RedWing: Androidowy trojan na abonament. Jak działa i jak się chronić?

Badacze z Zimperium odkryli RedWing – zaawansowane oprogramowanie szpiegujące dla Androida, sprzedawane jako usługa subskrypcyjna przez Telegram. Trojan nie wymaga od kupującego znajomości programowania, a jego możliwości obejmują kradzież danych logowania, przechwytywanie kodów SMS i zdalne aktywowanie kamery ofiary.

Jak działa RedWing?

RedWing to komercyjny produkt w modelu Malware-as-a-Service (MaaS). Jak podają badacze z Zimperium, „APK customization/obfuscation/creation can be fully implemented through telegram”. Oznacza to, że każdy abonent może zamówić spersonalizowaną, zaciemnioną aplikację bezpośrednio przez bota na Telegramie – bez znajomości programowania.

Infekcja zaczyna się od linku phishingowego, który prowadzi do fałszywej strony sklepu z aplikacjami. Trojan potrafi imitować Google Play, Samsung Galaxy Store i Huawei AppGallery, wyświetlając fałszywe oceny, recenzje i liczbę pobrań. Ofiara instaluje aplikację spoza oficjalnego sklepu, a następnie jest krok po kroku nakłaniana do przyznania uprawnień: wyłączenia optymalizacji baterii, ustawienia aplikacji jako domyślnej do obsługi SMS oraz dostępu do powiadomień.

Co potrafi trojan?

Po uzyskaniu wymaganych uprawnień RedWing zyskuje głęboki dostęp do systemu. Jak opisują badacze Zimperium, „the malware is capable of remotely activating the cameras and the microphone of an infected device”. Atakujący mogą zdalnie robić zdjęcia i nagrywać dźwięk, a także przeglądać ekran ofiary na żywo przez VNC.

Trojan wyświetla fałszywe ekrany logowania nałożone na prawdziwe aplikacje bankowe i kryptowalutowe, przechwytuje SMS-y z kodami jednorazowymi i wykorzystuje usługę dostępności Androida do odczytywania PIN-ów oraz numerów kart płatniczych. Co więcej, potrafi włączyć przekazywanie połączeń na numer atakującego, co skutecznie blokuje telefoniczną weryfikację dwuskładnikową.

Kto jest celem i jak się rozprzestrzenia?

Zimperium zidentyfikowało 82 instytucje, na które nakierowany jest RedWing, ze szczególnym uwzględnieniem rosyjskich firm finansowych. Lista ta może się jednak zmieniać w każdej chwili za pomocą panelu sterowania operatora. Trojan nie wykorzystuje żadnych podatności w Androidzie – opiera się wyłącznie na socjotechnice i zgodzie użytkownika.

Infekcja wymaga, aby ofiara samodzielnie zainstalowała aplikację z linku otrzymanego w SMS-ie lub komunikatorze, a następnie przyznała jej rozszerzone uprawnienia. To kluczowy moment, w którym użytkownik może jeszcze przerwać łańcuch ataku. Badacze podkreślają, że RedWing nie ukrywa swojego działania – po instalacji może nawet nie wyświetlać ikony, co samo w sobie powinno wzbudzić czujność.

Dodatkowe możliwości: botnet i szpiegostwo

RedWing to nie tylko narzędzie do kradzieży danych. Zainfekowane urządzenia mogą zostać włączone do botnetu i wykorzystane do przeprowadzania skoordynowanych ataków DDoS. Operatorzy za pomocą panelu kontrolnego mogą wysłać komendę do wielu telefonów jednocześnie, aby zasypać wybrany serwer ruchem i zakłócić jego działanie.

Możliwości szpiegowskie trojana są rozległe. Oprócz przechwytywania klawiatury i dostępu do plików, RedWing umożliwia śledzenie lokalizacji, przeglądanie listy kontaktów i historii połączeń. Jak zauważają eksperci, „the rapid rise of Malware-as-a-Service (MaaS) operations like RedWing shows how easily attackers can weaponize legitimate Android components to achieve full device compromise”.

Jak się chronić?

RedWing nie wymaga żadnych podatności w Androidzie – opiera się wyłącznie na błędach użytkownika. Podstawowa zasada obrony to nieinstalowanie aplikacji z linków przesłanych przez SMS lub komunikatory. Każda prośba o przyznanie uprawnień do usługi dostępności, domyślnej obsługi SMS lub wyłączenia optymalizacji baterii powinna wzbudzić podejrzenia, zwłaszcza jeśli aplikacja nie ma oczywistego powodu, by z nich korzystać.

W środowiskach zarządzanych warto zablokować sideloading i skonfigurować automatyczne flagowanie podejrzanych próśb o uprawnienia. Jak wskazują eksperci, „the first line of defense is what happens at install time: don’t install apps from links sent by text or messaging apps”. Każda aplikacja, która po instalacji ukrywa swoją ikonę, powinna być traktowana jako potencjalne zagrożenie.

Co dalej?

RedWing to kolejny przykład rosnącego rynku Malware-as-a-Service, który obniża barierę wejścia dla początkujących cyberprzestępców. Możliwość łatwego dostosowania trojana do własnych celów i ciągła aktualizacja listy atakowanych instytucji sprawiają, że zagrożenie będzie ewoluować. Dla użytkowników oznacza to jedno: kluczowe znaczenie ma zachowanie czujności przy instalacji aplikacji i przyznawaniu im uprawnień. Żadna aktualizacja zabezpieczeń nie ochroni przed trojanem, który został dobrowolnie zainstalowany.