neprihlásený Streda, 25. novembra 2020, dnes má meniny Katarína
Pozor na mobilné aplikácie, v Česku ľuďom cez jednu ukradli dva milióny

Značky: AndroidEsetbezpečnosť

DSL.sk, 26.9.2018


Používatelia by sa mali mať na pozore pri inštalácii mobilných aplikácií, automaticky im nedôverovať a to ani v prípade ich inštalácií z oficiálnych obchodov.

Aktuálne to dokumentuje prípad mobilnej aplikácie pre Android a prípady jej zneužitia v susednej Českej republike.

Na aplikáciu s menom QRecorder včera upozornila slovenská antivírusová spoločnosť Eset. Aplikácia pre nahrávanie hovorov sa nachádzala v oficiálnom obchode s aplikáciami Google Play, po nedávnej aktualizácii sa podľa Esetu z legitímnej aplikácie stal ale trójsky kôň obsahujúci aj škodlivý kód.

Eset neavizuje, že aplikácia by mala byť škodlivou kópiou inej originálnej aplikácie, naopak hovorí o legitímnej aplikácii a jej škodlivej aktualizácii.

Škodlivý kód čaká na príkaz z riadiacich serverov a po detekcii zneužiteľných aplikácií sa stiahne ďalší kód. "Následně je do telefonu stažen modul, který vytvoří neviditelnou vrstvu nad cílovou aplikací, například internetovým bankovnictvím, a snímá přihlašovací údaje uživatele," uvádza Eset. Aplikácia má prístup aj do SMS správ, útočníkom tak umožňuje prekonať aj dvojfaktorové overovanie.

Či aplikácia zneužila aj nejakú bezpečnostnú zraniteľnosť v Androide alebo takéto správanie je možné aj s vyžiadanými oprávneniami, ktoré jej schválili užívatelia, Eset nerozoberá.

Aplikácia podľa antivírusovej spoločnosti cielila netypicky na zariadenia s jazykou lokalizáciou aj menšej krajiny, českou, a tiež poľskou a nemeckou. Z Google Play obchodu už bola stiahnutá, Eset v oznámení neuvádza informácie ako útočníci pridali škodlivú aktualizáciu a či je to už známe.

Dnes následne česká polícia informovala, že pomocou aplikácie podľa všetkého útočníci ukradli peniaze z bankových účtov. "Z běžně používané aplikace, která slouží k nahrávání telefonních hovorů, se po její aktualizaci ve druhé polovině měsíce září 2018 stala hrozba, neboť obsahovala malware typu trojský kůň, na základě kterého pachatel získal zejména přístupové údaje k internetovému bankovnictví a SMS zprávám uživatele. Po získání těchto přístupových údajů do internetového bankovnictví si pak neznámý pachatel minimálně v 5ti případech převedl z účtů poškozených částku bezmála 2 milióny korun," uvádza oznámenie polície.

Stopercentné odporúčanie ako predchádzať podobným incidentom zrejme nie je k dispozícii. Užívatelia by v každom prípade nemali paušálne schvaľovať aplikáciám ľubovoľné oprávnenia, ak nie sú potrebné pre základnú funkčnosť aplikácie.

Veľmi dôležité je zároveň automaticky nedôverovať aplikáciám z obchodov aplikácií a individuálne posudzovať dôveryhodnosť aplikácie a jej tvorcu. Napríklad v prípade Google Play bolo v tomto obchode identifikované doteraz veľké množstvo škodlivých aplikácií, ktoré sú niekedy kópiou legitímnych aplikácií. Faktorom hovoriacim v prospech aplikácie ale nie zárukou môže byť aj veľmi vysoká používanosť v podobe udávaného počtu užívateľov, ktorá môže odlišovať originálnu aplikáciu a jej kópie a vďaka ktorej zároveň aspoň môže byť prípadný problém objavený s väčšou pravdepodobnosťou.

Ako sú reálne účinné mobilné antivírusové riešenia a či sú účinnejšie ako zabudované ochrany od Google v Androide a Google Play nie je jasné.


