Procureo izvorni kod bankarskog Trojanca za Android iBanking

Mobilni telefoni, 25.02.2014, 05:33 AM

Izvorni kod jednog bankarskog Trojanca za Android objavljen je na jednom forumu, pa stručnjaci predviđaju da će zbog toga kriminalci ubuduće više koristiti ovu vrstu malvera.

Trojanac se na tržištu pojavio prvi put krajem prošle godine kada se prodavao po ceni od 5000 dolara, kažu stručnjaci RSA koji su i otkrili da je kod malvera procureo.

Malver koga su u RSA nazvali iBanking, se koristi zajedno sa PC malverom da bi se savladali sigurnosni mehanizmi koje koriste sajtovi banaka a koji se oslanjaju na mobilne telefone.

Većina PC malvera koji su namenjeni korisnicima e-bankinga ubacuju sadržaj u sesije browser-a. To im omogućava da prikazuju lažne web formulare na sajtovima banaka i da tako kradu podatke za prijavljivanje na naloge i druge poverljive podatke korisnika. Takvi malveri mogu da obavljaju i lažne novčane transakcije sa računa žrtava.

Da bi odgovorile na ovakve pretnje koje ugrožavaju njihove klijente, banke su implementirale dvostepenu verifikaciju i sisteme za odobrenje transkacije koji funkcionišu tako što se korisnicima putem SMS poruka šalju kodovi za jednokratnu upotrebu na njihove brojeve telefona povezane sa računom.

Suočeni sa time da moraju da imaju pristup SMS porukama da bi pljačka bila uspešna, kriminalci su počeli da koriste mobilne malvere kao što je pomenuti iBanking.

Malver iBanking se distribuira preko HTML injection napada na sajtovima banaka, a uz pomoć tehnika društvenog inženjeringa žrtve se nagovaraju da preuzmu navodnu “sigurnosnu aplikaciju” za Android uređaje.

Pored toga što može da snima dolazne i odlazne SMS poruke, trojanska aplikacija iBanking može i da preusmerava pozive na prethodno određeni broj telefona, da snima zvuk iz okruženja telefona uz pomoć mikrofona uređaja i da krade podatke kao što su istorija poziva i imenik telefona.

Malver se povezuje sa serverom za komandu i kontrolu koji omogućava napadačima da šalju komande svakom zaraženom uređaju, što znači da iBanking nije samo trojanska aplikacija već i botnet klijent.

Sada su stručnjaci RSA uočili da je procureo kod ove maliciozne aplikacije koji uključuje i kod za web kontrolnu tablu malvera i skriptu koja može prilagoditi iBanking APK (Android application package) različitim konfiguracijama.

Maliciozni APK može biti prilagođen tako da aplikacija izgleda kao zaštitna aplikacija ili aplikacija banke čiji je klijent žrtva. Tokom instalacije aplikacija traži administratorska prava što kasnije otežava njeno uklanjanje.

Curenje izvornog koda malvera za online banking kao što je to bio slučaj sa izvornim kodom Trojanca Zeus, za posledicu je uvek imalo povećani broj napada u kojima je korišćen “procureli” malver, ali i razvoj sofisticiranijih Trojanaca koji su bili bazirani na procurelom kodu.

S obzirom na to, slično će se dogoditi i u ovom slučaju jer su sada kriminalci u poziciji da uključe ovaj malver u svoje napade koji se oslanjaju na PC, s tim što će sada imati i kontrolu nad smart telefonima žrtava.

Sposobnost malvera da savlada mehanizam dvostepene verifikacije znači da su potrebna bolja rešenja za verifikaciju kojima bi identitet korisnika mogao da se potvrdi sa nekoliko faktora uključujući i biometrijska rešenja.