Új trükkel nyúlhatják le az egyszer használatos jelszavainkat

Biztonsági kutatók olyan androidos alkalmazásokat fedeztek fel, amelyek eddig nem látott technikával játsszák ki az SMS-alapú kétfaktoros azonosítást.
 

Az ESET biztonsági szakértői által felfedezett "BTCTurk Pro Beta", "BtcTurk Pro Beta" és "BTCTURK PRO" elnevezésű programok egy török kriptovaluta kereskedő, a BtcTurk alkalmazásának adják ki magukat. A kétfaktoros azonosításhoz szükséges, egyszer használatos kódokat tartalmazó SMS-üzenetek kémlelése helyett ezek az alkalmazások a jelszavakat az eszköz képernyőjén megjelenő hamis figyelmeztetések révén zsebelik be. Mindhárom alkalmazás 2019 júniusában jelent meg a Google Play áruházban, azonban a biztonsági cég figyelmeztetése után a Google eltávolította azokat. 


Forrás: ESET

Sajnos lehet, hogy csak idő kérdése, hogy újabb példányok válnak elérhetővé a Play áruházban, ezért érdemes tisztában lenni a csalók legújabb trükkjével.

Hogyan működik a támadás?

Miután a hamis BtcTurk alkalmazások telepítése megtörténik, engedélyt kérnek az értesítésekhez való hozzáféréshez. Ezután már tudják olvasni a készüléken a többi alkalmazás értesítéseit, sőt törölhetik is azokat. Ha pedig kattintható gomb is van az értesítésben, akkor a felhasználó beavatkozása nélkül észrevétlenül jóvá is hagyhatják a tranzakciókat. 

"A Google 2019 márciusától bevezetett korlátozásainak egyik pozitív hatása az volt, hogy a hitelesítő adatokat ellopó alkalmazások többé nem tudtak visszaélni az SMS-alapú kétfaktoros azonosítási mechanizmusokkal. Azonban ezeknek a hamis alkalmazásoknak a felfedezésével láthatjuk az első olyan kártevőket, amelyek képesek megkerülni ezt a korlátozást"

- mondta az ESET kutatója, Lukáš Štefanko. 

Szerencsére ennek a technikának is megvannak a határai: a támadók "csak" az értesítés terjedelmének megfelelő szöveghez férnek hozzá, így nem garantált, hogy ez a rész tartalmazza az egyszer használatos jelszavakat. Sajnos azonban az ilyen üzenetek általában rövidek, ezért az egyszer használatos jelszavak gyakran beleférnek ebbe a terjedelembe. 

Mit tehetünk?
  • Csak akkor bízzunk meg a kriptovalutás és más pénzügyi alkalmazásokban, ha a szolgáltatás hivatalos webhelyén lévő link vezet a Google Play áruházba.
  • Csak akkor adjuk meg személyes adatainkat az online űrlapokon, ha biztosak vagyunk abban, hogy azok biztonságosak és hivatalosak.
  • Folyamatosan frissítsük készülékeinken.
  • Használjunk megbízható mobilbiztonsági megoldást a fenyegetések blokkolásához és eltávolításához. 
  • Csak olyan alkalmazásokat használjunk, amelyeket megbízhatónak ítélünk, és még ezek esetében is csak azoknál engedélyezzük az értesítésekhez való hozzáférést, amelyeknek alapos oka van ezt kérni.
 
  1. 3

    A Lenovo Vantage három biztonsági javítással bővült.

  2. 3

    A Splunk Enterprise-hoz biztonsági frissítések érkeztek.

  3. 4

    Az Adobe kritikus veszélyességű hibákat is javított a ColdFusion esetében.

  4. 4

    Az Adobe kiadta az Illsutrator legújabb verzióit, amelyek révén 10 biztonsági hibát szüntetett meg.

  5. 4

    Az Adobe hat sebezhetőséget orvosolt az InDesignban.

  6. 4

    15 biztonsági javítással gyarapodott az Adobe FrameMaker.

  7. 4

    Az SAP kiadta a júliusi biztonsági frissítéseit.

  8. 4

    A Microsoft jelentős mennyiségű hibajavítást tett letölthetővé a Windows-hoz.

  9. 4

    Egy tucat biztonsági frissítés vált letölthetővé az Office szoftvercsomaghoz.

  10. 4

    A Microsoft három biztonsági rést foltozott be az SQL Serveren.

Partnerhírek
Hogyan védhetjük meg a gyerekeket a kibertérben?

A nyári szünet idején a gyerekek több időt töltenek otthon, sokszor felügyelet nélkül – ez pedig nemcsak a fizikai, hanem az online biztonság szempontjából is kihívásokat jelent.

​A csaló telefonhívásokon és a nem létező gázszámlákon túl

Az ESET kiberbiztonsági szakértői most összefoglalják, milyen más módszerekkel lophatják el a személyes adatainkat – és mit tehetünk azért, hogy ez ne történhessen meg.

hirdetés
Közösség