      Zdieľaj na Twitteri



Najnovšie články:

Podľa Torvaldsa je plná podpora Linuxu na ARM Macoch nepravdepodobná
Sci-fi The Expanse dostane ďalšiu sériu, poslednú
Spotreba elektriny na Slovensku je už vyššia ako minulý rok
Apple má pripravovať 12-jadrový ARM procesor pre PC, má byť ešte výrazne rýchlejší
Čína úspešne vypustila sondu, ktorá prinesie materiál z Mesiaca


inzercia



Diskusia:
                               
 

Bol takyto nejaky podobny pripad aj pre Apple? #hatefree
Odpovedať Známka: 0.0 Hodnotiť:
 

skor nie, a ak ano tak velmi zriedka. Do google play da hocikto hocico. Ale do apple store je to uz trosku vacsi problem. Apple ti dovoli spravit appku len ak si platis 99$ rocne za to ze si developer pre apple platformu. Takze to obmedzi script kiddies a neserioznych amaterov. Okrem toho robia dost prisny code review, nie vsetky appky schvalia. Musis si nastudovat app policies, ze co nesmies co smies, a oni to potom naozaj skontroluju.
Odpovedať Známka: 7.2 Hodnotiť:
 

nejde ani tak o to ci sa to dostane do App store, ale o to ze technicky nie je mozne v iOS spravit takyto malver. Ziadna appka nemoze vytvorit "vrstvu" nad rozhranim inej appky a kradnut z nej data - to je nonsens. A nie je ani mozne udelit a potvrdit uzivatelom taketo prava. Taktiez appky nemaju ziadny pristup k SMS spravam.
Holt, uzavretost ma svoje vyhody :)
Review appiek v Apple je len cast zabezpecenia, uz parkrat sa stalo ze sa do App store dostala appka ktora potajme robila aj nieco ine co mala, ale to boli blbosticky typu skryty gameboy emulator co je vec ktora by normalne nebola schvalena.
Asi najvacsi "pruser" bol pristup ku kontaktom a ich nasledne odosielanie appkou (tusim) Path, ale tento pristup musel uzivatel schvalit. Na vacsie zaskodnicke akcie jednoducho v iOS nie je sanca.



Odpovedať Známka: 0.3 Hodnotiť:
 

Lenže tu nejde vobec o to ci je to technicky mozne, ale ci je na co za quo jedno quid priekazne dost.
Odpovedať Známka: -8.3 Hodnotiť:
 

V takom prípade sa poďme baviť o Windows Phone 8.1 ktorého nevedeli hacknúť ani cez vstavaný IE (dokázali prečítať iba uložené cookies). Na WP si nikdy nemal a ani nebudeš mať takýto prípad, pretože tam ti systém napr. neumožní nahrávať hovory a podobne. Takže nemusíš riešiť ani BFU či odkliknú všetky práva alebo nie... Škoda ho, že sa nepresadil, páčil sa mi ten systém...
Odpovedať Známka: 7.8 Hodnotiť:
 

nokia 735 win 8.1 pouzivam dodnes. potrebujem ale novy tel
Odpovedať Známka: 2.0 Hodnotiť:
 

Jasne, kto nic nerobi, nic nepokazi, a preto si zasluzi odmenu.
Su situacie, ked sa take nahravanie hovorov moze zist. Aj ine funcionality. Ked ta system nikam nepusti, je sanca, ze bude bezpecnejsi, ale zase zalezi, na co telefon potrebujes.
Odpovedať Známka: 10.0 Hodnotiť:
 

urcite nie na nahravanie hovorov...
Odpovedať Známka: -10.0 Hodnotiť:
 

Mam z prvej ruky, ze pri iOS appkach, kde mas subscription, ti chodia ucty mimo platobneho obdobia. Inymi slovanmi, legitimna appka, ktora ma pristup k tvojmu uctu, ti uctuje veci, ktore si si neobjednal. Ciastky su male, menej ako 5Euro a ludia to nechaju tak, lebo reklamacia chce cas a energiu. (Verim ze sa rovnake deje na Androide, no toto mam z prvej ruky na iOS).
Odpovedať Známka: -10.0 Hodnotiť:
 

Co znamena "chodia ucty mimo platobneho obdobia"?. Celemu tvojmu prispevku som nepochopil
Odpovedať Známka: 10.0 Hodnotiť:
 

Co trepeš chujoviny. Vo win phone sa nahravanie hovorov da normalne spustiť priamo pri telefonovani. A hocikedy potom si to spustis alebo prenesies do pc ako obyčajný mp3 subor.
Odpovedať Hodnotiť:
 

To neviem, ale našiel som toto:
16-Year-Old Teen Hacked Apple Servers, Stole 90GB of Secure Files.

