Jak usunąć RedWing Spyware z urządzeń z systemem Android

Czym jest złośliwe oprogramowanie RedWing?

RedWing to komercyjna platforma spyware oferowana w modelu subskrypcyjnym, atakująca użytkowników systemu Android. Jest w stanie przechwytywać wiadomości SMS, wykradać dane uwierzytelniające do usług finansowych, nagrywać dźwięk i obraz oraz zapewniać atakującym pełną zdalną kontrolę nad zainfekowanymi urządzeniami. Zgodnie z badaniami opublikowanymi przez Zimperium, operacja ta jest powiązana z rosyjskimi cyberprzestępcami i opiera się na modelu Malware-as-a-Service (MaaS), który umożliwia nabywcom wdrażanie spersonalizowanego oprogramowania spyware bez wiedzy technicznej.

Przegląd malware RedWing

RedWing jest oferowany w ramach warstwowego modelu subskrypcyjnego. Dostęp wyceniono na 10 USD za dzień, 60 USD za tydzień lub 200 USD za miesiąc, przy czym dostępny jest również darmowy godzinny okres próbny oraz indywidualne ustalenia dla dłuższych okresów. Subskrybenci otrzymują internetowy panel sterowania oraz zautomatyzowany kreator APK, który generuje gotowe do wdrożenia złośliwe aplikacje skonfigurowane zgodnie z ich specyfikacją.

Operacja obejmuje wbudowaną infrastrukturę phishingową, pozwalającą operatorom tworzyć fałszywe strony sklepów z aplikacjami podszywające się pod Google Play, Samsung Galaxy Store i AppGallery. Strony te można skonfigurować z fałszywymi ocenami, liczbą recenzji i statystykami pobrań, dzięki czemu wyglądają nieodróżnialnie od legalnych ofert na rynku.

Zaobserwowano, że RedWing rozprzestrzenia się za pośrednictwem fałszywych monitów o aktualizacji dostarczanych przez RuStore, legalny rosyjski rynek aplikacji mobilnych. Złośliwa aplikacja zazwyczaj instaluje się pod ogólną, niepozorną nazwą, aby nie wzbudzać podejrzeń. Po zainstalowaniu prezentuje ofierze wieloetapowy kreator konfiguracji zamaskowany jako ekran konfiguracji „ochrony systemu".

Za pomocą tych nakładek socjotechnicznych RedWing żąda szeregu potężnych uprawnień. Prosi o ustawienie go jako domyślnej aplikacji SMS urządzenia, uzyskanie uprawnień usługi ułatwień dostępu, otrzymanie dostępu administratora urządzenia, obejście optymalizacji baterii w celu trwałego działania w tle oraz dostęp do powiadomień.

Po przyznaniu tych uprawnień malware zaczyna zbierać szeroki zakres danych osobowych. Kradnie wiadomości SMS, rejestry połączeń i kontakty, wylicza pliki na urządzeniu, śledzi lokalizację geograficzną, rejestruje naciśnięcia klawiszy oraz monitoruje schowek. Wszystkie zebrane dane są przesyłane na serwer dowodzenia i kontroli atakującego.

RedWing zawiera również rozbudowane możliwości zdalnego dostępu. Operatorzy mogą transmitować ekran urządzenia na żywo za pomocą wbudowanego modułu VNC, wykonywać zrzuty ekranu, aktywować kamerę w celu robienia zdjęć lub nagrywania wideo oraz nagrywać dźwięk przez mikrofon. Urządzenie może być również zdalnie zablokowane w dowolnym momencie.

Poważnym zagrożeniem finansowym stwarzanym przez RedWing jest jego możliwość ataku nakładkowego, wymierzona w ponad 82 aplikacje bankowe i kryptowalutowe z silnym naciskiem na rosyjskie instytucje finansowe. Gdy ofiara otwiera jedną z tych docelowych aplikacji, na wierzchu umieszczany jest przekonujący fałszywy ekran logowania, aby po cichu wykraść jej dane uwierzytelniające.

Aby pokonać uwierzytelnianie dwuskładnikowe, RedWing przechwytuje przychodzące wiadomości SMS, zanim ofiara zdąży je odczytać. Może również przekierowywać połączenia za pomocą poleceń USSD, po cichu je przekazując, tak aby głosowe kody weryfikacyjne trafiały do atakującego zamiast do zamierzonego odbiorcy.

