Podmukla prijetnja za Android koja krade podatke čak i bez internetske veze

Sigurnosni istraživači u tvrtki ThreatFabric već neko vrijeme pomno prate infrastrukturu novog Android zlonamjernog softvera pod nazivom Manic. Zlonamjerni kod instaliran je na najmanje 169 različitih aplikacija, uključujući mobilno bankarstvo, usluge digitalnog identiteta, kripto novčanike, aplikacije za dvofaktorsku autentifikaciju, pa čak i vojne i poslovne komunikacijske aplikacije. Glavni fokus napada je na Ukrajini, ali među metama su i bankarske aplikacije iz brojnih europskih zemalja, poput Njemačke, Francuske, Austrije, Poljske i drugih tržišta.

Manic kombinira dva područja koja obično djeluju odvojeno: bankovnu prijevaru i izravnu špijunažu. Program može pratiti lokaciju uređaja, čitati obavijesti, pregledavati datoteke i daljinski upravljati telefonom. Virus se širi putem aplikacija kontejnera koje koriste nazive slične sistemskim komponentama etabliranih proizvođača. Najnovije verzije učitavaju kod izravno u memoriju i vješto se skrivaju s popisa instaliranih aplikacija.

Tehnika presretanja PIN-a je posebno sofisticirana. Umjesto prikazivanja lažnih stranica za prijavu, zlonamjerni kod postavlja prozirni sloj preko numeričkih tipkovnica ciljanih aplikacija. Precizno bilježi svaki dodir na zaslonu, zatim zloupotrebljava usluge pristupačnosti i ponavlja isti dodir kako bi legitimna aplikacija radila bez ikakvih primjetnih smetnji. Osim toga, zlonamjerni kod može automatski testirati već spremljene lozinke na zaključanom zaslonu. U hodu sortira sve unesene znakove prema vrsti, razlikujući sigurnosne riječi kripto novčanika, SMS kodove, lozinke i obične poruke. Napadači također mogu kontrolirati uređaj uživo putem WebRTC-a i pratiti sliku s kamere ili zaslona, dok korisniku prikazuju crni zaslon ili lažna ažuriranja.

Najneobičniji dio sustava je prijenos ukradenih informacija. Ako zaraženi telefon nema pristup internetu, on šifrira ukradene podatke AES-GCM algoritmom i pohranjuje ih u lokalni red čekanja. Zatim koristi Wi-Fi Direct ili Bluetooth kako bi pronašao druge zaražene uređaje u blizini i prenosi im šifrirani paket, koji zatim putuje do četiri međuskoka do kontrolnog poslužitelja.

Isključivanje uređaja s mreže neće spriječiti curenje podataka ako se u blizini nalazi drugi zaraženi telefon. Osnovna zaštita stoga ostaje dosljedno izbjegavanje instaliranja APK datoteka iz neprovjerenih izvora i oprez pri davanju opsežnih sistemskih dozvola.