«Привіт, це ти на фото?»: як один клік по .apk файлу може обнулити твої картки та повісити кредит

У світі Android-користувачів свобода дій завжди була головною фішкою, якою вони хизувалися перед власниками закритих айфонів. Хочеш — змінюй інтерфейс, хочеш — завантажуй корисні утиліти напряму з інтернету. Але саме ця свобода у вигляді .apk файлів (інсталяційних пакетів для Android) сьогодні перетворилася на ідеальну зброю кібершахраїв.

Поки власники iPhone користуються більш закритою екосистемою, де встановлення застосунків жорстко контролюється Apple (дисклеймер: для власників iPhone також існують шахрайські пастки), користувачі Android мають значно більше свободи — і водночас більше ризиків. Разом з видавництвом dev.ua розбираємося, як один необережний клік по файлу з підступним розширенням .apk може повністю обнулити ваші банківські рахунки та перетворити вас на боржника.

Як SpyNote і BTMOB RAT захоплюють контроль над вашим телефоном

Сьогодні українців у месенджерах та соціальних мережах масово атакують віруси  з небезпечним «наповненням» — банківськими троянами SpyNote та BTMOB RAT. Фахівці з кібербезпеки відстежують хакерів, які їх запускають, під кодовим ім’ям UAC-0236.

Це не звичайне шкідливе ПЗ, яке лише показує нав’язливу рекламу. Це потужний інструмент віддаленого доступу, який дає хакерам повний контроль над вашим смартфоном.

Одна з його фішок — двокомпонентна архітектура. Спочатку на телефон прилітає перша програма-пустишка. Вона не запитує дозволів, не виконує очевидно шкідливих дій і тому  не викликає підозр у користувача та не виявляється більшістю мобільних антивірусів. Але її єдина реальна задача — по-тихому затягнути в систему, розпакувати та встановити другу програму. Саме вона і є основним шкідливим модулем, який бере ваш телефон під свій контроль.

Головний інструмент SpyNote і BTMOB RAT — зловживання службою «Спеціальні можливості» (Accessibility Service). Ця функція задумувалася Google для допомоги людям з інвалідністю: вона дозволяє озвучувати вміст екрана, керувати смартфоном за допомогою спеціальних засобів та автоматизувати окремі дії, але кіберзлочинці використовують Accessibility Service як універсальний інструмент для захоплення контролю над смартфоном.

Щойно користувач, введений в оману, надає застосунку доступ до служби «Спеціальні можливості», шкідлива програма отримує можливість взаємодіяти з інтерфейсом Android майже так само, як це робить власник смартфона. Вона може автоматично натискати кнопки, підтверджувати системні діалоги та надавати собі додаткові дозволи без подальшої участі користувача. У результаті троян швидко отримує доступ до інших критично важливих функцій операційної системи, значно розширюючи свої можливості.

Далі атака розгортається у кілька етапів:

Крадіжка облікових даних та оверлеї: Коли ви запускаєте офіційний застосунок банку, малварь миттєво відображає поверх нього підроблене вікно входу, яке зовні практично не відрізняється від справжнього. Ви вводите туди логін та пароль, думаючи, що логінитесь у банк, а дані вже летять хакерам. Усе інше, що не потрапило у фішинг, вірус добирає вбудованим кейлогером (записує кожне натискання клавіатури) та прихованою трансляцію екрана, що дозволяє зловмисникам бачити дії жертви без появи звичного індикатора запису або трансляції екрана (зеленої крапки).

Віддалене розблокування пристрою: Троян може перехоплювати PIN-код та графічний ключ під час розблокування екрана. Отримавши ці дані та доступ до керування смартфоном, зловмисники можуть віддалено знімати блокування пристрою.

Автономне виведення грошей: Отримавши облікові дані та необхідні дозволи, троян може самостійно відкривати банківський застосунок, заповнювати реквізити переказу й підтвержувати операції, перехоплюючи одноразові банківські коди (OTP) з SMS та push-сповіщень. У результаті зловмисники можуть проводити транзакції без участі власника смартфона.

