„Podařilo se nám zachytit nástroj na nahrávání hovorů QRecorder. Na základě naší interní analýzy můžeme říci, že původně legitimní aplikace byla tzv. ztrojanizovaná. To znamená, že po jedné z posledních aktualizací se z QRecorderu stal tzv. trojský kůň. Ten umožňuje útočníkům stáhnout do chytrého telefonu s operačním systémem Android nebezpečný obsah, což se také děje,“ řekl Miroslav Dvořák, technický ředitel české pobočky společnosti ESET. 

Na operačním systému Android v současnosti běží naprostá většina chytrých telefonů na českém trhu. Uživatelů iPhonů, které mají vlastní operační systém iOS, se tato hrozba netýká. Z analýzy bezpečnostních specialistů společnosti ESET prozatím vyplynulo, že malware v telefonu čeká na zašifrovaný příkaz ze serveru útočníka, na základě kterého vykoná požadovanou aktivitu.

V první fázi škodlivý kód zjišťuje, zda jsou v telefonu aplikace, které mohou být pro útočníky zpeněžitelné a nemusí se jednat pouze o bankovní aplikace. Následně je do telefonu stažen modul, který vytvoří neviditelnou vrstvu nad cílovou aplikací, například internetovým bankovnictvím, a snímá přihlašovací údaje uživatele.

Útočníci dále mají přístup do SMS zpráv, které jsou nejčastějším druhým ověřovacím faktorem při převodech peněz. Útočníkům tedy nic nebrání, aby si vzdáleně posílali peníze z účtu napadeného uživatele na cizí bankovní účty bez jeho vědomí.

„Útočníci pomocí tohoto malware cílí primárně na uživatele z České republiky, Polska a německy mluvících zemí. Respektive cílí na každého, kdo má přednastavenou českou, polskou či německou jazykovou lokalizaci operačního systému Android. Cílení na české uživatele je přitom výjimečné,“ dodal Dvořák.

Banky varovaly své klienty

Česká bankovní asociace (ČBA) zaznamenala informaci o tom, že některé české banky v posledních dnech čelily několika pokusům o zcizení peněz klientů prostřednictvím podvodné mobilní aplikace QRecorder. Dotčené banky hrozbu identifikovaly a své klienty o nebezpečí informovaly. Doporučili jim zkontrolovat své mobilní telefony a pokud zjistí, že mají nainstalovanou aplikaci Qrecorder, aby ji neprodleně odinstalovali.

„Klientům, kteří si nejsou jisti, zda jejich mobilní telefon nebyl napaden, doporučujeme, aby se obrátili na svou banku a případně se poradili o možných způsobech, jak se co nejlépe ochránit,“ říká poradce ČBA pro platební styk a kyberbezpečnost Tomáš Hládek

„Doporučujeme vždy důkladně promyslet, jakou aplikaci či její doplněk do svého mobilního zařízení stahujete a z jakých zdrojů. Zvýšenou pozornost věnujte recenzím u aplikace, počtu stažení apod. Aplikaci pak povolte jen minimální oprávnění odpovídající jejímu účelu,“ pokračuje Hládek.

Podle ESETu však není způsob, jak se uživatel může proti podobným útokům bránit, v tomto případě jednoznačný. Aplikace byla stažena z legitimního zdroje Google Play a dříve nepředstavovala žádné riziko. Kromě instalace bezpečnostního softwaru proto představuje jedinou cestu důsledná kontrola požadovaných oprávnění aplikace s ohledem na její primární a legitimní účel.