Новый вариант банковского трояна Gugi способен обойти функции безопасности, внедренные Google в Android 6.0, говорят исследователи безопасности Kaspersky. Зловред детектируется как Trojan-Banker.AndroidOS.Gugi.c и имеет механизмы для обхода защиты, основанной на политике разрешений для приложений в Android. Самое интересное, что троян не использует уязвимости для обхода защиты, зато использует социальную инженерию.
Gugi распространяется в основном через SMS-спам, в котором утверждается, что пользователю пришло фото, доступное по ссылке. Как только пользователь переходит по ссылке, вредоносная программа устанавливается на устройство.
Вредоносная деятельность трояна заключается в том, что он перекрывает банковские приложения и Google Play своими фишинговыми окнами, которые позволяют ему похищать учетные данные и данные кредитной карты. Android 6 требует от приложений запроса на разрешение пользователем таких действий и Gugi нашел способ обойти эту меру защиты.
Сначала пользователю выдается окно предупреждения «Необходимы дополнительные права для работы с графикой и окнами», окно имеет лишь одну кнопку «Разрешить». После нажатия этой кнопки появляется диалоговое окно, уведомляющее, что приложение имеет функцию наложения на другие приложения.
Как только троянец получает разрешение, он блокирует устройство, показывая свое окно поверх всех остальных. Окно включает в себя одну кнопку "Активировать", не оставляя пользователям другого выбора, кроме как разрешить вредоносной программе все, что она запрашивает.
«После нажатия на эту кнопку пользователи получат непрерывный ряд запросов для всех прав, которые требуются трояну. Без того, чтобы предоставить все права зловреду в главное меню попасть не получится. Кроме всего, троян запрашивает права администратора устройства, это своего рода средство самозащиты, так как с таким правами его сложно будет удалить» - исследователь Лаборатории Касперского.
После получения прав администратора Gugi запрашивает разрешение на отправку и просмотр SMS-сообщений, а также на совершение звонков. По мнению исследователя, единственный способ, которым может воспользоваться пользователь – перезагрузить устройство в безопасном режиме и попытаться удалить троян.
Если вредонос получил все требуемые разрешения, то дальше он ведет себя как обычный банковский троян – перекрывает собой приложения, чтобы красть учетные данные пользователей. Также данный вид может красть SMS и контакты, делать USSD-запросы и использовать протокол Websocket.
Как сообщила Cisco, злоумышленник смог обманом получить доступ к данным пользователей Cisco.com. Всё произошло после фишингового звонка (так называемый «вишинг» — когда атакуют через голосовую связь), во время которого киберпреступник притворился сотрудником и убедил представителя Cisco выдать ему доступ.
Инцидент обнаружили 24 июля. Киберпреступник получил и выгрузил часть данных из облачной CRM-системы, с которой Cisco работает через стороннего подрядчика.
Утекла базовая информация о клиентах: имена, названия компаний, адреса, имейлы, телефоны, ID пользователей, а также технические детали вроде даты создания аккаунта.
Сколько всего пользователей пострадало — в Cisco не говорят. Представитель компании отказался уточнить масштабы утечки.
Судя по всему, это не первый случай взлома через такие CRM-платформы. Ранее сообщалось о похожих инцидентах у Allianz Life, Tiffany & Co., Qantas и других компаний, данные которых хранились в системах Salesforce. Известно, что Cisco тоже является клиентом Salesforce.
Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
