המודעה הציעה ערוצי טלוויזיה בחינם, והקישור הוביל לעמוד שנראה בדיוק כמו Google Play. מי שהוריד משם את הקובץ קיבל אפליקציה שהדבר הראשון שהיא ביקשה היה להקים חיבור VPN במכשיר. לא כדי להסתיר את התעבורה שלו, אלא כדי לחתוך את החיבור של חנות האפליקציות של גוגל, כך שהסריקה שלה לא תבדוק מה מותקן כאן.

מה קרה

חברת המחקר Group-IB פרסמה ב-23 בספטמבר ניתוח של פלטפורמת נוזקות חדשה לאנדרואיד בשם RemControl, שנמכרת כשירות: מי שמשלם מקבל את הנוזקה ואת לוח הבקרה בלי לכתוב שורת קוד. ההפצה נעשית דרך פרסומות ועמודים מזויפים שמתחזים ל-TVTap, אפליקציית טלוויזיה פופולרית שאינה בחנות הרשמית. בקמפיין האיטלקי העמוד הגיש את קובץ ההתקנה רק למי שנכנס מטלפון ומכתובת IP איטלקית.

החלק המעניין הוא איך ההתקנה נמנעת מהסריקה. באנדרואיד יש מנגנון שבודק אפליקציות בזמן ההתקנה ומתריע על נוזקות מוכרות, ושמו Google Play Protect. הרכיב הראשון של RemControl מבקש הרשאה להקים חיבור VPN מקומי, ואחרי שקיבל אותה הוא חוסם דרכו את כל התעבורה של רכיב חנות האפליקציות. הבדיקה לא נכשלת. היא פשוט לא מגיעה לשרת. אותה שיטה נצפתה לפי Group-IB גם בגרסה אחרונה של ToxicPanda, ומכאן מגיעה הבקשה השנייה: הרשאת נגישות, שהיא זו שמעניקה למפעיל שליטה מלאה.

מה שהמפעיל עושה איתה כולל למעלה משלושים מסכים מזויפים שנצמדים מעל אפליקציות בנקים אמיתיות וקוראים את הקוד, הסיסמה ותוקף הכרטיס שמוקלדים בהם, שידור חי של המסך ושל כל לחיצה, הקלדה ולחיצות מרחוק, ואיסוף תבנית הנעילה שמשרטטים כדי לפתוח את הטלפון, בעשר מערכות יצרנים. כשהמשתמש מנווט למסך ההגדרות של ניהול האפליקציות, הנוזקה מזהה את זה ולוחצת "חזור" במקומו לפני שהוא מספיק לגעת. את כתובת שרת השליטה שלה היא שולפת מערוץ טלגרם, כך שאפשר להחליף תשתית בלי לעדכן אף מכשיר.

מי עומד מאחורי זה לא ברור. Group-IB מצאה טקסט ברוסית בקבצי ה-HTML של חלק מהמסכים ומעריכה שיש קשר לנוזקת Medusa. הערכה, לא קביעה.

למה זה חשוב לכם

ישראל אינה ברשימת היעדים, נכון לרגע הדוח: שלושים המסכים מכסים בנקים באיטליה, בצרפת, בספרד, בפולין, בפורטוגל, במדינות המפרץ ובקנדה. אבל RemControl נמכרת כשירות, ולקוח שרוצה להוסיף מסך של בנק ישראלי צריך בשביל זה עמוד HTML אחד. הדרך שבה היא מגיעה לטלפון עובדת בעברית בדיוק כמו באיטלקית, ואת אותו שילוב של פרסומת, עמוד Play מזויף והרשאת נגישות ראינו כבר בנוזקות שכן הגיעו לכאן.

מה עושים?

התקינו אפליקציות רק מתוך אפליקציית Play עצמה, לא מעמוד שהגעתם אליו מפרסומת. דף בדפדפן שמציע להוריד קובץ APK הוא לא חנות האפליקציות, גם אם הוא נראה כמוה.

עברו על הרשאת הנגישות במכשיר: הגדרות, נגישות, ושם רשימת האפליקציות שקיבלו אותה. לאפליקציית טלוויזיה או למנקה זיכרון אין שום סיבה להיות שם. כבו כל מה שלא נתתם ביודעין.

אפליקציה שהיא לא אפליקציית VPN מבקשת להקים חיבור VPN? סרבו. בהגדרות הרשת אפשר לראות אם יש במכשיר פרופיל VPN שלא אתם הגדרתם, ואם יש, מחקו אותו.

אם מסך ההגדרות נסגר לבד בכל פעם שאתם מנסים להסיר אפליקציה, זה בעצמו הסימן. הפעילו את הטלפון מחדש במצב בטוח, שבו אפליקציות שהתקנתם אינן נטענות, הסירו אותה משם, ואחר כך התקשרו לבנק מהמספר שבגב הכרטיס.

הרשאת הנגישות נכתבה כדי שמי שמתקשה להשתמש בטלפון יוכל להפעיל אותו בקול או בלחיצה אחת. היא גם מה שמאפשר למישהו אחר להפעיל אותו במקומכם, וזה אותו מתג בדיוק.