SMS-y "od FedExu" zawierają FluBota. To nowe zagrożenie dla użytkowników Androida

Na samym początku marca informowaliśmy o nowej kampanii phishingowej. Cyberprzestępcy rozsyłają SMS-y podszywając się pod firmę kurierską FedEex. Okazuje się, że rozprzestrzeniają złośliwe oprogramowanie napotkane w Polsce po raz pierwszy - FluBot.

W ciągu ostatnich kilkunastu miesięcy większość kampanii phishingowych była powiązana z malware Cerberus lub Hydra. To dwa złośliwe programy służące do wykradania danych bankowości mobilnej. W dużym skrócie, jeżeli ofiara je zainstaluje, to może spodziewać się utraty pieniędzy z konta.

3 marca po raz pierwszy wkroczył do Polski FluBot. To malware napotykany jak dotąd głównie w Hiszpanii, chociaż to się może zmienić. 2 marca hiszpańskie służby dokonały aresztowania czterech członków cybergangu, zajmującego się rozprzestrzenianiem FluBota. Hakerzy wkradali się na konta bankowe i kupowali smartfony z wyższej półki. Wysłali blisko 71000 fałszywych SMS-ów.

CERT Orange Polska przyjrzał się bliżej FluBotowi. Eksperci znaleźli w kodzie malware bardzo ciekawe funkcje. Głównym założeniem malware jest oczywiście atak typu "overlay", czyli uruchomienie nakładki podczas korzystania z aplikacji bankowej przez użytkownika smartfona. Wówczas wszystkie dane są przechwytywane przez malware. FluBot podobnie jak Cerberus, wykorzysta te informacje oraz kody SMS do wyczyszczenia konta bankowego.

I na tym zazwyczaj kończy się atak Cerberusa. W przypadku FluBota, jest jednak więcej opcji. Jego twórcy wpadli na pomysł, aby złośliwe oprogramowanie uzyskało dostęp także do wysyłania SMS-ów. Aplikacja prosi użytkownika, aby przejąć rolę domyślnego programu do wiadomości. Jednak dzieje się to tylko w przypadku systemu Android 10, ponieważ w przypadku poprzednich wersji użytkownik nie musi nawet wyrażać zgody. To się po prostu dzieje.

Celem takiego działania jest możliwość dalszego rozsyłania linków do złośliwego oprogramowania. Co więcej, chociaż zainstalowany FluBot może już okraść konto użytkownika smartfonu, to dla pewności aplikacja próbuje jeszcze wykraść dane karty płatniczej. To tak w razie wypadku, gdyby ofiara nie korzystała z aplikacji bankowej.