Säkerhetsforskare har avslöjat hundratals skadliga Android- och iOS-appar som utgör legitima appar för kryptovaluta, bank och finans. Tack vare social ingenjörsteknik, lurade bedragare offer att installera appar för att stjäla både pengar och referenser.
De dåliga skådespelarna skulle registrera sig för dejting och andra mötesappar och bli vän med en person för att komma igång. Bedragarna skulle flytta konversationen till meddelandeappar för att förhindra dejtingappen från att fånga upp och blockera. Och naturligtvis gav Covid-19-pandemin den perfekta ursäkten för att aldrig träffas personligen.
Efter att ha etablerat en relation och förtroende började den sanna bluffen med löften om ekonomisk vinst genom kryptovaluta eller investeringsappar. Trogen blufftaktik lovar tjuvarna garanterade vinster eller ingjutit FOMO genom att hävda att möjligheten skulle försvinna snabbt.
Offret skulle skapa ett konto) och lämna över pengar. Det var först när offret försökte ta ut eller överföra pengar som de fick reda på sanningen – eftersom den dåliga skådespelaren skulle låsa ut dem från kontot vid den tidpunkten och springa iväg med pengarna. Och i vissa fall, genom att skapa en klon av en legitim bankapp, lurade bedragaren offret att tillhandahålla faktiska kontouppgifter.
För att få appen installerad använder hackare en mängd olika knep. På Android skulle bedragaren peka offret till en webbsida utformad för att se ut som en kryptovaluta eller banksajt. Sidan är värd för en nedladdningslänk som ser ut att öppna Google Play Butik men istället installerar en webbapp. Det kringgår både Google Play Butiks kontroller och behovet av att aktivera butiksinställningar från tredje part.
Att installera Apple-appar följde ibland samma metod. Men i andra förlitade sig bedragarna på en "Super Signature"-process för att kringgå Apples säkerhets- och appbutik. Du skulle vanligtvis stöta på Super Signature-appar i ett testscenario eller för företagsinstallation. Processen gör i huvudsak offret till ett liknande utvecklarkonto till hur Facebook en gång installerade undersökningsappar utan Apples godkännande.
Bedragarna gick till och med så långt att de gav kundsupport, både på de sajter som är avsedda att installera den skadliga appen och i själva appen. Säkerhetsforskarna tog sig till och med tid att chatta med "supportteamet" för att lära sig mer detaljer om var pengarna tog vägen (Hongkong) och hur processen fungerade.
För det mesta säger forskarna vid Sophos att dessa fall riktar sig mot asiatiska offer, men det betyder inte att idén inte kommer att resa någon annanstans. För bästa säkerhet, gå alltid direkt till Play Store eller Apple App Store för att ladda ner appar. Och om någon lovar "garanterade pengar", kanske backa. Få saker, särskilt kryptovaluta och ekonomi, är så säkra i livet.