A Manic nevű Android-trójai hamis banki képernyő használata nélkül lopja el a PIN-kódokat

A holland ThreatFabric biztonsági cég augusztus 20-án jelentést tett közzé egy eddig ismeretlen Android-fenyegetésről. A kártevőt Manic néven emlegetik, és két, általában egymástól elkülönülő elemet ötvöz: egy pénzlopásra tervezett banki trójai programot és egy a tulajdonos megfigyelésére szolgáló kémprogramot. A kampány elsősorban Ukrajnát célozza meg. A célpontok listáján szerepelnek továbbá bankok Németországban, Lengyelországban, a Cseh Köztársaságban, Szlovákiában, Ausztriában, Franciaországban, Spanyolországban, Hollandiában, Észtországban, Litvániában és az Egyesült Királyságban, valamint több ilyen ország állami eID-alkalmazásai is.

Összesen 169 csomag-azonosítót (package ID) figyel a Manic, amelyek az egyes alkalmazások technikai azonosítói. A lista bankokat, fizetési szolgáltatásokat, „most vásárolj, később fizess” szolgáltatásokat, pénzátutalásokat, kriptovaluta-tőzsdéket és pénztárcákat, üzenetküldő alkalmazásokat, böngészőket, e-mail klienseket, kormányzati eID-alkalmazásokat és hitelesítő alkalmazásokat – amelyek a bejelentkezéskor generálják a második tényezőt – foglal magában. A ThreatFabric az első infrastruktúrát 2026. februárjáig vezeti vissza. Júliusban megjelent egy átdolgozott verzió, erősebb elemzésellenes ellenőrzésekkel.

A PIN-kód továbbhalad, és nem jelenik meg hamis banki képernyő

A klasszikus banki trójai egy lemásolt banki felületet vetít a valódi alkalmazás elé. Ha elég alaposan megnézzük, észrevehetjük. A Manic másképp működik. Amikor numerikus billentyűzetet talál a célalkalmazáson belül, egy átlátszó felületet helyez pontosan azokra a gombokra. Amikor a felhasználó megérinti a gombot, a Manic rögzíti a pozíciót, rövid időre kikapcsolja a saját érintés-lehallgatását, majd az Android akadálymentesítési szolgáltatásain keresztül ugyanazon a helyen visszajátssza az érintést. A banki alkalmazás a szokásos módon fogadja a bevitelet, és folytatja a működést. A képernyőn semmi sem tűnik szabálytalannak. A PIN-kód így is a támadó kezébe kerül. Ez a módszer más csalásokban is felbukkan, ahol a támadás pontosan azt a jelzést veszi célba, amelyre az emberek támaszkodnak, hogy észrevegyék, ha valami nem stimmel.

Egy második funkció, amelyet a ThreatFabric „autoEnterPin”-nek nevez, a zárolási képernyőn működik, és megpróbálja önállóan beírni egy korábban rögzített PIN-kódot vagy mintát. A hozzáférhetőségi szolgáltatások egyben billentyűzetfigyelőként is működnek. A Manic előre osztályozza a rögzített beviteli adatokat aszerint, hogy azok zárolási képernyőn történő beírásnak, kriptopénztárca helyreállítási kifejezésének, négy-hat számjegyű SMS-kódnak vagy jelszónak tűnnek-e.

Egy második fertőzött telefon mint kiút

A legszokatlanabb az, ahogyan az adatok elhagyják a készüléket. Ha egy fertőzött eszköz nem éri el a támadók szerverét, a Manic titkosítja az összegyűjtött adatokat, és sorba állítja őket. Ezután Wi-Fi Direct, Bluetooth vagy Bluetooth Low Energy segítségével keres egy másik, rádiós hatótávolságon belüli fertőzött telefont, és ellenőrzi, hogy az online állapotban van-e. Ha talál egyet, a csomag oda kerül, majd onnan tovább a szerverre. Alapértelmezés szerint legfeljebb négy átviteli lépés van beállítva.

A gyakorlatban ez azt jelenti, hogy egy telefon hálózatról való leválasztása nem feltétlenül állítja meg az adat szivárgást, amíg egy második fertőzött eszköz a közelben van. Ugyanez a gondolkodási hiba, mint a kétfaktoros bejelentkezésnél, ahol egy ellopott munkamenet-süti értelmetlenné teszi a második tényezőt.

Hogyan lehet felismerni?

A Manic két részből áll: egy wrapperből, amely az eszközre juttatja, és magából az implantátumból. A csomagneveket úgy választják meg, hogy jól ismert gyártók rendszerkomponenseinek hangzanak. A ThreatFabric a következőket sorolja fel: tech.intel.dialer.updater, org.honor.secure.helper, org.lenovo.storage.processor, dev.huawei.media.helper, tech.apple.dialer.scheduler és io.motorola.secure.executor. A júliusi verzió eltávolítja az ikonját az alkalmazásfiókból, így egyáltalán nem jelenik meg a menüben.

Minden két engedélyen múlik: a hozzáférhetőségi szolgáltatásokon és az értesítési hozzáférésen. Ha ellenőrizni szeretnéd, hogy valami nem stimmel-e, nyisd meg az Android beállításainak hozzáférhetőségi szakaszát, és nézd meg az ott felsorolt szolgáltatásokat. Bármit, ami nem tartozik egyértelműen egy szándékosan telepített segédalkalmazáshoz, ki kell kapcsolni. Ugyanez vonatkozik az értesítési hozzáférésre is. A Manic automatizált érintésekkel megpróbálja letiltani a Google Play Protect szolgáltatást is, ezért érdemes átnézni a Play Áruházat is.

A ThreatFabric nem közli, hány eszközt érint a probléma, és egyetlen országra vonatkozó fertőzési adatok sem állnak rendelkezésre. A legegyszerűbb védelem továbbra is a régi módszer. Ne telepítsen APK-fájlokat linkekről vagy harmadik fél portáljairól, még akkor sem, ha az oldal egy jól ismert gyártó weboldalának tűnik.