Na základě naší interní analýzy můžeme říci, že původně legitimní aplikace byla tzv. ztrojanizovaná.

To znamená, že po jedné z posledních aktualizací se z QRecorderu stal tzv. trojský kůň. Ten umožňuje útočníkům stáhnout do chytrého telefonu s operačním systémem Android nebezpečný obsah, což se také stalo.

Analýza tohoto škodlivého kódu stále pokračuje

Prozatím jsme zjistili, že malware v telefonu čeká na zašifrovaný příkaz z tzv. C&C serveru útočníka, na základě kterého vykoná požadovanou aktivitu.

• V první fázi škodlivý kód zjišťuje, zda jsou v telefonu aplikace, které mohou být pro útočníky zpeněžitelné.
• Následně je do telefonu stažen modul, který vytvoří neviditelnou vrstvu nad cílovou aplikací, například internetovým bankovnictvím, a snímá přihlašovací údaje uživatele.

Útočníci dále mají přístup do sms zpráv, které jsou nejčastějším druhým ověřovacím faktorem při převodech peněz. Kyberzločincům tedy nic nebrání, aby si vzdáleně posílali peníze z účtu napadeného uživatele na cizí bankovní účty bez jeho vědomí.

Aplikace již byla z Google Play odstraněna.

— ESET Česká republika (@esetcz) September 25, 2018

Poměrně unikátní je to, že útočníci pomocí tohoto malware cílí primárně na uživatele z České republiky, Polska a německy mluvících zemí. Respektive cílí na každého, kdo má přednastavenou českou, polskou či německou jazykovou lokalizaci operačního systému Android.

Způsob, jak se uživatel může bránit, není v tomto případě jednoznačný

Aplikace byla stažena z legitimního zdroje Google Play a dříve nepředstavovala žádné riziko.

Kromě instalace bezpečnostního softwaru proto představuje jedinou cestu důsledná kontrola požadovaných oprávnění aplikace s ohledem na její primární a legitimní účel.

Klíčové je bezpečné chování uživatelů na internetu.

Evidence hackerů

Ministerstvo chce evidovat i samotné hackery. Na seznamu se tak objeví například Lumír Herič z Ostravy, který dokázal během čtyř dnů zneužít 80 účtů klientů České spořitelny a pomocí několika set bankovních příkazů z nich převést víc než tři miliony korun.

Herič využil speciálního programu, díky němuž mohl zaznamenávat používání klávesnice na společném univerzitním počítači v Ostravě. Díky němu mohl sledovat, které stránky navštěvují různí uživatelé a jaká hesla používají. Tak se dostal i k přihlašovacím údajům do internetového bankovnictví.

Národní centrála proti organizovanému zločinu upozorňuje na výrazný nárůst počtu kyberútoků na české banky.

Herič je však jen kapkou v moři podobných případů. Národní centrála proti organizovanému zločinu upozorňuje na výrazný nárůst počtu kyberútoků na české banky. Zatímco v roce 2011 jich zaznamenala 1 502, loni jejich počet stoupl již na 5 023.

Útočníci navíc začali pro získávání informací o bankovních účtech stále více zneužívat účty na sociálních sítích. Společnost ESET letos v říjnu upozornila na podvodné aktivity, které cílily na administrátory stránek na Facebooku a útočníci se při nich snažili získat informace o platebních kartách.

Hlášení kyberútoků

Povinnost hlásit všechny kyberútoky chce ministerstvo financí bankám nařídit formou novely zákona o bankách. Do centrální databáze by musely dodávat informace nejen banky, ale i stavební spořitelny. Zároveň mají informovat o tom, jaká opatření přijaly proti těmto útokům.

Databázi bude spravovat Česká národní banka, která za každé opomenutí povinného hlášení útoků udělí milionovou pokutu. Podobné databáze již úspěšně fungují například ve Velké Británii nebo Nizozemsku.

Databáze má fungovat i jako zdroj informací pro ostatní banky, které se budou moci lépe ochránit před útokem vedeným proti jedné z finančních institucí a vyměňovat si informace o podniknutých opatřeních.

Po stažení a instalaci aplikace požádá uživatele o přístup do zařízení s administrátorskými právy. Po udělení oprávnění škodlivou aplikaci nejde klasickou cestou odinstalovat. Ikona aplikace, která se vydává za Flash Player, se v uživatelském rozhraní skryje, takže na první pohled to vypadá, že k instalaci vůbec nedošlo, malware však už na pozadí provádí svou činnost.

Android/Spy.Agent.SI komunikuje se vzdáleným serverem. V pravidelných intervalech 25 sekund odesílá na server informace o infikovaném zařízení – model, IMEI, jazyk, verze SDK a instalovaných aplikacích. Z těch ho nejvíce zajímají bankovní aplikace. Pokud dojde ke shodě s cílovými aplikacemi, dojde k útoku.

Nejde o nic složitého. Při zapnutí legitimní aplikace malware zablokuje otevření aplikace a požaduje zadání přístupových údajů v podvodném okně. Samozřejmě v reálu k žádnému ověření zadaných údajů nedochází, místo toho Android/Spy.Agent.SI získaná data ihned odesílá na vzdálený server. Podobný způsobem se snaží získat přístup i do Google účtu.

Výměna informací mezi zařízení a serverem je kódována. Vše kromě ukradených přihlašovacích údajů, které se odesílají v plain textu.

Pak už při podvodné platbě zbývá jen obejít ověření pomocí SMS zprávy. Opět jde o jednoduchý proces. Malware odešle text smsky na server a zároveň zamaskuje, že by nějaká SMS na zařízení vůbec přišla. Útočník tak může nepozorovaně okrádat uživatele a převádět peníze na vlastní účty.

Android/Spy.Agent.SI prozatím útočí jen v Austrálii, Novém Zélandě a Turecku.

Na druhou stranu každý jeden z šesti obyvatel Německa (17.4 %) nemá na počítači nainstalovaný antivirový program. V Rusku je to 13.9 %, což je podobné jako v USA (13.7 %) a opět z toho vychází vítězně Velká Británie s 11 procenty. Rusko „zabodovalo“, když více než pětina Rusů (21.5 % si není jistá tím, zda mají na PC nainstalované bezpečnostní řešení. V ostatních zemích to bylo výrazně méně – Německo 13.7 %, 12.5 procent v USA a 11.5 ve Velké Británii.

Další zajímavé výsledky níže v tabulce.