Android-троян научился обходить двухфакторную аутентификацию

Лукас Стефанко, эксперт в области кибербезопасности антивирусной компании ESET, узнал о существовании нового Android-трояна, который научился миновать двухфакторную аутентификацию и воровать денежные средства пользователей PayPal. Вредоносная программа скрывается под видом утилиты для оптимизации энергопотребления смартфонов и распространяется посредством скомпрометированных ресурсов и альтернативных магазинов приложений.

После установки троян сканирует устройство на предмет присутствия приложения PayPal запрашивает доступ к специальным возможностям, а потом скрывает свою пиктограмму с рабочего стола. После этого пользователю отправляется уведомление с рекомендацией войти в учетную запись PayPal под предлогом проверки данных с целью обеспечения безопасности.

Как защититься от Android-трояна

Если жертва подчиняется, авторизуясь в приложении, в дело вступают специальные возможности устройства, которые имитируют нажатия на экран и таким образом переводят со счета 1000 долларов/евро в зависимости от региона нахождения. По словам Стефанко, весь процесс занимает не более 5 секунд и не предполагает сколь-нибудь эффективного способа вмешаться в него. А поскольку троян не занимается подлогом, дожидаясь, пока пользователь сам откроет приложение PayPal, то даже двухфакторная аутентификация не оказывает каких-либо препятствий.

Несмотря на то что троян в первую очередь рассчитан именно на пользователей PayPal, в случае отсутствия на устройстве официального приложения платежного сервиса, тот обращается к фишингу. Он загружает оверлейные компоненты, которые перекрывают экраны авторизации в приложениях Google Play, WhatsApp, Skype, Viber и Gmail и предлагают жертве ввести данные ее банковской карты.

Обсудить эту и другие новости Android можно в нашем Telegram-чате.

Теги
Лонгриды для вас
Почему пользователи Android массово бегут на iPhone SE 2020

iPhone всегда был объектом вожделения для части пользователей Android. А чтобы не выдать себя, именно они всегда первыми вступали в перепалку и пытались доказать, что смартфоны Apple – полный шлак, а вот какой-нибудь Xiaomi или Pocophone превосходит их во всём. Не то чтобы хоть кому-то было интересно это противостояние, но тем удивительнее было наблюдать за тем, как бывшие фанаты Android, словно под дудку крысолова, при первой возможности дружно пересаживаются на iPhone. Думаете, так не бывает? А новый iPhone SE показал, что бывает.

Читать далее
Google Maps
Как скачать свои данные из Google Maps

Тотальная слежка, которой так боялись авторы произведений в стиле антиутопии – это явление, которое сегодня сопровождает нас повсеместно. Если у вас есть смартфон, можете быть уверенным, что оно не обошло стороной и вас. Точки доступа Wi-Fi, LTE, Bluetooth, NFC, GPS – все эти и многие другие интерфейсы позволяют корпорациям десятки раз в минуту фиксировать ваше местоположение, направление вашего движения и даже людей, с которыми вы невольно сталкиваетесь, не обращая на это никакого внимания. Конечно, большая часть этих данных хранится на закрытых серверах, но некоторые из них получить всё-таки можно.

Читать далее
TikTok на iPhone
Почему для TikTok лучше выбрать iPhone, чем Android

Наверное, все уже знают, что такое TikTok. А те, кто не знает самого термина, поймут, о чём речь, если предложить им коротенькое описание. Понять популярность этого сервиса немудрено. Короткие видео, сдобренные качающими треками, просто не могли не привлечь подростков, а за ними и людей постарше, которые готовы ко всему новому и увлекающему. Особенно здорово, что TikTok доступен и на iOS, и на Android, позволяя пользоваться им с любого смартфона. Правда, если вы всерьёз заинтересовались этим сервисом, лучше всё-таки выбрать iPhone.

Читать далее
7 комментариев Оставить свой
  1. yalx

    Спасибо за предупреждение

  2. rimidal-V

    Непонятно, как он снимает деньги с ПейПал-а. У меня лично там нет денег. Приложение по моему велению снимает деньги с карты и переводит получателю. Но для этого надо ввести мыло получателя.

    • 美少女

      Думаешь, троян не сможет ввести мыло получателя?

  3. rimidal-V

    Какого❓

  4. TheSingleElk

    в общем, как обычно на андроиде: надо пойти на левый ресурс, скачать и установить свистоперделку (для чего отключить встроенную защиту ведроида от установки с левых ресурсов). при этом надо «держать все яйца в одной корзине» — т.е. иметь платёжное приложение на том же телефоне, который используется для двухфакторной идентификации… я уже не говорю о том, что держать на счёте в пейпал очень немаленькую сумму. самый слабый компонент — прокладка между креслом и клавиатурой

    • Иван Кузнецов

      Не нужно ничего держать на счете. Средства сами подтягиваются из привязанной карты. К тому же, не думаю, что многие пользователи держат второй телефон только для двухфакторной аутентификации.

      • TheSingleElk

        а, то есть к телефону надо привязать основную карту? мда… шедеврально. просто для примера рассказываю как это сделал я для себя. зарплатная карта в сбере. вторая карта — виртуальная для покупок. туда кидаю небольшие суммы по мере исчерпания денег. она и привязана к телефону (к Google Pay). в личный кабинет сбера захожу только через веб-интерфейс и никогда — с телефона (никакого сбербанк-онлайн на телефон не ставлю и не буду). пароль от личного кабинета — 16 символов. хранится в запароленном архиве на флешке. флешку в телефон никогда не пихаю. через буфер обмена пароль не передаю. логин от личного кабинета — в голове. никаких свистоперделок (оптимизаторов заряда, памяти, ускорителей процессора и прочей алхимической мути) на телефон не ставлю. «альтернативными» магазинами приложений не пользуюсь. собственно, всё. система мне удобна и почему-то мне кажется, что вероятность воровства денег с моего счёта не очень велика 🙂
        а то люди сделают всё, чтобы их деньги спёрли а потом «ой, злобный троян!» в голове у них злобный троян.

Новый комментарий