A kártevő képességei között szerepelt például, hogy jogszerű alkalmazások felugró ablakait utánozta, lezárta az eszközök képernyőjét, ezzel leplezve a háttérben folytatott adatlopásokat, valamint képes volt visszatartani SMS üzeneteket, helyettük pedig hamis értesítéseket küldött a kétfaktoros hitelesítés kijátszásának érdekében. Az ESET figyelmeztetésére április 10-én eltávolították a kártevő alkalmazást a Play Store alkalmazásai közül.
A telepítést követően a kártevő az adminisztrátori jogokhoz kér hozzáférést, amit az Android 6.0, vagy annál újabb verziójú készülékek felhasználóinak manuálisan kell engedélyezniük. Ezt követően az alkalmazás elrejti az ikonját az eszközön és csak widgetként jelenik meg.
Az alkalmazás futtatásával a trójai program továbbítja az eszköz adatait a támadók szerverére, és emellett még egy fényképet is csatol a felhasználóról, az előlapi kamerát használva. Amennyiben az eszközadatok Oroszországból, Ukrajnából vagy Belorussziából származnak, a kártevő automatikusan felfüggeszt minden addigi tevékenyégét az eszközön. A támadók feltehetőleg ezzel a hazai lelepleződést próbálták elkerülni. A kártevő a mobileszközökre letöltött különféle alkalmazáskat veszi célba (például: Commbank, NAB, Westpac Mobile Banking, Facebook, WhatsApp, Instagram, Google Play), és HTML kódok segítségével fér hozzájuk azok elindításakor, majd egy hamis felugró adathalász ablakban kéri a felhasználót a hitelkártya adatainak, illetve banki azonosítójának megadására. A belépési azonosítók ezután a támadók szerverére továbbítódnak.
Az eszköz blokkolásakor a támadók egy hamis frissítési ablakkal zárolják a képernyőt, ezáltal elfedik a háttérben folytatott bankszámla tranzakciókat, és egyúttal azt is megakadályozzák, hogy a felhasználó beavatkozzon a folyamatba. Az ESET kutatása szerint ez az applikáció az Android/Charger egy módosított verziója, amelyet még 2017 januárjában fedeztek fel. A korábbi verziótól eltérően a Trojan.Android/Charger.B már nem képernyőzáras zsarolásokkal próbálkozik, hanem a banki adatok megszerzésével fér hozzá a bankszámlákhoz. Ritka fejlődési jelenségnek számít ez az Android kártevők történetében.
Hogyan ismerhető fel, és távolítható el a kártevő? Ha a közelmúltban töltöttünk le valamilyen világító applikációt, érdemes ellenőrizni, nem fertőződött-e meg a készülékünk ezzel a trójaival.
Keressünk itt: Beállítások > Alkalmazáskezelő > Flashlight Widget!
Míg magát a kártékony alkalmazást könnyen megtalálhatjuk, annál nehezebb azt eltávolítani az eszközünkről. A Charger trójai ugyanis folyamatosan újra engedélyezteti az adminisztrátori jogosultságait, amikor megpróbáljuk inaktiválni azokat. Ezt úgy kerülhetjük ki, hogy Biztonsági módra állítjuk az eszközt és utána már eltávolíthatjuk a kártevőt. Ennek lépéseiről bővebb információt ad az alábbi videó:
Nem először történik hasonló eset, például 2013-ban is lebukott már egy olyan kémkedő zseblámpa, ahol eladták a felhasználók adatait. Hogyan védekezzünk az ilyen támadások ellen? Válasszunk hivatalos letöltő oldalakat, amikor csak lehetséges! Bár a Google Play sem hiba mentes, de kellően fejlett védelmi rendszereket alkalmaz a kártevők távoltartásának érdekében.
Ha kétségeink támadnának egy alkalmazás megbízhatósága felől, ellenőrizzük a letöltések számát, a rá adott értékeléseket, de legfőképp a szöveges visszajelzéseket. Bármilyen alkalmazás futtatásakor ellenőrizzük, milyen engedélyeket és jogosultásokat kér, és amennyiben ezek nem szükségesek a kínált funkcióhoz, érdemes átgondolni, valóban le akarjuk-e tölteni.
Nem utolsó sorban használjunk egy megbízható mobil biztonsági megoldást, amely védelmet nyújt a legújabb veszélyek ellen is!
