďte svou bezpečnost na otisk prstu

Kromě využívání oficiální aplikace stažené z důvěryhodného zdroje, jako je v případě systému Android obchod Google Play, je důležité chránit své citlivé údaje přímo v zařízení pomocí vhodně zvoleného zámku a potvrzování svých aktivit, které na zařízení provádíme.

Mimo zámek a potvrzení pomocí gesta nebo hesla je v tuto chvíli rozhodně nejbezpečnější variantou využívání biometrických údajů, jako je rozpoznání obličeje nebo otisk prstu. Zařízení je také důležité chránit kvalitním bezpečnostním programem a všechny aplikace i celý systém zařízení pravidelně aktualizovat na nejvyšší dostupné verze. Aktualizace totiž mimo jiné obsahují opravy chyb z verzí předešlých.

Nejčastější kybernetické hrozby v České republice pro platformu Android za březen 2022:

1. Android/TrojanDropper.Agent.IEG trojan (14,45 %)
2. Android/Spy.Cerberus trojan (10,40 %)
3. Android/Spy.Banker.AQN trojan (7,01 %)
4. Android/Andreed trojan (5,02 %)
5. Android/GriftHorse trojan (4,50 %)
6. Android/TrojanDropper.Agent.GUB trojan (4,34 %)
7. Android/TrojanDropper.Agent.DIL trojan (1,90 %)
8. Android/TrojanDropper.Agent.JDL trojan (1,87 %)
9. Android/TrojanDropper.Agent.GMK trojan (1,85 %)
10. Android/TrojanDropper.Agent.GOF trojan (1,69 %)

Uživatelé produktů ESET jsou před těmito hrozbami chráněni.

Detaily o aktuálním mobilním malware vám shrnul Michal ve video-zpravodaji:

Stalkerware prozradí, s kým si píšete

Nejčastěji jsme detekovali špehovací aplikaci Cerberus (přesněji ji detekujeme jako stalkerware). Ta umožní stalkerovi sledovat na dálku nepozorovaně digitální aktivity jeho oběti. Aplikace je k mání jen mimo oficiální obchod Google Play. K instalaci stačí jen chvilka, kdy se stalker dostane k odemknutému telefonu. Aplikaci Cerberus lze po instalaci skrýt, proto oběť nemá o sledování nejmenší ponětí.

Stalkerware se někdy označuje také jako spouseware – z anglického slova spouse (drahá polovička). Často jej totiž využívají žárliví partneři, aby mohli sledovat online aktivity svých protějšků.

Cerberus umožňuje pomocí SMS příkazů ovládat telefon oběti. Dokáže například zapnout data, přesměrovat telefonát nebo číst zprávy. Právě kvůli těmto funkcím nenajdete aplikaci v oficiálním obchodě Google Play, byť vývojáři aplikaci nabízejí jako nástroj pro nalezení telefonu.

Malware se šíří neoficiálními aplikacemi

Druhým nejvýraznějším rizikem byl trojský kůň Triada. Ten je vytvořený tak, aby manipuloval s platbami v aplikacích. V případě, že si chce uživatel v aplikaci zakoupit vylepšení, Triada přistoupí k platebnímu procesu a přesměruje platbu na účet útočníků.

Triada se šíří aplikacemi z různých fór a dalších neoficiálních zdrojů. Jde o velmi širokou škálu od kancelářských aplikací, přes ty volnočasové, až po doplňky her.

Mobilní malware se vyskytuje nejčastěji jako součást nelegitimní aplikace, které mají jedinou funkci, a to nainstalovat škodlivý kód. Uživatel může nabýt dojmu, že instalační balíček je pouze vadný a mávnout nad situací rukou.

Pomyslný bronz získal dropper Agent.HQQ. Jde o malware, jehož jedinou funkcí je  nainstalovat do telefonu jiný typ škodlivého kódu. V červnu instaloval bankovní malware Cerberus. Ačkoli se bankovní malware jmenuje stejně jako stalkerware na prvním místě detekčního přehledu, jde o jiný typ malware a shoda detekčních jmen je čistě náhodná, protože byly objeveny s odstupem několika let.

Cílem bankovního malware Cerberus je okrást oběti o úspory. Obsahuje funkce pro odečítání přihlašovacích údajů z legitimních webových stránek bank či ke čtení SMS kódů k platbám a obcházení dvoufázového ověření, včetně Google Authenticatoru. Rizikový je především při placení přes internetové bankovnictví, nikoli v bankovní aplikaci.

Jak se před aktuálními hrozbami chránit?

Malware si nejčastěji stahujeme sami v aplikaci z nespolehlivého zdroje. V řadě případů jde o bezplatné verze aplikací, které jsou jinak placené nebo nedostupné. Proto doporučujeme využívat výhradně obchod Google Play, který jeho správci kontrolují a tím je zajištěna vyšší legitimita stažených aplikací.