Ізоляція жертви: Наостанок вірус в момент атаки блокує месенджери та зв’язок на телефоні, який, будучи ізольованим від власника, слухняно виконує команди з сервера зловмисників. Це робиться для того, щоб відрізати людину від контактів із банком і не дати їй вчасно забити на сполох.

Пастки на будь-який смак: актуальні хакерські легенди

Сучасні шахраї  не пишуть примітивних листів про «спадщину нігерійського принца» (хоча такі повідомлення ще трапляються). Натомість вони будують атаки на темах, які найбільше зачіпають українців: пошуку роботи, державній та міжнародній фінансовій допомозі, патріотичних ініціативах або звичайній людській цікавості. Одним із головних каналів поширення таких атак сьогодні є агресивна таргетована реклама у Facebook, яка спонукає встановити шкідливі застосунки.

Полювання на «джунів» та студентів: тестування застосунків

Ця легенда розрахована на молодих ІТ-фахівців без досвіду та студентів, які шукають першу роботу або підробіток.  На сайтах вакансій чи в Telegram-каналах з’являється приваблива пропозиція: «Тестувальник мобільних застосунків для Android. Робота з дому. Оплата — від 1 500 до 3 000 гривень за годину».

Коли зацікавлена жертва відгукується, її переводять у месенджер. Там усе виглядає переконливо: ввічливий «HR-менеджер» підтверджує умови роботи та просить заповнити анкету.  Серед іншого просять номер банківської картки — нібито для майбутнього нарахування заробітної плати.

А далі настає час першого «тестового завдання». Кандидату надсилають той самий APK-файл. Шахраї діють на випередження і відразу попереджають: «Оскільки застосунок новий і ще не опублікований у Google Play, ваш мобільний антивірус може лаятися. Не зважайте, це нормально для процесу розробки, просто вимкніть захист і встановлюйте». Молода людина, мріючи про першу роботу, виконує інструкцію, дає застосунку всі привілеї — і замість заробітку отримує повний злам свого пристрою.

Від фішингового посилання до повного захоплення смартфона: історія про Dopomoga24

Ця схема починається “класично”: ви продаєте якусь річ на платформі оголошень, з вами зв’язується «покупець» і переводить розмову у месенджер, де скидає фейкове посилання на нібито безпечну оплату. Після введення платіжних даних з вашої картки списується невелика сума грошей. Ви починаєте панікувати.

І тут розігрується друга дія спектаклю. Вам телефонує людина, яка представляється співробітником служби безпеки банку. Вона підтверджує, що на вашій картці зафіксовано шахрайську операцію, і щоб «врятувати решту коштів від крадіжки», потрібно негайно встановити спеціальну захисну утиліту. У месенджер прилітає файл з назвою Dopomoga24.apk.

Після зараження смартфона наслідки можуть бути значно серйознішими за просте викрадення грошей з банківської картки. Використовуючи отриманий контроль над пристроєм, зловмисники можуть оформлювати кредити на ім’я потерпілого. Ключову роль у таких атаках відіграє функція накладання вікон поверх інших застосунків (overlay). Вона дозволяє шахраям підміняти елементи інтерфейсу, вводячи користувача в оману під час виконання критично важливих операцій. Зокрема, цей механізм  використовується під час проходження перевірки розпізнавання обличчя (до речі, обов’язково почитайте – у нас виходила окрема стаття на цю тему) та NFC-ідентифікації через державні застосунки.

Квест від monobank, який не вдався

Спроба зіграти на бренді популярного банку виявилася досить гучною. Шахраї створили легенду: «Хочеш працювати в mono? Завантажуй наш застосунок і пройди інтерактивний квест для прийому на роботу».

У цьому кейсі є гарна новина для клієнтів банку: викрасти гроші безпосередньо з застосунку monobank через перехоплення керування у зловмисників не вийшло. Жоден кейс не став успішним завдяки жорстким внутрішнім системам безпеки та фрод-моніторингу, які аналізують поведінку пристрою і блокують підозрілі дії. Проте, отримавши контроль над операційною системою смартфона через шкідливий APK, злочинці можуть піти в інші банки, де захист може виявитися слабшим.

