Článek
Název Android Rat je poměrně trefný, neboť pod zkratkou Rat se skrývá anglické označení Remote administration tool, tedy česky nástroj vzdálené správy. To patrně nejvíce vystihuje, jak se tyto škodlivé kódy, které se mimochodem často šíří přes komunikační aplikaci Telegram, v praxi chovají.
Přestože se tyto nezvané návštěvníky podařilo odhalit až nyní, v internetovém podsvětí se používají už od druhé poloviny loňského roku. „V březnu 2018 byl zdarma zveřejněn zdrojový kód na pirátských kanálech aplikace Telegram. Ve výsledku se podařilo vypustit do oběhu několik verzí tohoto malwaru,“ varoval Pavel Matějíček, manažer technické podpory české pobočky společnosti Eset.
„Jedna z verzí malwaru se výrazně odlišovala od ostatních. I přes to, že došlo ke zveřejnění zdrojového kódu, byla nabízena jako zpoplatněná služba na hackerských kanálech aplikace Telegram pod jménem HeroRat. K dostání je ve třech cenových kategoriích v závislosti na množství funkcí. Hackeři lákají uživatele ke stažení tohoto nástroje prostřednictvím falešných reklam, přes App Story třetích stran, sociální média a aplikace pro komunikaci,“ konstatoval bezpečnostní expert.
Slibují hory doly
Ten zároveň upozornil na to, že některé verze Android Ratů slibují například bezplatné internetové připojení, získání followerů na sociálních sítích či bitcoiny zadarmo. Útočníci se zkrátka neštítí využít jakékoliv atraktivní téma, aby svou oběť nalákali ke stažení aplikace.
Malware HeroRat funguje na všech verzích Androidu, napadený uživatel mu však nejprve musí schválit žádost o udělení oprávnění, v některých případech dokonce o správu zařízení. To však méně pozorní uživatelé pod vidinou možného zisku patrně skutečně udělají.
Poté, co je malware nainstalován a spuštěn na zařízení napadeného uživatele, objeví se vyskakovací okno, podle kterého nemůže být aplikace spuštěna, a proto je třeba ji odinstalovat.
„V těch verzích, které jsme sledovali, byla zpráva napsána v angličtině nebo perštině v závislosti na nastavení jazyka v daném zařízení. V momentě, kdy se zdánlivě dokončí odinstalace, ikona aplikace zmizí. Pro hackera to však znamená zaregistrování dalšího napadeného zařízení,“ vysvětlil Matějíček.
Napadené zařízení špehují
Získáním přístupu k napadenému zařízení dojde k integraci Telegram bota, který kontroluje nově ovládnuté zařízení. Zmíněný malware má širokou škálu možných funkcí špehování a manipulace s daty, včetně zachytávání příchozích zpráv, odesílání zpráv, vytáčení hovorů, nahrávání zvuků, videí, zaznamenávání polohy a kontroly nastavení zařízení.
„Po zveřejnění zdrojového kódu malwaru se dá předpokládat, že vzniknou nové verze, které se budou šířit po různých částech světa. Způsob šíření a maskování tohoto malwaru se může výrazně lišit. Pro zjištění, zda je naše zařízení napadené, proto nestačí pouze sledovat přítomnost konkrétní aplikace ve vašem zařízení. Pokud se domníváte, že vaše zařízení mohlo být napadeno tímto malwarem, doporučujeme ho proskenovat spolehlivým bezpečnostním programem,“ uzavřel bezpečnostní expert.