האפליקציה מציגה את עצמה כשירות מערכת, וכמה רגעים אחרי ההתקנה האייקון שלה נעלם ממסך הבית. היא לא נסגרה ולא הוסרה. היא רק הפסיקה להיראות, והמשיכה לרוץ ברקע ולהעביר הלאה כל הודעת SMS חדשה שנכנסה למכשיר.

מה קרה

החוקר בן פולנד, מחברת המחקר Have I Been Squatted, פרסם ניתוח של נוזקת ריגול לאנדרואיד שמפעיליה קראו לה Corp MDM. ההפצה נעשית דרך עמודים מזויפים שמחקים את חנות Google Play וממותגים בשמות של חברות הובלה אמיתיות, CEVA ו-TKW Logistics. מי שנכנס אליהם לא מקבל התקנה מהחנות אלא קובץ APK להורדה ידנית, אפליקציה שמתחזה לשירות מערכת.

אחרי ההתקנה היא מבקשת שלוש הרשאות: גישה להודעות SMS, גישה לטלפון וגישה להתראות. מכאן היא עושה שני דברים. הראשון, כל הודעה חדשה שנכנסת נשלחת לשרת של התוקפים עם השולח, הטקסט המלא והשעה, וללא הצפנה בדרך. השני, היא מדליקה הפניית שיחות, אותה הגדרה שגורמת לשיחות שמגיעות אליכם לצלצל אצל מישהו אחר.

לפי פולנד, הנוזקה מעתיקה רק הודעות שנכנסו אחרי שההרשאה ניתנה ולא שולפת את תיבת ההודעות הישנה. זה נשמע כמו מגבלה, ובפועל זה מספיק בהחלט: ב-SMS מגיעים קודי אימות חד-פעמיים, קישורי איפוס סיסמה, אישורי עסקה מהבנק והודעות שחזור חשבון. החוקרים מעריכים שהמפתחים נעזרו בכלי AI בכתיבת הקוד, בין השאר בגלל באגים שדווקא פוגעים בתפקוד שלה, ולגבי מי עומד מאחורי הקמפיין הם אומרים רק שהסימנים בממשק ובקוד מצביעים לכיוון ארמני או רוסי. זיהוי ודאי אין להם.

למה זה חשוב לכם

הקמפיין הזה לא מכוון אליכם. הוא רודף אחרי עובדים בחברות הובלה ולוגיסטיקה באירופה ובארצות הברית, והוא חלק ממערכה רחבה יותר שכוללת גם פישינג וגם נוזקות למחשבי Windows. מה שכן נוגע לכם הוא המנגנון עצמו. קוד האימות שהבנק שולח ב-SMS מוגן בדיוק כמו הטלפון שאליו הוא מגיע, ואפליקציה אחת עם ההרשאה המתאימה מספיקה כדי שהקוד יגיע לשני מקומות במקום לאחד.

מה עושים?

התקינו אפליקציות רק מתוך אפליקציית Google Play עצמה. עמוד שנראה כמו החנות אבל מוריד לכם קובץ APK דרך הדפדפן הוא לא החנות.

היכנסו להגדרות, לרשימת האפליקציות, ובדקו לאילו אפליקציות יש הרשאת SMS או הרשאת טלפון. אם אתם לא מבינים למה אפליקציה מסוימת צריכה את זה, שללו לה את ההרשאה.

בדקו שהפניית השיחות כבויה אצלכם. באפליקציית החיוג, בתפריט ההגדרות, יש סעיף בשם "הפניית שיחות" שאמור להיות מנוטרל.

איפה שהשירות מאפשר, החליפו את קודי ה-SMS באפליקציית אימות או באישור דרך אפליקציית הבנק. אלה לא עוברים דרך תיבת ההודעות בכלל.

הודעת SMS מרגישה כמו ערוץ פרטי בינכם לבין הבנק, אבל היא בסך הכול טקסט ששמור במכשיר, וכל אפליקציה שקיבלה את ההרשאה הנכונה יכולה לקרוא אותו.