Модератори сайта для дорослих та «Радари Шахедів»

Шахраї постійно адаптують свої легенди до актуальних тем, зокрема використовуючи бажання людей заробити або подбати про власну безпеку. Одна з таких легенд орієнтована на людей, що шукають роботу. Їм пропонують вакансію модератора контенту для платформи OnlyFans із привабливою оплатою. Легенда проста: потрібно встановити «спеціальний робочий клієнт» для перевірки анкет моделей та сплатити тестову підписку в одну гривню. Як результат — реквізити картки злиті, а телефон заражений.

Інша цинічна спекуляція — фальшивий застосунок «Радар Шахедів». На тлі постійних повітряних тривог людям пропонують встановити неофіційну програму, яка нібито здатна швидше та точніше за офіційні джерела попереджати про наближення безпілотників. Насправді цей застосунок базується на тому самому коді, що й інші соціальні приманки, але, крім викрадання коштів з ваших банківських акаунтів та оформлення кредитів на ваше ім’я, додатково використовує процесор вашого телефону для майнінгу криптовалюти, змушуючи гаджет буквально плавитися від перегріву.

Ну, нікуди не зникла й одна з найстаріших, але досі ефективних схем — поширення шкідливих APK-файлів через зламані акаунти в Telegram. Після зламу акаунта шахраї автоматично розсилають усім контактам повідомлення від імені власника профілю. Найчастіше вони грають на людській цікавості або страху: «Привіт! Це ти на фото?», «Жахлива аварія… Подивись, хто загинув», «Тебе випадково не впізнали на цьому відео?». До повідомлення додається файл із відповідною назвою, наприклад Foto_vypusknogo.apk, Photo.apk або Video.apk. Людська цікавість або страх діють безвідмовно, змушуючи людей клікнути по файлу, встановити застосунок і виконати подальші інструкції, власноруч надаючи шкідливій програмі необхідні дозволи. Після цього смартфон опиняється під контролем зловмисників.

Чек-лист безпеки від ЄМА: як захиститися?

Захистити свій Android насправді не так складно, якщо вимкнути емоції та увімкнути холодний розум. Експерти Асоціації ЄМА рекомендують дотримуватися кількох залізобетонних правил.

1. Встановіть жорстке табу на завантаження будь-яких APK-файлів поза офіційним магазином Google Play

Прямо зараз зайдіть у налаштування свого смартфона та перевірте, щоб функція «Встановлення з невідомих джерел» була повністю заблокована для всіх браузерів та месенджерів.

2. Самостійно шукайте потрібний застосунок у Google Play 

Встановлюйте необхідні застосунки лише через офіційний магазин Google Play. Не переходьте за посиланнями на встановлення програм, які надходять у месенджерах, SMS-повідомленнях, електронною поштою або соціальними мережами.

Якщо вам рекомендують певний застосунок, відкрийте Google Play та самостійно знайдіть його вручну за назвою. Такий простий крок унеможливлює встановлення шкідливого APK-файлу з фішингового магазину Google Play.

3. Будьте максимально жадібними на дозволи

Якщо якийсь щойно встановлений застосунок просить доступ до Спеціальних можливостей (Accessibility Service) або прав адміністратора пристрою (Device Admin) — негайно видаляйте його. Ці права дають програмі повну владу над вашим смартфоном, що прирівнюється до добровільної передачі гаджета в руки грабіжника.

4. Тримайте операційну систему свого смартфона оновленою до останньої версії

Звісно, не варто плекати ілюзій: свіжі патчі безпеки не закриють абсолютно всі вразливості. Проте вони максимально ускладнять хакерам шлях доставки та активації шкідливого софту. 

Свобода та гнучкість Android — це величезний плюс, але вони вимагають дорослої відповідальності за кожен клік, адже головним рубежем оборони власного смартфона завжди залишаєтесь ви самі.