Group-IB фиксирует рост распространения фальшивых мобильных приложений банков

Международная компания по предотвращению и расследованию киберпреступлений с использованием высоких технологий Group-IB фиксирует новую волну массового распространения троянов, маскирующихся под мобильные приложения ведущих банков страны.

Специалисты Центра реагирования на инциденты информационной безопасности (CERT-GIB) Group-IB блокируют ресурсы, с которых идет распространение фальшивых банковских приложений, и отмечают, что их объем постоянно растет.

Трояны, предназначенные для мобильных устройств под управлением ОС Android, распространяются не через официальный магазин Google Play, а через рекламные объявления в поисковых системах. Почему именно пользователи ОС Android стали основной мишенью, объясняется просто: почти 85% смартфонов в мире работает на платформе Android; в отличие от iOS — это открытая экосистема с невысоким уровнем цензуры.

Пользователи, желающие установить на свой смартфон мобильное приложение банка, набирали в поисковике характерный запрос формата «скачать приложение банка ХХХ». После чего на первых страницах поисковиков им выдавались рекламные сообщения, сопровождавшиеся стандартным текстовым сопровождением: «Установите приложение ХХX банка прямо сейчас, оплачивайте услуги, делайте переводы и открывайте вклады».

При нажатии на ссылку, запускалась переадресация на сторонние ресурсы, где и предлагалось скачать мобильное приложение, под которым скрывался банковский троян.

«Большинство пользователей не остановило даже то, что для установки такого рода программ им необходимо разрешить инсталляцию приложений из недоверенных источников в настройках безопасности своих устройств, — говорит руководитель CERT-GIB Александр Калинин. — Как правило, об опасности такого подхода операционная система предупреждает сразу же после получения согласия пользователя. Однако в данном случае жертвы фишинг-атаки были согласны взять на себя все риски. Стоит отметить, что качество приложений-подделок как по дизайну, так и по механике заражения постоянно растет, что сбивает с толку многих пользователей, не обращающих внимание на критичные детали: название домена, переадресацию на сторонний ресурс и другие».

Кража денег у жертвы происходит следующим образом: после получения соответствующих разрешений, в том числе на чтение и отправку СМС-сообщений, установленное фейковое приложение запрашивает логин/пароль от личного кабинета и реквизиты платежной карты. Таким образом, ни о чем не подозревающая жертва дает злоумышленникам доступ к своим конфиденциальным данным, которые могут быть использованы для любых банковских операций в личном кабинете, включая денежные переводы. При этом подлинный хозяин личного кабинета пребывает в неведении: СМС-уведомления о доступе к его счету, трансакциях и любых других операциях перехватываются Android-трояном.

Для противодействия злоумышленникам специалисты CERT-GIB оперативно блокировали все выявленные ресурсы, с которых распространялись фальшивые банковские приложения, рекламные объявления с недобросовестным контентом удалялись сотрудниками поисковых сервисов.

В ходе дальнейшего расследования экспертами компании Group-IB при помощи системы Threat Intelligence (киберразведка) была выявлена связь распространителя этих вредоносных банковских приложений и автора мошеннических ресурсов по продаже авиабилетов, которые были популярны в 2016 и в начале 2017 года (например, letimranshe.ru, тогда Group-IB было заблокировано более 30 аналогичных ресурсов).

Источник: Банки.ру