The teenager from Melbourne, Australia, managed to break into Apple servers and downloaded some 90GB of secure files, including extremely secure authorized keys used to grant login access to users, as well as access multiple user accounts.

thehackernews.com/2018/08/apple-hack-servers.html

Odpovedať Známka: 1.8 Hodnotiť:
 

bavime sa o operacnych systemoch v smartphonoch, nie o bezpecnosti serverov.
Odpovedať Známka: 10.0 Hodnotiť:
 

Máš pravdu, nejde o analogický prípad, súhlasím. Snažil som sa len narušiť hegemóniu názoru Apple = bezpečnosť.
Odpovedať Známka: 10.0 Hodnotiť:
 

Lenze Apple je bezpecnost co sa tyka App Store. Vysvetlim:
Najprv robia automaticky scan, ci nepouzivas nejake private API atd. Potom robia aj manualny test a ked napriklad tvoja appka je kalkulacka a vyzaduje pristup k mikrofonu alebo kontaktom tak to musis najprv adekvatne vysvetlit ze preco.
Po dalsie ako firma ak si registrujes Apple ucet, tak ti volaju a overuju viacere informacie, na Google Play kazdy prd co zaplati $25 prida co sa mu hodi.
Odpovedať Známka: 10.0 Hodnotiť:
 

Aj by som ti veri tvoju prezentaciu Apple bezpecnosti. Ale vieme, ako overili z ameriky prevadzkovatela sk domeny. Zavazi aj to, co pisal allyze. Samozrejme, ze to uz nefunguje a neukrado vsetkym oserom ucet, takze Apple vedie v bezpecnosti, ale dokonaly system to nie je. Vid jeho dalsi post kusok nizsie.
Odpovedať Hodnotiť:
 

Stačilo pogúgliť.

iPhone App Store hit by DANGEROUS malware.

A version of WeChat – one of the most popular instant messaging apps on the planet, with some 600 million monthly active users – was infected by the XcodeGhost code.

t is not yet known how many apps have been affected by the code, but one Chinese firm estimates the number around 344.

This is the second problem for iOS users this month.

https://bit.ly/2ORpsWL

Odpovedať Známka: 7.0 Hodnotiť:
 

zdaleka to neni podobny pripad - v tomto pripade islo o samotne appky ktore boli skompilovane zatrojanovanym Xcode, takze do nich samotnych mohol byt vlozeny skodlivy kod tak mohli robit povedzme to co nemali ale stale v ramci ich samotnych (napr. v pripade WeChat niekam odosielat rozhovory) a plne v mantineloch urcenych v iOS. Takze nemohli kradnut udaje z inych appiek alebo nebodaj citat SMSky.

Odpovedať Známka: -1.4 Hodnotiť:
 

Akurat ze WeChat je cinska appka, sice popularna, ale skor mam pocit ze ghost tam bol dany "dobrovolne povinne" :))
Odpovedať Známka: 10.0 Hodnotiť:
 

To nič nemení na tom, že prešla kontrolou Apple Storu.
Odpovedať Hodnotiť:
 

A ked clovek v banke pyta gridkartu, tak mu hovoria, ze to je obstarozne a ze cez sms mozem mat vyssie limity ako cez grid. A ked sa tety opytam, ze keby som jej ukradl kabelku, tak ci tu gridkrtu prekonam, alebo sms, tak povie, ze daco na tom bude...
Odpovedať Známka: 4.0 Hodnotiť:
 

dumbfon neheckne nikto.
Odpovedať Známka: -1.1 Hodnotiť:
 

tetusky zvacsa nerozmyslaju, ale ani chlapici za pokladnou, oni len predavaju co maju v letaciku. no brain..
Odpovedať Známka: 0.9 Hodnotiť:
 

no brain, no self demage
Odpovedať Známka: 5.0 Hodnotiť:
 

A čo je v tej kabelke? Gridkarta? Telefón? Utopenec s cibuľou?
Potrebujem to nutne vedieť.
Odpovedať Známka: 8.2 Hodnotiť:
 

Presne tak. Nehladiac na ochrany a limity, vzhladom k poctu zakaznikov je privatne bankovnictvo v porovnani so standardnym BDSM salonom personalne priekazne poddimenzovane.
Odpovedať Známka: 0.0 Hodnotiť:
 

Je to presne tak ako pisu viceri hore. V iOS nie je mozne vytvorit appku, ktora saha do inych appiek. Je mozne aby si vymienali data, ale musia byt na to obe naprogramovane s presne definovanym rozhranim. Stale tvrdim, ze je obrovska nezodpovednost Androidu, ze nieco take umoznuje, v podstate to je schvalne pridana zakladnu bezpecnost porusujuca ficura.
Osobne som aj z tohto dovodu prestal na Android vyvijat appky, odmietam podporovat taky jebly system pre kiddies. Uz iba iOS, neda sa to porovnat. Nove verzie Androidu su len platanie verzii predchadzajucich, taky maly ms windows...
Viete aky je rozdiel medzi Androidom a Tamagochi? O android aj ked sa starate tak skape. Detto ako Windows. 😀
Odpovedať Známka: -4.4 Hodnotiť:
 