Poza inwigilacją RedWing może zwerbować zainfekowane urządzenia jako węzły w botnecie w celu skoordynowanych ataków typu HTTP flood na cele wskazane przez atakującego. Wbudowany moduł proxy umożliwia tunelowanie sieciowe, a malware obsługuje ponad 150 pojedynczych poleceń zdalnych obejmujących wszystko, od wstrzykiwania nakładek po zarządzanie plikami.

Twórcy malware często aktualizują i rozbudowują swoje narzędzia. Przyszłe wersje RedWing mogą posiadać dodatkowe lub odmienne możliwości od tych opisanych tutaj.

Podsumowując, obecność RedWing na urządzeniu może prowadzić do całkowitej utraty prywatności, kradzieży danych uwierzytelniających do bankowości i kodów uwierzytelniających, nieautoryzowanych transakcji finansowych oraz pełnej zdalnej kontroli nad urządzeniem przez osobę trzecią.

Przykłady spyware na Androida

RedWing to sprawne komercyjne narzędzie spyware, które daje subskrybentom rozległą kontrolę nad zainfekowanymi urządzeniami z Androidem. Jego połączenie modułów oszustw finansowych, szerokich możliwości inwigilacji oraz przyjaznej dla subskrybenta infrastruktury MaaS czyni go poważnym zagrożeniem dla każdego, czyje urządzenie kupujący postanowi zaatakować.

Spyware i malware wymierzone w Androida przybierają wiele form. Przykłady podobnych zagrożeń to ResidentBat, Landfall oraz PlainGnome.

Warto zauważyć, że większość malware na Androida jest tworzona z zyskiem finansowym jako głównym motywem, choć cele inwigilacyjne i ideologiczne również mogą odgrywać rolę. Niezależnie od intencji, każde takie zagrożenie powinno zostać usunięte z urządzenia natychmiast po jego zidentyfikowaniu.

W jaki sposób RedWing przeniknął na moje urządzenie?

Operatorzy RedWing wykorzystują strony phishingowe stylizowane tak, by ściśle przypominały legalne rynki aplikacji, takie jak Google Play, Samsung Galaxy Store i AppGallery. Ofiary są zazwyczaj kierowane na te strony poprzez ukierunkowane kampanie i zachęcane do pobrania czegoś, co wygląda jak oficjalna aplikacja lub wymagana aktualizacja.

Malware rozprzestrzeniał się również jako fałszywe monity o aktualizacji RuStore. Te powiadomienia twierdzą, że zainstalowana aplikacja wymaga obowiązkowej aktualizacji, aby nadal funkcjonować, i zawierają fałszywe odznaki bezpieczeństwa w celu zbudowania zaufania. Zaakceptowanie aktualizacji powoduje pobranie i zainstalowanie pliku APK RedWing na urządzeniu.

Ponieważ kreator RedWing pozwala kupującym dostosować nazwę aplikacji, ikonę i przepływ uprawnień za pośrednictwem bota Telegram, wygląd złośliwej aplikacji może się znacznie różnić między kampaniami. Użytkownicy powinni być podejrzliwi wobec każdego monitu instalacyjnego, który pojawia się poza samym oficjalnym sklepem z aplikacjami.

Jak uniknąć instalacji malware?

Instaluj aplikacje wyłącznie z oficjalnego sklepu Google Play Store lub zweryfikowanej witryny dewelopera. Unikaj pobierania plików APK udostępnianych za pośrednictwem Telegrama, mediów społecznościowych, linków SMS lub jakiegokolwiek innego nieoficjalnego kanału, nawet jeśli monit wydaje się pochodzić od znanej i zaufanej aplikacji.

Dokładnie przeglądaj uprawnienia aplikacji przed ich przyznaniem. Legalne aplikacje rzadko potrzebują dostępu do usługi ułatwień dostępu lub prawa do stania się domyślną obsługą SMS. Aktualizowanie Androida na bieżąco oraz uruchamianie renomowanej aplikacji zabezpieczającej urządzenia mobilne dodaje silną dodatkową warstwę ochrony przed zagrożeniami takimi jak RedWing.

