התמונות בגלריה נעלמות ובמקומן מופיעה דרישת תשלום, ואז המסך מתחיל לחיות חיים משלו: חלונות שקופצים שוב ושוב, סרטון במסך מלא, ותמונות מבהילות שמוקפצות לשבריר שנייה. באותו זמן, בלי שום סימן חיצוני, האפליקציה כבר קראה את קוד האימות שהבנק שלח ב-SMS. חוקרי חברת האבטחה Zimperium פרסמו השבוע ניתוח של נוזקת אנדרואיד בשם Mantax Otax, שמשלבת כופרה (נוזקה שמצפינה קבצים ודורשת תשלום כדי לשחרר אותם) עם ריגול מלא על המכשיר.

מה קרה

הנוזקה לא מגיעה מחנות Play. לפי Zimperium, המפעילים, שהחוקרים מקשרים אותם לאינדונזיה, מפיצים אותה כקובץ התקנה בודד (קובץ APK) דרך אתרי שיתוף קבצים ובהודעות שמשכנעות את המשתמש להתקין אותו ידנית. אחרי ההתקנה היא מבקשת שתי הרשאות שנשמעות תמימות. הראשונה היא הרשאת מנהל התקן, והשנייה היא שירות שנועד במקור לעזור לאנשים עם מוגבלות ומאפשר לאפליקציה לקרוא את מה שמוצג על המסך וללחוץ במקום המשתמש. קוראים לו שירות הנגישות, וברגע שמאשרים אותו הנוזקה שולטת במכשיר כמעט לגמרי.

מה היא לוקחת משם: את קוד הנעילה של המסך, הודעות SMS וקודי אימות חד-פעמיים, אנשי קשר, יומן שיחות, היסטוריית גלישה, מיקום ופרטי חשבון Google. את השיחות בוואטסאפ ובטלגרם היא שולפת בדרך עקיפה, על ידי הדמיית לחיצות בתוך האפליקציות עצמן. היא גם מנצלת את הממשק שאנדרואיד מייעד להקלטת מסך, וכך מצלמת, מקליטה וידאו ואפילו משדרת את המסך כמעט בזמן אמת.

ההצפנה עצמה עובדת רק על מכשירים ישנים. באנדרואיד 10 ומעלה כל אפליקציה מוגבלת לתיקייה משלה ואינה יכולה לגעת בקבצים של אחרות, ולכן הכופרה מצליחה להצפין את הגלריה רק באנדרואיד 9 ומטה. שם היא מצפינה את הקבצים, מוחקת את המקור ומחליפה את התמונות בהודעה שמפנה לצ'אט מול התוקפים. את ההפחדה, לעומת זאת, החוקרים מצאו גם בגרסה מתקדמת יותר, שבה נוספו גם הודעות קוליות שהתוקף מפעיל מרחוק. Zimperium לא פרסמה כמה מכשירים נדבקו ובאילו מדינות.

למה זה חשוב לכם

אין דיווח על נפגעים בישראל, ומה שכן רלוונטי כאן הוא דרך ההדבקה. קובץ APK שמגיע בקישור בוואטסאפ, "אפליקציה של חברת השליחויות" שלא נמצאת בחנות, או גרסה חינמית של אפליקציה בתשלום, הם בדיוק התרחיש הזה. והחלק שמסוכן גם למי שמחזיק טלפון חדש הוא לא ההצפנה אלא הקריאה של הודעות ה-SMS: מי שרואה את הקוד שהבנק שלח יכול להיכנס לחשבון גם כשמופעל בו אימות דו-שלבי.

מה עושים?

אל תתקינו קובץ APK שהגיע אליכם בקישור, גם אם השולח מוכר לכם. התקנה מחנות Play או מחנות היצרן בלבד.

וודאו ש-Play Protect פעיל: פתחו את חנות Play, הקישו על תמונת הפרופיל, בחרו Play Protect ואז הגדרות, וּודאו שסריקת האפליקציות דולקת. Zimperium מסרה שהעבירה את הממצאים לגוגל, כך שמכשיר מעודכן אמור לזהות את הנוזקה.

בדקו מי קיבל אצלכם הרשאת נגישות: הגדרות, ואז נגישות, ואז רשימת האפליקציות. לאפליקציה שאינכם מזהים, או שאין לה סיבה אמיתית לקרוא את המסך שלכם, כבו את ההרשאה מיד.

אם המכשיר שלכם עדיין על אנדרואיד 9 או ישן יותר, הוא כבר לא מקבל עדכוני אבטחה וגם ההצפנה עובדת עליו. לכל הפחות, גבו את התמונות לענן.

ההצפנה היא החלק הרועש בנוזקה הזאת. החלק שעולה כסף הוא השקט: הקודים, הסיסמאות והשיחות שיצאו מהמכשיר לפני שמישהו בכלל שם לב.