Преступники захватывают банковские приложения через виртуализацию: как защититься?

Специалисты лаборатории Zimperium zLabs обнаружили новую модификацию вредоносной программы GodFather, использующую технологию виртуализации прямо на устройстве жертвы для взлома банковских и криптовалютных приложений. В отличие от старых версий, где пользователь видел поддельные экраны входа, теперь злоумышленники запускают настоящие приложения в виртуальном пространстве. Они наблюдают за каждым действием: любой ввод PIN-кода, логин или нажатие — всё фиксируется в реальном времени.

Вредонос начинает работу с так называемого "хост-приложения" — программы, в которую встроен виртуализатор. Это приложение скачивает нужное банковское или крипто-приложение и запускает его отдельно от основной системы. Пользователь думает, что работает в родном приложении, но все его действия становятся видимыми для атакующих — отличить реальное приложение от поддельной виртуализированной копии визуально невозможно.

GodFather применяет приёмы маскировки: его код упакован при помощи ZIP-архивов и написан так, чтобы обойти статический анализ. Программа запрашивает права доступа для "особых возможностей", после чего сама себе расширяет разрешения — незаметно для владельца смартфона.

Как отмечает Фернандо Ортега, старший исследователь безопасности Zimperium zLabs, атаки уже не ограничиваются простыми подделками интерфейса — виртуализация даёт хакерам полный доступ непосредственно к работающим приложениям-жертвам. Эксперты советуют крупным компаниям использовать защиту, основанную на анализе поведения, и технологии, которые выявляют подозрительную активность уже во время работы приложений, — иначе мошенники останутся незамеченными.

По данным Zimperium, новая версия GodFather в основном нацелена на банки Турции, но всего атаке подвергаются около 500 различных приложений по всему миру. Среди них сервисы финансов, криптовалюты, электронная коммерция и мессенджеры. Вредонос сканирует устройство на наличие интересующих злоумышленников приложений, копирует их в виртуальную среду и через поддельные или клоновые версии собирает личные данные и отслеживает действия пользователя. Кроме того, GodFather умеет похищать данные блокировки экрана методом поддельных окон, похожих на системные запросы.

Управление захваченным смартфоном осуществляется удалённо: у мошенников есть целый набор команд, которыми они могут "провести пальцем", открыть приложения, изменить яркость экрана, а также имитировать поведение пользователя.