Spyware RedWing rozpowszechniany za pośrednictwem fałszywego monitu o aktualizacji RuStore oraz ekran Androida „Instaluj nieznane aplikacje" wyświetlany podczas instalacji (źródło: zimperium.com):

Kreator konfiguracji uprawnień RedWing żądający dostępu domyślnej aplikacji SMS, usługi ułatwień dostępu oraz uprawnień administratora urządzenia (źródło: zimperium.com):

Wygenerowane przez kreator RedWing karty żądań uprawnień skłaniające ofiarę do zezwolenia na obejście optymalizacji baterii, dostęp do SMS oraz dostęp do powiadomień (źródło: zimperium.com):

Szybkie menu:

• Wprowadzenie
• Jak usunąć historię przeglądania z przeglądarki Chrome?
• Jak wyłączyć powiadomienia przeglądarki w przeglądarce Chrome?
• Jak zresetować przeglądarkę Chrome?
• Jak usunąć historię przeglądania z przeglądarki Firefox?
• Jak wyłączyć powiadomienia przeglądarki w przeglądarce Firefox?
• Jak zresetować przeglądarkę Firefox?
• Jak odinstalować potencjalnie niechciane i/lub złośliwe aplikacje?
• Jak uruchomić urządzenie z Androidem w „trybie awaryjnym"?
• Jak sprawdzić zużycie baterii przez różne aplikacje?
• Jak sprawdzić zużycie danych przez różne aplikacje?
• Jak zainstalować najnowsze aktualizacje oprogramowania?
• Jak przywrócić system do stanu domyślnego?
• Jak wyłączyć aplikacje posiadające uprawnienia administratora?

Usuń historię przeglądania z przeglądarki Chrome:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Historia" w otwartym menu rozwijanym.

Dotknij „Wyczyść dane przeglądania", wybierz zakładkę „ZAAWANSOWANE", wybierz zakres czasu i typy danych, które chcesz usunąć, i dotknij „Wyczyść dane".

[Wróć do Spisu treści]

Wyłącz powiadomienia przeglądarki w przeglądarce Chrome:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Ustawienia" w otwartym menu rozwijanym.

Przewiń w dół, aż zobaczysz opcję „Ustawienia witryn" i dotknij jej. Przewiń w dół, aż zobaczysz opcję „Powiadomienia" i dotknij jej.

Znajdź strony, które dostarczają powiadomienia przeglądarki, dotknij ich i kliknij „Wyczyść i zresetuj". Spowoduje to usunięcie uprawnień przyznanych tym stronom do dostarczania powiadomień. Jednak gdy ponownie odwiedzisz tę samą stronę, może ona ponownie poprosić o uprawnienie. Możesz zdecydować, czy nadać te uprawnienia, czy nie (jeśli zdecydujesz się odmówić, strona przejdzie do sekcji „Zablokowane" i nie będzie już prosić o uprawnienie).

[Wróć do Spisu treści]

Zresetuj przeglądarkę Chrome:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje" i dotknij tej opcji.

Przewiń w dół, aż znajdziesz aplikację „Chrome", wybierz ją i dotknij opcji „Pamięć".

Dotknij „ZARZĄDZAJ PAMIĘCIĄ", następnie „WYCZYŚĆ WSZYSTKIE DANE" i potwierdź czynność, dotykając „OK". Pamiętaj, że zresetowanie przeglądarki spowoduje usunięcie wszystkich przechowywanych w niej danych. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, niestandardowe ustawienia i inne dane zostaną usunięte. Będziesz również musiał ponownie zalogować się do wszystkich witryn.

[Wróć do Spisu treści]

Usuń historię przeglądania z przeglądarki Firefox:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Historia" w otwartym menu rozwijanym.

Przewiń w dół, aż zobaczysz „Wyczyść dane prywatne" i dotknij tej opcji. Wybierz typy danych, które chcesz usunąć, i dotknij „WYCZYŚĆ DANE".

[Wróć do Spisu treści]

Wyłącz powiadomienia przeglądarki w przeglądarce Firefox:

Odwiedź stronę, która dostarcza powiadomienia przeglądarki, dotknij ikony wyświetlanej po lewej stronie paska adresu URL (ikona niekoniecznie będzie „Kłódką") i wybierz „Edytuj ustawienia witryny".

W otwartym oknie pop-up zaznacz opcję „Powiadomienia" i dotknij „WYCZYŚĆ".

[Wróć do Spisu treści]

Zresetuj przeglądarkę Firefox:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje" i dotknij tej opcji.

Przewiń w dół, aż znajdziesz aplikację „Firefox", wybierz ją i dotknij opcji „Pamięć".

Dotknij „WYCZYŚĆ DANE" i potwierdź czynność, dotykając „USUŃ". Pamiętaj, że zresetowanie przeglądarki spowoduje usunięcie wszystkich przechowywanych w niej danych. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, niestandardowe ustawienia i inne dane zostaną usunięte. Będziesz również musiał ponownie zalogować się do wszystkich witryn.

