Trojan BlackRock kradnie dane z 337 aplikacji. Na liście m.in. Facebook, Gmail, mBank i Allegro

Atak jest ciekawy, ponieważ nie wiąże się z bezpośrednią ingerencją w kod prawdziwych aplikacji zainstalowanych w Androidzie. BlackRock jest niewidoczną z pozoru nakładką, która aktywuje się dopiero po uruchomieniu jednej z 337 aplikacji. Trojan jest ukryty w fałszywej wersji aplikacji Google Update występującej przynajmniej w 5 wersjach rozpowszechnianych poza Sklepem Play. Badacze zidentyfikowali ich nazwy pakietów:

• ayxzygxgagiqhdnjnfduerzbeh.hme.egybgkeziplb
• cmbmpqod.bfrtuduawoyhr.mlmrncmjbdecuc
• fpjwhqsl.dzpycoeasyhs.cwnporwocambskrxcxiug
• onpekpikylb.bcgdhxgzwd.dzlecjglpigjuc
• ezmjhdiumgiyhfjdp.bjucshsqxhkigwyqqma.gqncehdcknrtcekingi

Atakujący zdecydowali się przy tym wykorzystać mechanizm ułatwień dostępu, dzięki któremu aplikacja potrafi odczytać to, co pokazuje się na ekranie smartfona. Jeśli użytkownik machinalnie wyrazi zgodę na taki dostęp, BlackRock będzie mógł wykraść w zasadzie dowolne dane.

Na tym etapie potrafi także analizować wpisywane znaki z klawiatury, odczytywać i wysyłać SMS-y oraz manipulować uprawnieniami administratora systemu. To prowadzi do uzyskania jeszcze większych uprawnień.

Dzięki temu, że istotą ataku jest kontrola ekranu i wyświetlanych informacji, BlackRock może być zagrożeniem w zasadzie dla dowolnej aplikacji. Badacze mówią jednak o zidentyfikowaniu łącznie 337 programów, z których trojan stara się odczytać dane. Wśród nich są aplikacje bankowe – także takie, które nigdy wcześniej nie były atakowane przez szkodliwe oprogramowanie w ramach dużej, nagłośnionej kampanii.

Pełną listę kilkuset potencjalnie zagrożonych programów można znaleźć na stronie Threat Fabric. W praktyce istnieje jednak bardzo duża szansa, że każdy użytkownik Androida ma do czynienia przynajmniej z kilkoma z nich.

Do najbardziej znanych w Polsce programów na liście zaliczyć należy między innymi aplikacje: Facebook, Facebook Lite, Messenger, Tumblr, YouTube, Snapchat, Telegram, Twitter, Instagram, Gmail, Netflix, PeoPay, IKO, Mój Orange, mBank PL, Moje ING Mobile, IFIRMA, Fakturownia.pl, Rossman PL, Ceneo czy Allegro. W przypadku niektórych BlackRock wykrada dane logowania, zaś w innych przypadkach – dane kart płatniczych.

Użytkownicy obawiający się, że mogli paść ofiarami opisywanego ataku i ich dane mogły zostać przejęte, najlepiej zrobią, zastrzegając swoje karty płatnicze i zmieniając dane logowania do wykorzystywanych usług. Uprzednio należy jednak upewnić się, że ze smartfona usunięto już szkodliwy program.

Warto więc sprawdzić listę zainstalowanych aplikacji mając na uwadze, że BlackRock ukrywa ikonę fałszywego programu Google Updates w szufladzie z aplikacjami. Trzeba zatem przejrzeć przede wszystkim ustawienia aplikacji i przeanalizować ich listę. Niewykluczone także, że w niektórych przypadkach rozwiązaniem będzie przywrócenie smartfona do ustawień fabrycznych.

Aby zabezpieczyć się przed problemami z trojanem BlackRock na przyszłość, w pierwszej kolejności należy unikać instalacji aplikacji z niezaufanych źródeł, czyli w tym przypadku spoza Sklepu Play. To najczęściej takie programy są źródłem infekcji urządzeń, ponieważ nie przechodzą przez systemy analizy zawartości. W Sklepie Play taką rolę pełni mechanizm Google Play Protect.

W opisywanym przypadku istotny jest także etap nadania uprawnień związanych z ułatwieniami dostępu. Użytkownik, który nieświadomie wyrazi na to zgodę, sam skazuje się na problemy.

Warto więc uważnie czytać komunikaty wyświetlane na ekranie i świadomie nadawać aplikacjom uprawnienia. Jeśli któreś wydają się podejrzane – nie należy się bać anulowania procesu instalacji, bo być może dzięki temu uda się uniknąć próby kradzieży danych, a docelowo także pieniędzy z konta bankowego.