Nowa kampania FvncBot atakuje polskich użytkowników Androida. Jak nie dać się oszukać?

Zespół CERT Polska przeanalizował nowe próbki złośliwego oprogramowania z kampanii FvncBot, która jest wymierzona w polskich użytkowników smartfonów z Androidem. Atakujący podszywają się pod banki, w tym Spółdzielczą Grupę Bankową, i nakłaniają ofiary do instalacji fałszywego komponentu bezpieczeństwa. W efekcie przejmują kontrolę nad urządzeniem. Najskuteczniejszą obroną jest zdrowy rozsądek i przestrzeganie kilku prostych zasad.

Jak działa FvncBot? Przebieg infekcji krok po kroku

Jak wynika z analizy CERT Polska, kampania FvncBot opiera się na socjotechnice i wieloetapowym procesie infekcji. Ofiara otrzymuje aplikację, która wykorzystuje wizerunek banku – w badanym przypadku była to Token U2F Mobilna Ochrona SGB. Po uruchomieniu aplikacja wyświetla komunikat o konieczności instalacji „Play Component” i prowadzi użytkownika przez proces instalacji dodatkowego modułu opisanego jako Android V.28.11.

W kolejnym kroku ofiara jest nakłaniana do zezwolenia na uruchomienie funkcji ułatwień dostępu pod pretekstem aktualizacji systemu („System Update”). Gdy użytkownik wyrazi zgodę, moduł rejestruje się na serwerze przestępców i wysyła informacje o zainfekowanym urządzeniu. CERT Polska szczegółowo opisał mechanizm infekcji, wskazując, że każda próbka w tej kampanii używa wizerunku innego banku.

Dlaczego to nie jest zwykły malware? Analiza techniczna

FvncBot nie jest pojedynczą aplikacją, lecz złożonym systemem składającym się z kilku warstw. Pierwsza warstwa to zewnętrzna paczka danych (com.junk.knock), która instaluje drugi moduł (com.core.town) ukryty w pliku APK. Co istotne, główny ładunek jest dodatkowo zaszyfrowany i ukryty w pliku graficznym (qkcCg.jpg), który jest przekształcany za pomocą algorytmu podobnego do RC4.

Badacze z CERT Polska odkryli, że po uruchomieniu moduł rejestruje urządzenie pod adresem https://jeliornic.it.com/api/v1/devices/register i otrzymuje unikalne dane dostępowe. Atakujący mogą zdalnie sterować zainfekowanym telefonem, wykradać dane logowania do bankowości mobilnej i przechwytywać SMS-y z kodami autoryzacyjnymi. To czyni zagrożenie poważnym – ofiara może stracić dostęp do swojego konta bankowego.

Jak się bronić? Praktyczne porady dla użytkowników Androida

Eksperci z CERT Polska podkreślają, że kluczowe jest źródło, z którego pobieramy aplikacje. Aplikacje bankowe należy instalować wyłącznie z oficjalnych sklepów, takich jak Google Play Store. Jeśli otrzymasz połączenie telefoniczne rzekomo z banku, w którym rozmówca informuje o potencjalnym zagrożeniu, rozłącz się i oddzwoń na numer znaleziony na oficjalnej stronie banku. Pozwala uniknąć oszustw opartych na spoofingu CLI.

Traktuj wszelkie instrukcje wymagające manualnej instalacji „komponentu bezpieczeństwa” lub „komponentu uruchomienia” spoza oficjalnego sklepu jako podejrzane i potencjalnie niebezpieczne. Jeśli aplikacja prosi o zgodę na instalację z nieznanych źródeł (Install unknown apps), a następnie o dostęp do funkcji ułatwień dostępu, traktuj jako ostateczny sygnał ostrzegawczy. Żaden legalny bank nie wymaga takich uprawnień.

Co dalej? Rekomendacje dla firm i administratorów

Kampania FvncBot pokazuje, że cyberprzestępcy stale udoskonalają swoje metody. Dla firm kluczowe jest edukowanie pracowników i klientów o zagrożeniach związanych z instalacją aplikacji spoza oficjalnych źródeł. Warto również wdrożyć politykę bezpieczeństwa, która wymaga korzystania wyłącznie z zatwierdzonych aplikacji bankowych i narzędzi do zarządzania urządzeniami mobilnymi (MDM).

Administratorzy systemów IT powinni monitorować logi pod kątem nietypowych prób rejestracji urządzeń oraz blokować dostęp do znanych serwerów C2 (Command & Control), takich jak jeliornic.it.com. Regularne aktualizacje systemu Android i aplikacji również zmniejszają ryzyko infekcji. W przypadku podejrzenia infekcji należy niezwłocznie skontaktować się z bankiem i wykonać przywrócenie ustawień fabrycznych telefonu.

Obserwuj komunikaty CERT Polska i innych zaufanych źródeł, aby być na bieżąco z nowymi zagrożeniami. Wiedza i ostrożność stanowią najlepszą ochronę przed tego typu atakami.