Kauza QRecorder, milióny Kč pryč. Na co si dát příště pozor?

Minulý týden oběhla média zpráva o aplikaci QRecorder pro chytré telefony Android, díky níž přišlo minimálně 5 lidí o téměř 2 milióny korun (stav k 26.9.2018 dle tiskové zprávy Policie ČR). Prostě jim útočníci „vyluxovali“ bankovní účty. Jaké si z toho vzít ponaučení?

Rekapitulace

Ještě pro rekapitulaci (bohužel/naštěstí jsem byl minulý týden na dovolené, tudíž se na viry.cz nepsalo):

QRecorder je aplikace pro chytré telefony na bázi Androidu. Aplikace QRecorder byla dostupná na Google Play a kdokoliv si ji tak mohl do chytrého telefonu nainstalovat. Sloužila k nahrávání telefonních hovorů. Bohužel došlo k tzv. „trojanizaci“ aplikace QRecorder. Jinak řečeno, stále sloužila k nahrávání telefonních hovorů, po její aktualizaci (pravděpodobně v polovině září 2018) se ale začala pokoušet nainstalovat i škodlivý kód, který je antivirem ESET detekován jako Android/Spy.Banker.AIX. Toto již vyžadovalo manuální zásah uživatele, který musel v nastavení telefonu povolit minimálně instalaci z neznámých/neověřených zdrojů. Pokud se tak stalo, útočník měl na mobilním telefonu vše potřebné k tomu, aby dokázal tunelovat bankovní účet majitele a převést peníze jinam. Útočník dokázal vzdáleně přečíst údaje zadané do mobilního bankovnictví (jména, hesla, …) a též odchytávat příchozí SMS, kterými se bankovní transakce potvrzují. To se dělo i na území ČR, více v tiskové zprávě Policie ČR.

Co z toho plyne

Škodlivý QRecorder je od autora NickBaza. Na Google Play ho již nenajdete. Zdroj: ESET

• Na Google Play se nelze 100% spolehnout co do legitimnosti aplikací. Na podvodné aplikace tam prostě můžete narazit. Navíc se z nich mohou stát podvodné až později v rámci aktualizace.
• Dvoufázové ověření (=dvoufaktorová autentizace) je k ničemu, pokud k přihlášení do bankovnictví a provádění transakcí vystačíte s jediným zařízením! Jinak řečeno, pokud používáte mobilní bankovnictví a potvrzující SMSky chodí na tentýž telefon, riskujete a můžete se stát snadno taktéž obětí útoku! Takové dvoufázové ověření totiž postrádá smysl. Zvažte, zda v takové konfiguraci opravdu mobilní bankovnictví potřebujete. V ideálním případě potřebujete dvě různá zařízení (třeba kombinaci notebooku a mobilního telefonu).

Hurá na něj!

Škodlivý QRecorder již není na Google Play dostupný. Zůstal tam jen neškodný originál, který to celé odskákal na celkovém hodnocení. Sociální cítění uživatelů totiž nutilo shodit hodnocení tak zlé aplikace… Realita je ale taková, že škodlivý QRecorder byl od autora pod přezdívkou „NickBaza“ a dávno na Google Play není. Uživatele tak chybně nadávají na shodně se jmenující a neškodný QRecorder od autora „PA Production“. Tam se lze doklikat i k prohlášení, které celou kauzu doplňuje. Člověk stojící za „PA Production“ je vývojář z Nepálu, který svá díla nabízí dále k prodeji na „tržišti“ Codecanyon.net. QRecorder tam nabízel za 29$. Ke dni 27.9.2018 ho prodal 13x (mezi nimi i podezřelí ze Španělska a Ruska). Je pak na nakupujících, jak zdrojové kódy QRecorderu využijí. Mohou program přejmenovat, zcela ho přebarvit a přeměnit. A nebo ho prostě nechat tak jak je, „jen“ ho doplnit o škodlivou činnost jako v tomto případě…