Nezabudni na to, ze ak nahodou najdu zranitelnost v Androide, opravuje sa iba najnovsia verzia Androidu, ktoru ma tak 3% ludi, v starsich verziach sa nic neopravuje
Odpovedať Známka: 5.0 Hodnotiť:
 

Ale ale, moznosti je vela. Napriklad aj ... https://dopice.sk/lZ a nepotrebujes robit screenshot
Odpovedať Hodnotiť:
 

Ked sa hra s Tamagoci a s Androidom 5 rocne decko, tak skape. OK, Potialto mas pravdu. Ale ak nie si soplave decko, tak ti prezije aj android dlhsie, ako nalestene jablko. Ked si to rootnes, mozes si s tym robit co chces a povyhadzovat aj bordel od vyrobcu. Ja som spokojny s vyberom aplikacii pre android a tak som len uskrnkom presiel to, ze nas niekto obmdzil vo vybere. Skor si tipujem, ze si to prestal vyvijat cisto pragmaticky - na android je toho mrte a tak uz nemas sancu prerazit na trh a zaroven su aj dobre zarobit. Porovnal si prijmy a zistil si Android 10x menej za rovnaku robotu a tak na to kasles. Alebo sa mylim?
Odpovedať Hodnotiť:
 

nekupujem si jebnuty androit preto aby som rootovanim riesil jeho bezpecnost. Nikdo nerobi jailbrak na apple, aby riesil bezpecnost. To tvrdenie je smiesne. Mozes si kupit android fon aky chces, nevydrzi realne a moralne dlhsie bez uprav ako par mesiacov. A ano, na android som prestal vyvyjat preto, lebo ma uz nebavilo riesit kompatibilitu debilnych appiek aj na nove telefony, ked si zakaznik myslel, ze zaplati raz, a ma aktualizovanu appku kazdy rok. iOS zakaznik to berie ako samozrejmost a ja ako zavazok, ze iOS appka musi slapat vzdy aj na najnovsom hardware.
Odpovedať Hodnotiť:
 

No fajn, ze si mi to vysvetlil s tou kompatibilitou. A suhlasim aj s tym, ze bez uprav a vlastnych rucnych aktualizacii si s Androidom nie je v bezpeci dlhsie, ako rok. Ale vetu "Nikdo nerobi jailbrak na apple, aby riesil bezpecnost." si mi nemusel strkat do ust. ;)
Odpovedať Hodnotiť:
 

Ludia klamu a kradnu, su namysleni, precenuju sa, casto sa mylia a nevedia to. Treba si na tento zivocisny druh davat pozor.
Odpovedať Známka: 6.0 Hodnotiť:
 

Vedenie skutočne plnohodnotného života dá holt priekazne zabrať.
Odpovedať Známka: 0.0 Hodnotiť:
 

Vazena redakcia DSL.sk, prosim o vysvetlenie, preco sa v clanku pouziva vseobecny pojem ”pozor na mobilne aplikacie” a nie objektivne oznacenie “pozor na aplikacie v android telefonich”, preco skryvat pred ludmi fakt, ze s iPhonom sa im taketo nieco nemoze stat? ide tu predsa o peniaze a bezpecnost nas vsetkych, to nemoze byt menej ako vasa preferencia vyrobcu telefonov.
Odpovedať Známka: -9.1 Hodnotiť:
 

Myslím, že jailbreaky poslúžia ako dostatočná demonštrácia bezpečnosti iOS. :) A o koľkých chybách sa verejne nevie, to je iný príbeh.
Odpovedať Známka: 10.0 Hodnotiť:
 

ze s iPhonom sa im taketo nieco nemoze stat

hahahahahahahahahahahahahahahahahahahah ahahahahahahahahahahahahahahahahahahahahahaha
Odpovedať Známka: 10.0 Hodnotiť:
 

Lebo to co tvrdis nie je pravda.
Odpovedať Známka: 10.0 Hodnotiť:
 

Ja by som vsetky tie Androidy zakazal.

