SpyNote jde po kryptoměnách. Vmžiku vysaje celou peněženku

Trojského koně SpyNote zachytili bezpečnostní experti již v roce 2020, od té doby se postupně propracoval v globálním měřítku až mezi ty nejrozšířenější hrozby pro platformu Android.

Výzkumníci z FortiGuard Labs nedávno objevili nový vzorek tohoto malwaru, který se maskoval za legitimní krypto peněženku.

„Jako dnes většina malwaru pro Android, i SpyNote zneužívá rozhraní API pro přístupnost, které slouží primárně osobám se zdravotním postižením, protože dokáže automaticky provádět celou řadu akcí v uživatelském rozhraní,“ popsal techniku tohoto záškodníka Ondřej Šťáhlavský, regionální ředitel společnosti Fortinet pro střední a východní Evropu.

„Malware zneužívající toto rozhraní tak dokáže například zaznamenat gesto pro odemčení zařízení nebo nově využívá toto rozhraní při útoku na známé krypto peněženky,“ doplnil Šťáhlavský.

V praxi to znamená, že tento nezvaný návštěvník dovede automaticky vyplnit formulář a převést libovolnou částku v kryptoměně do peněženky kyberzločinců. Majitelé kryptoměn, kteří používají virtuální peněženky přímo v operačním systému Android, by tedy měli být velmi obezřetní, jaké aplikace instalují do svého zařízení.

SpyNote se totiž ukrývá za důvěryhodné aplikace a čeká, až mu uživatel umožní přístup ke svému zařízení. „Pro přístup k API rozhraní pro přístupnost musí malware přesvědčit uživatele, aby mu udělil potřebná oprávnění. Tady je na místě zvýšená opatrnost. Zatímco v případě aplikací zaměřených na uživatele s hendikepem je žádost o přístup oprávněná, pokud přijde od domnělých krypto peněženek, PDF čteček, videopřehrávačů a podobně, měli bychom k ní vždy přistupovat s velkou obezřetností,“ podotkl bezpečnostní expert.

SpyNote spadá do kategorie tzv. RAT virů. Název je to poměrně trefný, neboť pod zkratkou se skrývá anglické označení Remote administration tool, tedy česky nástroj vzdálené správy. To patrně nejvíce vystihuje, jak se tyto škodlivé kódy v praxi chovají.

Před pár týdny varovali bezpečnostní experti Check Pointu, že RAT viry se stále častěji šíří také v České republice. To je i případ záškodníka zvaného NanoCore, který byl v našich končinách objeven hned v několika různých variantách.

Útočníci se nejčastěji snaží malwarem NanoCore infikovat počítačové systémy firem a organizací. To ale neznamená, že by se s ním – a jeho následky – nemohli setkat i běžní uživatelé.

V globálních statistikách patří tomuto záškodníkovi podle nejnovější analýzy Check Pointu třetí příčka mezi hrozbami pro organizace. V Česku jde dokonce o tu vůbec nejrozšířenější hrozbu.

RAT malware NanoCore umožňuje útočníkům převzít kontrolu nad počítačem a daty obětí. Nejnovější verze také napadený stroj dovede zneužít k těžbě kryptoměn. Uživatel si tak může všimnout, že je jeho systém napaden, pokud došlo k náhlému zpomalení odezvy operačního systému a jednotlivých programů.

„Všechny odhalené verze obsahují základní pluginy a funkce, jako je snímání obrazovky, těžba kryptoměn či vzdálené ovládání,“ varovali bezpečnostní experti Check Pointu.