Ερευνητές κυβερνοασφάλειας αποκάλυψαν έναν νέο τύπο malware για Android, το οποίο εκμεταλλεύεται ένα εργαλείο προγραμματιστών (το ασύρματο ADB) για να αποκτήσει πλήρη πρόσβαση στη συσκευή του θύματος. Το trojan (RAT), που ονομάζεται RedHook, είναι σχεδιασμένο με τέτοιο τρόπο ώστε να αντιστέκεται σθεναρά ακόμα και σε προσπάθειες απεγκατάστασης.
Πώς μπαίνει το RedHook στο κινητό σας
Η επίθεση ξεκινά με ένα φαινομενικά αθώο μήνυμα. Οι επιτιθέμενοι στέλνουν συνδέσμους μέσω SMS, email, εφαρμογών μηνυμάτων ή κοινωνικών δικτύων, συχνά υποδυόμενοι εκπροσώπους γνωστών εταιρειών ή υπηρεσιών υποστήριξης. Όταν το θύμα κάνει κλικ στον σύνδεσμο, οδηγείται σε έναν ψεύτικο ιστότοπο που μοιάζει πολύ με το Google Play Store και καλείται να κατεβάσει ένα αρχείο APK.
Μόλις εγκατασταθεί η εφαρμογή, ζητά από τον χρήστη να της δώσει δικαιώματα προσβασιμότητας (Accessibility Services), παρουσιάζοντάς τα ως απαραίτητα για τη σωστή λειτουργία της. Αυτό είναι και το πιο κρίσιμο σημείο της απάτης.
Με αυτά τα δικαιώματα, το RedHook μπορεί να ενεργοποιήσει κρυφά το ασύρματο ADB (Android Debug Bridge), ένα εργαλείο που χρησιμοποιούν κανονικά οι προγραμματιστές για να επικοινωνούν με Android συσκευές εξ αποστάσεως. Από εκεί και πέρα, οι επιτιθέμενοι αποκτούν τον πλήρη έλεγχο της συσκευής:
- Μπορούν να βλέπουν την οθόνη σας σε πραγματικό χρόνο.
- Καταγράφουν κάθε πληκτρολόγηση (keylogging), υποκλέπτοντας κωδικούς πρόσβασης.
- Έχουν τη δυνατότητα να παρακάμψουν το κλείδωμα της οθόνης.
Γιατί είναι εξαιρετικά δύσκολο να αφαιρεθεί
Αυτό που κάνει το RedHook ιδιαίτερα επικίνδυνο δεν είναι μόνο η κατασκοπεία, αλλά το πόσο επίμονα προσπαθεί να παραμείνει «ζωντανό» στο τηλέφωνο. Το κακόβουλο λογισμικό χρησιμοποιεί τρία έξυπνα τεχνάσματα για να αποτρέψει την απεγκατάστασή του:
- WakeLock: Ξεγελά το σύστημα ώστε να πιστεύει ότι πρέπει να διατηρεί τη συσκευή πάντα σε λειτουργία.
- Αόρατο Pixel (1×1): Διατηρεί την οθόνη ενεργή μέσω ενός pixel διαστάσεων 1×1 που είναι εντελώς αόρατο στον χρήστη, πείθοντας το Android ότι κάποια ενεργή διαδικασία τρέχει στο προσκήνιο.
- Διπλές παράλληλες υπηρεσίες: Τρέχει δύο παράλληλες διεργασίες που αλληλοπροστατεύονται. Αν ο χρήστης καταφέρει να τερματίσει τη μία, η άλλη την επανεκκινεί αμέσως στο παρασκήνιο.
Ποιους στοχεύει και ποιος είναι ο σκοπός του
Το RedHook εντοπίστηκε για πρώτη φορά πέρυσι από ερευνητές της Cyble, αρχικά σε επιθέσεις στο Βιετνάμ. Η νέα, αναβαθμισμένη έκδοση που περιγράφει τώρα η εταιρεία ασφαλείας Group-IB δείχνει ότι οι επιτιθέμενοι έχουν επεκτείνει τις δραστηριότητές τους στην Ινδονησία και σε άλλες χώρες. Ο τελικός στόχος παραμένει ο ίδιος: η οικονομική εξαπάτηση των θυμάτων μέσω της πλήρους πρόσβασης στα τραπεζικά τους apps.
Πώς να προστατευτείτε από το νέο Android Trojan
Η βασική άμυνα απέναντι σε αυτού του τύπου τις απειλές απαιτεί απλώς προσοχή και μερικούς βασικούς κανόνες ασφαλείας:
- Κατεβάζετε εφαρμογές αποκλειστικά από το επίσημο Google Play Store.
- Μην εμπιστεύεστε ποτέ συνδέσμους που σας προτρέπουν να εγκαταστήσετε αρχεία AP εκτός Store, ακόμη κι αν φαίνεται να προέρχονται από επίσημους φορείς.
- Ελέγχετε πάντα εξονυχιστικά τα δικαιώματα (ειδικά την Προσβασιμότητα) που ζητάει κάθε εφαρμογή.
Η Google εργάζεται ήδη πάνω σε μια μόνιμη λύση που θα απενεργοποιεί αυτόματα την πρόσβαση στις Επιλογές Προγραμματιστή (Developer Options) ως μέρος ενός νέου συστήματος προηγμένης προστασίας. Μέχρι όμως να κυκλοφορήσει επίσημα αυτή η ενημέρωση, η καλύτερη άμυνα παραμένει η δική σας επαγρύπνηση.
