Oszustwo "na Starlinka". Zmieniają telefony w koparki kryptowalut
Oszustwa z fałszywymi wersjami aplikacji zdarzają się często, ale rzadko dotyczą produktów dla technologicznych entuzjastów. Zagrożenie BeatBanker szkodzi tym, którzy nieuważnie instalują Starlink na Androidzie.
Nowe zagrożenie na Androida o nazwie BeatBanker rozprzestrzenia się przez strony udające oficjalny sklep Google Play. Użytkownikom podsuwa się aplikację wyglądającą jak Starlink, ale z nazwą "Star Link". W tle instalowany jest złośliwy kod DEX bezpośednio na pamięć.
Badacze Kaspersky wykryli kampanie skierowane do osób w Brazylii. Malware potrafi m.in. kraść dane logowania i manipulować transakcjami kryptowalut, jak i uczynić ze smartfonu koparkę waluty Monero.
Apple odświeża MacBooki Air i Pro. Zmiany nie dotyczą wyglądu
Fałszywy Starlink potrafi zasiać spustoszenie w telefonie
BeatBanker jest dystrybuowany jako pakiet APK i używa natywnych bibliotek Androida do odszyfrowania oraz uruchomienia ukrytego kodu DEX bezpośrednio w pamięci, co ma utrudniać wykrycie. Przed startem sprawdza środowisko, by upewnić się, czy nie jest analizowany. Gdy przejdzie kontrolę, pokazuje fałszywy ekran aktualizacji Sklepu Play i wyłudza zgody na instalowanie kolejnych elementów.
Po instalacji złośliwa aktywność nie uruchamia się od razu. Według opisu Kaspersky BeatBanker celowo zwleka z działaniem, aby nie wzbudzać podejrzeń. Nietypowy jest też mechanizm utrzymania się w systemie: malware ma stale odtwarzać prawie niesłyszalne nagranie, by proces pozostał aktywny. "Komponent KeepAliveServiceMediaPlayback zapewnia ciągłe działanie, inicjując nieprzerwane odtwarzanie przez MediaPlayer" - wyjaśnia Kaspersky w opublikowanym raporcie.
Kaspersky wskazuje, że najnowsza wersja BeatBanker zamiast modułu bankowego wdraża trojana zdalnego dostępu BTMOB RAT. To oznacza szeroką kontrolę nad telefonem, w tym:
- możliwość pełnego sterowania urządzeniem,
- keylogging i przechwytywanie poświadczeń,
- nagrywanie ekranu, dostęp do kamery,
- śledzenie GPS.
Malware wykorzystuje też zmodyfikowaną wersję koparki XMRig 6.17.0 dla urządzeń ARM do kopania kryptowaluty Monero. Łączy się z pulami wydobycia kontrolowanymi przez atakujących z użyciem szyfrowanych połączeń TLS, a w razie problemów z przejściem pod adres przechodzi na proxy.
Z użyciem Firebase Cloud Messaging wysyła do serwera m.in. dane o baterii i temperaturze, by włączać lub wyłączać kopanie wtedy, gdy na przykład urządzenie mogłoby stać się zbyt gorące, co ułatwia ukrycie rozwiązania. Oprócz tego takie działanie pozwala utrzymać pakiet rozwiązań stale aktywnym.
