По данным компании F6, помимо узбекских банков вредонос ищет сообщения от 16 российских и 7 казахстанских банков, 9 маркетплейсов и 8 микрофинансовых организаций. Распространяется под видом обычных приложений — поддельных VPN-сервисов, модификаций игр и программ для просмотра фотографий с названиями вроде Google Photo.apk. После установки и выдачи разрешений троян читает сообщения и пересылает данные операторам.
Контекст
Перехват SMS опасен тем, что так приходят одноразовые коды подтверждения платежей: получив их, злоумышленник проходит проверку банка от имени клиента. Для защиты от мошеннических операций в стране действует самозапрет на кредиты, заявление на который можно подать через портал госуслуг, а финансовый сектор перешёл к обмену данными об атаках: к платформе MISP Центробанка подключены 35 банков и 20 платёжных организаций. Ответственность за нарушение законодательства о персональных данных предусмотрена статьёй 46-2 Кодекса об административной ответственности. Основной путь заражения — установка приложений не из официальных магазинов: разрешение на доступ к SMS даёт постороннему приложению тот самый канал, через который банк подтверждает операции.
Как защитить себя: базовые правила цифровой гигиены
Ниже — общие базовые правила цифровой гигиены и цифровой безопасности. Они не относятся только к этому вредоносу и подходят для защиты от большинства подобных программ, но не дают стопроцентной гарантии. Если вы подозреваете, что деньги или данные под угрозой, сначала обратитесь в свой банк.
Что делать, чтобы не стать жертвой вредоносных приложений
Устанавливайте приложения только из Google Play и других официальных магазинов. Перед установкой посмотрите, кто разработчик, сколько у приложения загрузок и что пишут в отзывах: у подделок обычно мало отзывов или они однотипны.
Проверяйте разрешения, которые запрашивает приложение, и задавайте себе вопрос, зачем они нужны. VPN-сервису, фоторедактору или игровому моду доступ к SMS, уведомлениям и специальным возможностям (Accessibility) не нужен.
Держите включённой проверку Google Play Protect, регулярно обновляйте систему и приложения и время от времени сканируйте устройство антивирусом.
Подключите уведомления банка обо всех операциях и, если банк это поддерживает, подтверждайте платежи в банковском приложении, а не только кодом из SMS.
Если подозрительное приложение уже установлено, отключите интернет и удалите его, затем проверьте в настройках, какие приложения имеют доступ к SMS и специальным возможностям. После этого смените важные пароли с другого, чистого устройства, проверьте последние операции и позвоните в банк по номеру, указанному на карте или на официальном сайте. При признаках компрометации карту лучше сразу заблокировать.
Рассмотрите самозапрет на оформление кредитов на своё имя: это не защищает от заражения, но снижает риск, что мошенники оформят заём с вашими данными.
Чего не делать, чтобы не отдать мошенникам доступ к деньгам и данным
Не скачивайте установочные файлы .apk из мессенджеров, чатов, рекламы, сторонних сайтов и по ссылкам из сообщений, даже если их прислал знакомый: его аккаунт мог быть взломан.
Не открывайте «фото» и «документы» с расширением .apk. Файл с названием вроде Google Photo.apk — это не изображение, а установочный файл приложения.
Не разрешайте браузеру, мессенджеру и файловому менеджеру устанавливать приложения из неизвестных источников.
Не ищите «бесплатные» VPN, взломанные игры и моды вне официальных магазинов: именно под них, по данным F6, маскируется вредонос.
Не выдавайте незнакомым приложениям доступ к SMS, уведомлениям и специальным возможностям, даже если без этого они «не запускаются».
Не вводите PIN-код, пароли и коды из SMS в окна, которые неожиданно появились поверх других приложений, и никому не сообщайте эти коды, в том числе тем, кто представляется сотрудником банка.