בתוך אפליקציית קניות שעושה בדיוק את מה שהיא מבטיחה קופצת הודעה על עדכון. מי שמאשר אותה מתקין אפליקציה שנייה, ואחרי שהיא מקבלת הרשאת נגישות (ההרשאה שמאפשרת לאפליקציה לקרוא את המסך וללחוץ במקום המשתמש) מתחיל החלק המעניין: על המסך נפתח חלון ההסרה של אנדרואיד, ובתוכו אפליקציית הבנק. היא נמחקת, ובמקומה מותקן עותק עם אותו שם, אותו סמל ואותו מספר גרסה.

מה קרה

חברת אבטחת המובייל ThreatFabric פרסמה היום דוח על נוזקת אנדרואיד חדשה שהיא מכנה Hirudo. ההדבקה מתחילה באפליקציות שנראות תמימות לגמרי, בין היתר אפליקציית קניות בשם Shopora ואפליקציות סדרות קצרות בשם ZoyaTV ו-KoiShort, והן אכן מציגות את התוכן שהבטיחו. בתוכן מוסתר קובץ התקנה נוסף, וההודעה על ה"עדכון" היא מה שמשכנע את המשתמש להתקין אותו.

העותק של אפליקציית הבנק שומר כמעט את כל הקוד המקורי, ומוסיף לו רכיב אחד קטן שמשנה את התשובות שהאפליקציה מקבלת על עצמה. כשהיא בודקת מי חתם עליה, מוחזרת לה חתימת הבנק האמיתית. כשהיא בודקת אם שירותי נגישות פעילים, מוחזרת לה רשימה ריקה, וההגנה שמונעת צילום מסך מבוטלת בשקט. לטכניקה הזאת קוראים hooking, וכאן היא מפעילה את מערכות ההגנה של האפליקציה נגד האפליקציה עצמה.

אנדרואיד לא מרשה להחליף אפליקציה חתומה של בנק בעותק שחתום במפתח אחר, ולכן הנוזקה חייבת קודם להסיר את המקורית. בדיוק שם היא חשופה: גם ההסרה וגם ההתקנה מציגות חלון שדורש אישור, ומי שמבטל אותו עוצר את כל התהליך. ThreatFabric מצאה שרשימת היעדים בקוד מכסה מוסדות פיננסיים באינדונזיה, סין, הודו, מקסיקו, מרוקו ותאילנד, ושרק לשמונה אפליקציות בנקאיות אינדונזיות הוכן עותק מתוקן מראש. כמה אנשים נפגעו בפועל לא ידוע, אבל בפאנל הניהול של התוקפים נמצאו אלפי רשומות של פרטי אימות ומכשירים.

למה זה חשוב לכם

אף בנק ישראלי לא מופיע ברשימה, והקמפיין הזה לא מכוון לכאן. מה שכן עובר בין מדינות הוא השרשרת, ושני הצעדים הראשונים שלה לא מנצלים שום חולשה בטלפון אלא רק הרשאות שהמשתמש נתן בעצמו. בישראל מתקינים הרבה קובצי APK מחוץ לחנות בשביל שידורי ספורט, סדרות או מבצעים, וזו בדיוק נקודת הכניסה שנוזקה כזאת מחפשת. מעבר לבנקאות, Hirudo יודעת לקרוא הודעות SMS, להזרים את המסך בשידור חי לתוקף ולהפעיל את שתי המצלמות.

מה עושים?

התקינו אפליקציות רק מחנות Play או מחנות היצרן של הטלפון. קובץ APK שהגיע בקישור מוואטסאפ, מטלגרם או מאתר הורדות הוא לא עדכון, גם כשהלוגו עליו נראה נכון.

אם אפליקציה מבקשת הרשאת נגישות ואינה כלי נגישות שהתקנתם במכוון, סרבו. בהגדרות הטלפון, במסך הנגישות, אפשר לראות לאילו אפליקציות ההרשאה הזאת כבר ניתנה ולבטל אותה.

נפתח חלון הסרה של אפליקציית הבנק שלא אתם פתחתם? בטלו אותו ומחקו את האפליקציה שממנה הוא קפץ. עדכון של אפליקציית בנק מגיע מהחנות, לא מתוך אפליקציה אחרת.

הריצו סריקה של Play Protect דרך חנות Play (תמונת הפרופיל, ואז Play Protect וסריקה), ובדקו מול הבנק כל חיוב שלא זיהיתם.

כל השרשרת הזאת, מהודעת העדכון ועד העותק המזויף, נשענת על שתי הקשות אישור של מי שמחזיק את הטלפון.