[Wróć do Spisu treści]

Odinstaluj potencjalnie niechciane i/lub złośliwe aplikacje:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje" i dotknij tej opcji.

Przewiń w dół, aż zobaczysz potencjalnie niechcianą i/lub złośliwą aplikację, wybierz ją i dotknij „Odinstaluj". Jeśli z jakiegoś powodu nie możesz usunąć wybranej aplikacji (np. wyświetla się komunikat o błędzie), powinieneś spróbować użyć „Trybu awaryjnego".

[Wróć do Spisu treści]

Uruchom urządzenie z Androidem w „trybie awaryjnym":

„Tryb awaryjny" w systemie operacyjnym Android tymczasowo wyłącza uruchamianie wszystkich aplikacji innych firm. Korzystanie z tego trybu jest dobrym sposobem na zdiagnozowanie i rozwiązanie różnych problemów (np. usunięcie złośliwych aplikacji, które uniemożliwiają użytkownikom to zrobić, gdy urządzenie działa „normalnie").

Naciśnij przycisk „Zasilanie" i przytrzymaj go, aż zobaczysz ekran „Wyłącz". Dotknij ikony „Wyłącz" i przytrzymaj ją. Po kilku sekundach pojawi się opcja „Tryb awaryjny" i będziesz mógł go uruchomić, restartując urządzenie.

[Wróć do Spisu treści]

Sprawdź zużycie baterii przez różne aplikacje:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Konserwacja urządzenia" i dotknij tej opcji.

Dotknij „Bateria" i sprawdź zużycie każdej aplikacji. Legalne/oryginalne aplikacje są zaprojektowane tak, aby zużywać jak najmniej energii w celu zapewnienia najlepszego doświadczenia użytkownika i oszczędzania energii. Dlatego wysokie zużycie baterii może wskazywać, że aplikacja jest złośliwa.

[Wróć do Spisu treści]

Sprawdź zużycie danych przez różne aplikacje:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Połączenia" i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Zużycie danych" i wybierz tę opcję. Podobnie jak w przypadku baterii, legalne/oryginalne aplikacje są zaprojektowane tak, aby minimalizować zużycie danych w jak największym stopniu. Oznacza to, że ogromne zużycie danych może wskazywać na obecność złośliwej aplikacji. Pamiętaj, że niektóre złośliwe aplikacje mogą być zaprojektowane tak, aby działać tylko wtedy, gdy urządzenie jest podłączone do sieci bezprzewodowej. Z tego powodu powinieneś sprawdzić zarówno zużycie danych mobilnych, jak i Wi-Fi.

Jeśli znajdziesz aplikację, która zużywa dużo danych, mimo że nigdy jej nie używasz, zdecydowanie zalecamy jej jak najszybsze odinstalowanie.

[Wróć do Spisu treści]

Zainstaluj najnowsze aktualizacje oprogramowania:

Aktualizowanie oprogramowania na bieżąco jest dobrą praktyką, jeśli chodzi o bezpieczeństwo urządzenia. Producenci urządzeń nieustannie wydają różne poprawki bezpieczeństwa i aktualizacje Androida w celu naprawy błędów, które mogą być wykorzystywane przez cyberprzestępców. Nieaktualny system jest znacznie bardziej podatny na zagrożenia, dlatego zawsze powinieneś upewnić się, że oprogramowanie Twojego urządzenia jest aktualne.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aktualizacja oprogramowania" i dotknij tej opcji.

Dotknij „Pobierz aktualizacje ręcznie" i sprawdź, czy są dostępne jakieś aktualizacje. Jeśli tak, zainstaluj je natychmiast. Zalecamy również włączenie opcji „Pobieraj aktualizacje automatycznie" - umożliwi ona systemowi powiadamianie Cię o wydaniu aktualizacji i/lub jej automatyczną instalację.

[Wróć do Spisu treści]

Przywróć system do stanu domyślnego:

Wykonanie „Przywracania ustawień fabrycznych" jest dobrym sposobem na usunięcie wszystkich niechcianych aplikacji, przywrócenie ustawień systemu do domyślnych i ogólne wyczyszczenie urządzenia. Musisz jednak pamiętać, że wszystkie dane na urządzeniu zostaną usunięte, w tym zdjęcia, pliki wideo/audio, numery telefonów (przechowywane na urządzeniu, a nie na karcie SIM), wiadomości SMS itd. Innymi słowy, urządzenie zostanie przywrócone do stanu pierwotnego.

