Sprytny atak na klientów Pekao. Wyczyszczą konto zanim mrugniesz

W nowej kampanii phishingowej cyberprzestępcy wykorzystują reklamy na Facebooku do dystrybucji złośliwego oprogramowania na Androida. W tym celu podszywają się pod bank Pekao S.A. oraz aplikację PeoPay. Zainstalowanie appki na telefonie lub tablecie może wiązać się z poważnymi konsekwencjami.

Oszuści podszywają się pod Pekao i PeoPay

W ramach działać operacyjny zespół CSIRT KNF przeanalizował próbkę aplikacji. Ma ona identyfikator "com.immune.park" i prosi o dostęp do wielu uprawnień, w tym między innymi: sieci WiFi, Bluetooth, zapisu i odczytu danych z pamięci zewnętrznej, SMS-ów, dostępu do lokalizacji, a także kamery i mikrofonu.

Niektóre z tych uprawnień są krytyczne pod względem prywatności, co oznacza, że aplikacja ma możliwość dostępu do wrażliwych danych użytkownika i zasobów systemu.

- ostrzega CSIRT KNF.

Z analizy wynika, że aplikacja żąda uprawnień do SMS-ów, a następnie otwiera stronę internetową "https[://]peo-pay-smart.ssmnoida[.]in/" (w pewnych przypadkach do URL jest dodawany parametr "1/?land=riz&id="). Dodatkowo w konfiguracji komponentu WebView widać takie ustawienia, jak:

• Zezwolenie na cookies stron trzecich.
• Włączenie obsługi JavaScript.
• Umożliwienie automatycznego otwierania okien przez JavaScript.
• Zezwalanie na dostęp do plików.
• Ustawianie domyślnego powiększenia i innych opcji wyświetlania, aby poprawić kompatybilność i użytkowanie.
• Ustawienie niestandardowego ciągu user-agenta dla WebView ("Mozilla/5.0 (Linux; U; sugarisfree 2.0;  en-us; Droid Build/ESD20panicake) AppleWebKit/530.17 (KHTML, like Gecko) Version/4.0 Mobile Safari/530.17").

Poza tym aplikacja wykrada SMS-y, w tym także te niewysyłane. Zdaniem ekspertów ma praktycznie pełną obsługę wiadomości tekstowych. Prawdopodobnie też przez komponent WebView prezentuje fałszywą stronę logowania do banku, co pozwala na kradzież poświadczeń logowania, a następnie przez SMS zdobywa kod uwierzytelniający.

W skrócie zainstalowanie aplikacji na swoim urządzeniu jest niezwykle niebezpieczne i może doprowadzić do kradzieży pieniędzy z konta. Dane fałszywej appki to:

• Nazwa aplikacjiPeoPay Smart (com.immune.park)
• Md5: b1940ef6bf923ec8495bc2f6ebcbe135
• Sha1: 967f951fff220f8903fc1ece4d10dc2820dc27f3
• Sha256:db0fba3e7e05c7800b533d9a3ac0cd12f4500c3ec17aba1bd77ba40461dae6e0