Na místě je také si do telefonu nainstalovat renomovaný bezpečnostní software, který potenciální riziko včas odhalí. Uživateli to nepřidělává žádné starosti, a zároveň je to nejspolehlivější prevence.

Nejčastější kybernetické hrozby v České republic pro platformu Android za červen 2021:

1. Android/Monitor.Cerberus application (3,47 %)
2. Android/Triada trojan (2,96 %)
3. Android/TrojanDropper.Agent.HQQ trojan (2,69 %)
4. Android/Monitor.Guardian application (2,14 %)
5. Android/Monitor.Traca application (1,70 %)
6. Android/Agent.CLR trojan (1,63 %)
7. Android/Rootnik trojan (1,43 %)
8. Android/TrojanDropper.Agent.DER trojan (1,36 %)
9. Android/TrojanDropper.Agent.GUW trojan(1,29 %)
10. Android/Monitor.Androidlost application (1,22 %)

Uživatelé produktů ESET jsou proti těmto hrozbám chráněni.  

Přehled hrozeb pro vás shrnul Michal ve videu:

Bankovní trojský kůň Cerberus šíří různé aplikace, které označujeme jako droppery. Dropper je typ malware, který si uživatel nainstaluje nevědomky s neprověřenou aplikací. Po spuštění aplikace se rozbalí další škodlivý kód. To je také důvod, proč samotný Cerberus nevidíme v přehledu detekcí. Bezpečnostní programy totiž detekují už tyto droppery.

Malware typu dropper má jediný úkol: spustit jiný mnohem škodlivější malware.

Cerberus ohrožuje internetové bankovnictví

Bankovní trojský kůň Cerberus není nic nového. Dlouho ale nepředstavoval výraznější problém. V létě 2020 jeho původní tvůrci ukončili činnost a kód k tomuto malware zveřejnili na darknetu ke stažení. Kvůli tomu se stává čím dál vážnějším rizikem v celé Evropě.

Cerberus je určený k okradení uživatele. Jeho funkcí je například odečítání přihlašovacích údajů z legitimních webových stránek bank a odesílat je útočníkům, číst SMS kódy a obcházet dvou fázové ověření, včetně Google Authenticatoru.

Cerberus ohrožuje internetové bankovnictví. Pokud využíváte aplikaci, jsou vaše finance v bezpečí.

Bankovní trojský kůň Cerberus se šíří řadou různých aplikací, které nejde zařadit do žádné jednotné kategorie. Všechny nicméně pocházejí z neoficiálních zdrojů a služeb na nelegální sdílení aplikací.

Pozor na stalkerware a adware

Na druhé příčce naší statistiky skončil také Cerberus. V tomto případě se ale jedná o stalkerware. Jde o stejnojmennou aplikaci, která slouží ke špehování obětí. Stalkerware Cerberus umožní ovládat telefon na dálku pomocí SMS příkazů.

Stalker tak může zapnout Wi-Fi, přesměrovat hovory, zobrazit SMS nebo ukázat přesnou polohu zařízení. Navíc je možné aplikaci v zařízení skrýt. Kombinaci těchto funkcí lze považovat za rizikovou, proto tuto aplikaci není možné stáhnout z oficiálního obchodu s aplikacemi Google Play.

Na třetí příčce se umístil malware Triada. Tento trojský kůň v Česku především zobrazuje nevyžádanou reklamu. V zahraničí ale existují i verze s funkcemi pro obcházení zabezpečení plateb.

Jak ochránit smartphone před aktuálními hrozbami

Ve většině případů si uživatel stáhne malware do svého telefonu sám pomocí aplikace z neoficiálního zdroje. Infekci se dá snadno předcházet. Doporučujeme stahovat aplikace jen z oficiálního obchodu Google Play a používat renomovaný bezpečnostní software, který bezpečnostní riziko včas odhalí. Tím se riziko nákazy zařízení sníží.

Nejčastější kybernetické hrozby pro Android za únor 2021

1. Android/TrojanDropper.Agent.EHK trojan (12,25 %)
2. Android/Monitor.Cerberus application (3,44 %)
3. Android/Triada trojan (2,52 %)
4. Android/TrojanDropper.Agent.HAC trojan (1,95 %)
5. Android/Monitor.Guardian application (1,63 %)
6. Android/TrojanDropper.Agent.DKT trojan (1,19 %)
7. Android/TrojanDropper.Agent.FHG trojan (1,19 %)
8. Android/TrojanDropper.Agent.FIS trojan (1,11 %)
9. Android/TrojanDropper.Agent.GQX trojan (1,11 %)
10. Android/Spy.Agent.AZH trojan (1,08 %)

Uživatelé bezpečnostních produktů ESET jsou před těmito hrozbami chráněni.