Odoslane z Lumia 735...
Odpovedať Známka: 5.6 Hodnotiť:
 

Precitane na Lumia 735...
Odpovedať Známka: 10.0 Hodnotiť:
 

Precitane na Toastovač 735
Odpovedať Známka: 10.0 Hodnotiť:
 

tak android appka na recepty pri spusteni : prava na citanie sms, pristup k hovorom, k fotkam a datam pre prehliadac a povolenie k nastavovaniu systemu, no nepovol to ked si chces nieco upiect :D
proste si niekto na stranke "sprav si android app" urobil zo sablony ktora defaultne pyta vsetko ...sak co aj tak tie data nepouziva moja app tak je to fuk :D a ked nepovolis ...bude hladny
Odpovedať Hodnotiť:
 

Keby mali euro, tak by im dva milióny len tak ľahko neukradli.
Odpovedať Známka: 5.0 Hodnotiť:
 

Nám pri zavádzaní Eura ukradli ďaleko viac - celú menu.
Odpovedať Známka: 7.1 Hodnotiť:
 

Naco mam teda instalovat aplikacie ked im nedoverujem? Nedovera znamena, ze si ju nenainstalujem a teda potom je mi smartfon nanic. Naviac toto je legitimna aplikacia. Ako uzivatel nemam preco jej nedoverovat a hlavne nemam moznost si overit co presne robi.

Toto je na firmach google a apple aby to riesili a nedovolovali dat, opravnenia len tak.
Odpovedať Hodnotiť:
 

Nemôžeš dôverovať aplikáciám tak ako nemôžeš dôverovať cudzím ľuďom...
Ale pri open source appkach si môžeš urobiť code review a používať môžeš iba kritické aplikácie. Napríklad čistý android bez bloatware a bez gapps. Aplikácia na kontakty a sms a kalendár, browser, email. To by malo stačiť. Postupne si môžeš aj niečo iné nainštalovať ale vždy by si mal urobiť prísny audit tej appke ktorú ideš inštalovať a nerobiť aktualizácie len tak. Ale aktualizovať možno raz za rok a to tiež urobiť audit ze co bolo pridané do kódu.
Odpovedať Hodnotiť:
 

Ono existuje spôsob a je veľmi jednoduchý ako zabrániť krádežiam pri dvojfaktorovom overovani. Telefón na ktorý chodí overovaci kód musí mať uzavretý operačný systém, čiže jednoduchá nokia.
Odpovedať Hodnotiť:
 

Kým nie je uzavretý komunikačný systém operátora, na odhalenie bezpečnostného experta toho priekazne veľa netreba.
Odpovedať Hodnotiť:
 

Tak pridame este jednu podmienku: Telefon, na ktory chodi autorizacna SMS musi byt od realne ineho operatora.
Odpovedať Hodnotiť:
 

Nemenej dolezite je napriklad neopominat ani duplikaciu sim a s prioritou prihlasovania suvisiace napajanie, inak je prekonanie rozsahu zmluvnych podmienok Orange priekazne tazko dosiahnutelne.
Odpovedať Hodnotiť:
 

po prvom riadku som prisiel na to, ze citam tvoju choru spravu.
Odpovedať Hodnotiť:
 

Chcelo by to aspon troj alebo stvorfaktorovu autentifikaciu. Heslo, sms kod, potom nejaky fyzicky device od banky co nie je napojeny na internet a este nejaka biometria k tomu.
Odpovedať Hodnotiť:
 

google play = jeden velky hnoj
Odpovedať Známka: -3.3 Hodnotiť:
 

som nejak bol v tom, ze developer musi googlu dostatocne zdovodnit, preco to-ktore pravo potrebuje. na kereho oneho je nahravacu hovorov pristup k sms a screen grabbing, to by snad malo v google dakoho trknut. inakl je ta kontrola na to iste, co gdpr - aby boli vsetci spokojni, ze je vsetko v poriadku. alebo to skor pripomina taky ten javisticky pristup - vsetko mimo mojej tenuckej vrstvicky je starost niekoho ineho....
Odpovedať Hodnotiť:
 

Je nepochopitelne ako je mozne ze android appka je schvalena za 5 minut, staci zaplatit raz par euro a je to na cely zivot. Aplikaciu na zapisovanie poznamok mozem naladovat pravami na odpocuvanie, obraz, telefonovanie sms, a je schvalena ako nic.
Na iOS nieco take nie je mozne, schvalovaci proces trva aj niekolko tyzdnov, pricom ste buzerovani za kazdu malickost v kode, ale vzdy ide o bezpecnost na prvom mieste.
Odpovedať Hodnotiť:

Pridať komentár