Experții Kaspersky Lab au descoperit o variantă a troianului bancar Gugi, care poate să treacă setările de securitate ale noului Android 6, concepute pentru a bloca atacurile de phishing și ransomware. Acest troian modificat îi forțează pe utilizatori să-i dea dreptul de a se substitui unei aplicații autentice, de a trimite și vizualiza SMS-uri, de a face apeluri telefonice și multe altele. Este răspândit prin tehnici de social engineering și este tot mai folosit de către infractorii cibernetici: în perioada aprilie – începutul lui august 2016, numărul de victime a crescut de 10 ori.
Scopul troianului Guji este să fure datele de identificare ale utilizatorilor, substituind aplicațiilor bancare legitime unele de phishing, și informațiile privind cardurile de credit, controlând aplicația Google Play Store. La sfârșitul anului 2015, a fost lansată versiunea 6 de Android, cu noi setări de securitate, create pentru a bloca astfel de atacuri. Printre altele, aplicațiile au acum nevoie de permisiunea utilizatorului pentru a schimba setările altor aplicații și trebuie să solicite aprobarea pentru acțiuni cum ar fi expedierea de SMS-uri și apeluri voce, prima dată când vor să le acceseze.
Infectarea inițială cu troianul modificat are loc prin intermediul unor tehnici de social engineering, de obicei cu un SMS spam care îi încurajează pe utilizatori să dea click pe un link compromis. Atunci când este instalat pe un dispozitiv, troianul caută să obțină drepturile de acces de care are nevoie. Când este gata, programul malware afișează următorul mesaj pe ecranul utilizatorului: “necesită acord suplimentar pentru utilizarea de grafice și ferestre”. Nu există decât o variantă de răspuns: “Accept.”
Atunci când utilizatorul dă click pe acest buton, apare un ecran care solicită permisiunea să preia controlul aplicației. După ce primește permisiunea, troianul va bloca ecranul dispozitivului, cu un mesaj în care solicită drepturi de administrator al dispozitivului infectat, iar apoi va cere permisiunea să trimită și să vizualizeze SMS-uri și să facă apeluri.
Dacă nu primește toate permisiunile de care are nevoie, va bloca total dispozitivul infectat. În acest caz, singura opțiune a utilizatorului este să dea “reboot” în “safe mode” și să încerce să dezinstaleze troianul, ceea ce va fi mult mai greu dacă a obținut deja drepturile de administrare a dispozitivului infectat.
Până acum, 93% dintre utilizatorii atacați cu troianul Guji sunt din Rusia, dar numărul victimelor este în creștere. În prima jumătate a lunii august 2016, erau de 10 ori mai multe victime decât în aprilie 2016.