Możesz również przywrócić podstawowe ustawienia systemowe i/lub po prostu ustawienia sieciowe.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Informacje o telefonie" i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Resetuj" i dotknij tej opcji. Teraz wybierz czynność, którą chcesz wykonać:
„Resetuj ustawienia" - przywróć wszystkie ustawienia systemowe do domyślnych;
„Resetuj ustawienia sieci" - przywróć wszystkie ustawienia związane z siecią do domyślnych;
„Przywracanie danych fabrycznych" - zresetuj cały system i całkowicie usuń wszystkie przechowywane dane;

[Wróć do Spisu treści]

Wyłącz aplikacje posiadające uprawnienia administratora:

Jeśli złośliwa aplikacja uzyska uprawnienia na poziomie administratora, może poważnie uszkodzić system. Aby utrzymać urządzenie jak najbezpieczniejszym, powinieneś zawsze sprawdzać, jakie aplikacje mają takie uprawnienia, i wyłączać te, które nie powinny ich mieć.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Ekran blokady i zabezpieczenia" i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Inne ustawienia zabezpieczeń", dotknij tej opcji, a następnie dotknij „Aplikacje administratora urządzenia".

Zidentyfikuj aplikacje, które nie powinny mieć uprawnień administratora, dotknij ich, a następnie dotknij „DEZAKTYWUJ".

Często zadawane pytania (FAQ)

Moje urządzenie z Androidem jest zainfekowane malware RedWing, czy powinienem sformatować pamięć, aby się go pozbyć?

Formatowanie jest rzadko wymagane do usunięcia malware. Uruchomienie renomowanego mobilnego rozwiązania antywirusowego, takiego jak Combo Cleaner, powinno wystarczyć do wykrycia i wyeliminowania RedWing z urządzenia bez uciekania się do pełnego przywracania ustawień fabrycznych.

Jakie są największe problemy, które może spowodować malware RedWing?

RedWing daje atakującym niemal całkowitą kontrolę nad zainfekowanym urządzeniem. Mogą oni przechwytywać wiadomości SMS, w tym kody uwierzytelniania dwuskładnikowego, kraść dane uwierzytelniające do bankowości za pośrednictwem fałszywych ekranów nakładkowych oraz uzyskiwać dostęp do kamery i mikrofonu bez wiedzy ofiary.

Poza inwigilacją operatorzy mogą przekierowywać połączenia przychodzące, aby obejść uwierzytelnianie oparte na telefonie, zdalnie blokować urządzenie oraz koordynować wiele zainfekowanych telefonów w celu przeprowadzenia ataków typu traffic flood. Poważne straty finansowe i kradzież tożsamości należą do najbardziej prawdopodobnych rzeczywistych konsekwencji.

Jaki jest cel malware RedWing?

RedWing jest przede wszystkim nastawiony na zysk. Model MaaS pozwala subskrybentom płacić za dostęp i wykorzystywać zestaw narzędzi do kradzieży danych uwierzytelniających do bankowości, zbierania kodów uwierzytelniania dwuskładnikowego, prowadzenia nieautoryzowanej inwigilacji oraz popełniania oszustw finansowych.

Biorąc pod uwagę silny nacisk malware na rosyjskie aplikacje finansowe oraz jego pozorne powiązania z rosyjskojęzycznymi cyberprzestępcami, nie można wykluczyć motywacji wykraczających poza zysk finansowy - takich jak zbieranie informacji wywiadowczych powiązane z państwem.

W jaki sposób malware RedWing przeniknął na moje urządzenie z Androidem?

RedWing najczęściej trafia na urządzenie za pośrednictwem stron phishingowych podszywających się pod legalne sklepy z aplikacjami, takie jak Google Play czy RuStore, na których ofiary są skłaniane do pobrania fałszywej aktualizacji. Kupujący subskrypcję generują dostosowane pliki APK za pomocą bota Telegram i dystrybuują je za pośrednictwem linków phishingowych lub platform komunikacyjnych.

Czy Combo Cleaner ochroni mnie przed malware?

Combo Cleaner potrafi wykryć i usunąć zdecydowaną większość znanych infekcji malware. Wykonanie pełnego skanowania urządzenia jest szczególnie ważne w przypadku zagrożeń takich jak RedWing, które głęboko zagnieżdżają się poprzez uprawnienia ułatwień dostępu i prawa administratora urządzenia.