Cyberbeveiliger Eset heeft een nieuwe phishing-methode ontdekt die Android- en iPhone-gebruikers financieel kan benadelen. Klanten van een vooraanstaande Tsjechische bank zijn hiermee al aangevallen.
De nieuwe techniek is extra gevaarlijk omdat de installatie van de phishing-software plaatsvindt vanaf een website van derden zonder dat de gebruiker daar toestemming voor hoeft te geven. Op Android kon dit resulteren in de stille installatie van een speciaal soort APK, een soort ‘exe-file’ voor Android die apps installeert buiten de Google Play Store om. Het bedrieglijke is dat bij deze phishing WebAPK’s lijken te zijn geïnstalleerd vanuit Google Play.
Progressive Web Application
De dreiging was tevens gericht op iPhone (iOS)-gebruikers. De phishing-websites die zich richten op iOS geven slachtoffers instructies om een Progressive Web Application (PWA) toe te voegen aan hun startscherm, terwijl op Android de PWA wordt geïnstalleerd na het bevestigen van aangepaste pop-ups in de browser.
PWA-phishing-campagnes zijn zowel op iOS- als Android-gebruikers gericht
Op dit moment zijn deze phishing-apps op beide besturingssystemen grotendeels niet te onderscheiden van de echte bankieren-apps die ze imiteren. De installaties van PWA/WebAPK-toepassingen bevatten geen waarschuwingen voor de gebruiker over de installatie van een toepassing van derden. PWA’s zijn in wezen websites gebundeld in wat aanvoelt als een op zichzelf staande applicatie, waarbij dit gevoel wordt versterkt door het gebruik van native systeem-prompts. PWA’s zijn, net als websites, platformonafhankelijk, wat verklaart waarom deze PWA-phishing-campagnes zowel op iOS- als Android-gebruikers gericht kunnen zijn.
Onschadelijk maken
Op basis van de gebruikte C&C-servers en de backend-infrastructuur concludeert Eset dat twee verschillende dreigingsactoren de campagnes uitvoerden. Eset bracht de banken van de slachtoffers op de hoogte om hen te beschermen en hielp bij het onschadelijk maken van meerdere phishing-domeinen en C&C-servers.
De phishing-campagnes maakten gebruik van drie verschillende url-leveringsmechanismen. Deze mechanismen omvatten geautomatiseerde spraakoproepen, sms-berichten en kwaadaardige advertenties op sociale media. Het afleveren van spraakoproepen gebeurt via een geautomatiseerd gesprek dat de gebruiker waarschuwt voor een verouderde bankieren-app en de gebruiker vraagt om een optie te selecteren op het numerieke toetsenbord. Nadat de juiste knop is ingedrukt, wordt een phishing-url verzonden via sms.
Call-to-action
Sms’jes werden willekeurig naar Tsjechische telefoonnummers verstuurd. Dit sms-bericht bevatte een phishing-link en tekst om slachtoffers te verleiden de link te bezoeken.
Slachtoffers wordt gevraagd om een ‘nieuwe versie’ van de bank-applicatie te installeren
De schadelijke campagne werd tevens verspreid via geregistreerde advertenties op Meta-platforms zoals Instagram en Facebook. Deze advertenties bevatten een call-to-action, zoals een beperkte aanbieding voor gebruikers die ‘onderstaande update downloaden’. Na het openen van de url die in de eerste fase werd geleverd, krijgen Android-slachtoffers twee verschillende campagnes te zien: een phishing-pagina van hoge kwaliteit die de officiële Google Play-winkelpagina voor de beoogde bankapplicatie nabootst, of een nagemaakte website voor die applicatie. Vanaf hier worden slachtoffers gevraagd om een ‘nieuwe versie’ van de bank-applicatie te installeren.
