Hakeri već zlorabe sigurnosni propust u milijunima uređaja s operativnim sustavom Android pomoću kojeg mogu isprazniti bankovne račune vlasnika zaraženih uređaja. A to nije još ni sve.

Naime, ovaj je sigurnosni propust otkriven u uređajima na koje su već bile instalirane softverske nadogradnje i sigurnosne zakrpe. Zlonamjernim aplikacijama omogućava da se predstave kao legitimne, koje korisnici poznaju, već imaju instalirane i vjeruju im.

Tako prikrivene, pojasnili su istraživači iz tvrtke Promon koji su propust otkrili, mogu od vas zatražiti dozvolu za izvođenje osjetljivih zadaća poput snimanja fotografija, audio ili video zapisa, čitanja SMS-ova i podataka za logiranje... Date li odobrenje, vaš će uređaj biti zaražen.

Dosad je pronađeno 36 aplikacija koje zlorabe ovaj sigurnosni propust. Među zlonamjernim aplikacijama koje se prikrivaju na ovaj način je i bankarski trojanac BankBot, aktivan od 2017. godine i pripadnik obitelji zlonamjernog softvera koju uporno hvataju u pokušajima ubacivanja u Googleovu trgovinu Play.

Propust je najozbiljniji u izdanjima Androida od 6 do 10, što pokriva oko 80 posto svih uređaja s Androidom na svijetu. Pronađen je u značajki TaskAffinity, koja omogućuje obavljanje više zadaća odjednom tako što aplikacijama dozvoljava preuzimanje identiteta drugih aplikacija.

Kako se zaštititi?

Iako su u Googleu uklonili sporne zlonamjerne aplikacije iz trgovine Play, sam propust - nazvan StrandHogg - dosad nije zakrpan. Dosad nisu objavljeni nazivi potencijalno pogođenih aplikacija, koliko bi ih moglo biti, kao niti koliko korisnika bi moglo imati razloga za zabrinutost.

Jedini način kako se možete obraniti je da lažnoj aplikaciji uskratite dozvole koje traži. No, također možete obratiti pozornost i na ove potencijalne znakove za uzbunu:

• Aplikacija ili servis u koje ste se već ulogirali traži od vas ponovno logiranje.
• Skočni prozori s dozvolama ne sadrže naziv aplikacije.
• Aplikacija traži dozvole koje joj ne trebaju za normalno funkcioniranje. Primjerice, kalkulator koji traži pristup GPS-u.
• Pravopisne i druge pogreške u korisničkom sučelju.
• Dugmad i poveznice u korisničkom sučelju koji ostaju neaktivni nakon što ih kliknete.
• Dugme Back ne radi ono što bi trebalo.

Ako mislite kako se sve skupa odvija negdje daleko, razmislite još jednom. Istraga je krenula nakon što su u nekoliko banaka u Češkoj primijetili kako novac nestaje s bankovnih računa njihovih klijenata.

Stoga budite krajnje oprezni s aplikacijama dostupnima na Google Playu i mimo njega, piše Ars Technica.