Jak pozbyć się oprogramowania szpiegującego Corp MDM z systemu Android

Jakim rodzajem malware jest Corp MDM Spyware?

Corp MDM to spyware na Androida, którego celem są pracownicy firm logistycznych. Po cichu przechwytuje wiadomości SMS i przekierowuje połączenia, aby wykraść kody uwierzytelniające. Według badań przeprowadzonych przez Have I Been Squatted kampania ta jest powiązana z operacjami kradzieży ładunków.

Przegląd Corp MDM Spyware

Corp MDM podszywa się pod aplikację o nazwie System Service, wyposażoną w fałszywy moduł ładowania konfiguracji systemu, który przez około dziesięć sekund wyświetla komunikaty takie jak Initializing system..., zanim poprosi o uprawnienia. To opóźnienie imituje prawdziwy proces konfiguracji urządzenia, przez co użytkownicy chętniej przyznają dostęp, którego potrzebuje malware.

Malware jest dystrybuowany za pośrednictwem fałszywych stron Google Play Store, które podszywają się pod CEVA Logistics i TKW Logistics. Strony te wiernie kopiują nawigację, oceny, recenzje oraz sekcje dotyczące bezpieczeństwa danych ze Sklepu Play, aby wyglądać wiarygodnie. Odwiedzający są następnie instruowani, aby ręcznie zainstalować plik APK i zezwolić na instalację z nieznanych źródeł.

Po zainstalowaniu Corp MDM przechwytuje w czasie rzeczywistym każdą przychodzącą wiadomość SMS, rejestrując nadawcę, treść wiadomości i znacznik czasu wraz z unikalnym identyfikatorem urządzenia. Dzięki temu skutecznie kradnie hasła jednorazowe używane w uwierzytelnianiu dwuskładnikowym, umożliwiając atakującym obejście zabezpieczeń aplikacji bankowych i innych usług.

Malware może również po cichu aktywować bezwarunkowe przekierowanie połączeń na urządzeniu, przekierowując wszystkie połączenia przychodzące na numer kontrolowany przez atakujących. Odbywa się to za pomocą standardowego kodu operatora wysyłanego w tle, bez żadnych widocznych oznak dla ofiary. W połączeniu z przechwytywaniem SMS-ów daje to atakującemu pełną kontrolę nad komunikacją przychodzącą ofiary.

Corp MDM komunikuje się z serwerem dowodzenia i kontroli (C&C) za pośrednictwem nieszyfrowanego protokołu HTTP, wysyłając dane urządzenia, takie jak producent, model i poziom baterii, wraz ze skradzionymi danymi SMS. Panel operatora obsługuje polecenia włączania/wyłączania przekierowania połączeń, żądania synchronizacji SMS-ów oraz uruchamiania procedury samozniszczenia, która zatrzymuje usługę i usuwa dane aplikacji.

Badacze ocenili, że cyberprzestępca stojący za Corp MDM prawdopodobnie ma powiązania z Armenią lub Rosją, częściowo na podstawie domyślnego numeru kierunkowego kraju +374 znalezionego w panelu operatora. Implant wykazuje również oznaki tworzenia z pomocą sztucznej inteligencji, w tym błędy sprawiające, że niektóre reklamowane funkcje - takie jak śledzenie lokalizacji i blokowanie urządzenia - nie mają działającej implementacji w kliencie.

Należy wspomnieć, że twórcy malware często udoskonalają swoje oprogramowanie i metody. W związku z tym potencjalne przyszłe wersje Corp MDM mogą mieć dodatkowe lub inne funkcjonalności i funkcje.

Podsumowując, obecność oprogramowania takiego jak Corp MDM na urządzeniach może prowadzić do poważnych problemów z prywatnością, kradzieży kodów uwierzytelniających, nieautoryzowanego przekierowywania połączeń, strat finansowych i kradzieży tożsamości.

Przykłady spyware na Androida

Corp MDM to wyspecjalizowane narzędzie zaprojektowane do wspierania kradzieży ładunków poprzez dyskretne monitorowanie komunikacji pracowników firm logistycznych. Połączenie przechwytywania SMS-ów i przekierowania połączeń zapewnia atakującym stały dostęp do kodów uwierzytelniających, co czyni go szczególnie szkodliwym dla ofiar, których konta są powiązane z przejętym numerem telefonu.

Podobne zagrożenia typu spyware i malware na Androida to m.in. RedWing, ResidentBat i Landfall. Należy pamiętać, że choć ich możliwości mogą się różnić, ogólne zagrożenia - naruszenie prywatności, straty finansowe i kradzież tożsamości - pozostają takie same w przypadku tego rodzaju zagrożeń.

Jak Corp MDM Spyware dostał się na moje urządzenie?

Corp MDM rozprzestrzenia się głównie za pośrednictwem fałszywych stron Google Play Store podszywających się pod CEVA Logistics i TKW Logistics. Strony te są hostowane w domenach łudząco podobnych do oryginalnych i zaprojektowane tak, aby wyglądały jak oficjalne strony aplikacji, wraz ze sfabrykowanymi ocenami i recenzjami. Odwiedzający są nakłaniani do bezpośredniego pobrania pliku APK i włączenia instalacji z nieznanych źródeł - czego prawdziwy Sklep Play nigdy nie wymaga.

Ogólnie rzecz biorąc, malware na Androida dociera do ofiar również za pośrednictwem zewnętrznych sklepów z aplikacjami, linków phishingowych wysyłanych e-mailem lub przez komunikatory, fałszywych monitów o aktualizację oprogramowania oraz złośliwych reklam. Pobieranie aplikacji wyłącznie z oficjalnego Google Play Store i weryfikowanie dewelopera przed instalacją to najskuteczniejsze metody ochrony.

Jak uniknąć instalacji malware?

Zawsze należy instalować aplikacje z oficjalnych źródeł i zachować ostrożność wobec każdej strony internetowej, która prosi o bezpośrednie pobranie pliku APK. Strony imitujące układ Sklepu Play, które nie są hostowane w domenie google.com ani play.google.com, są niemal na pewno fałszywe. Przed dotknięciem jakiegokolwiek przycisku pobierania należy dokładnie sprawdzić adres URL.

Należy unikać klikania linków w niechcianych e-mailach, wiadomościach tekstowych lub postach w mediach społecznościowych oferujących pobranie aplikacji. Warto przejrzeć uprawnienia, o które aplikacja prosi podczas instalacji - aplikacja wyglądająca na systemową, która żąda dostępu do SMS-ów i funkcji połączeń, to poważny sygnał ostrzegawczy. Regularne aktualizowanie urządzenia i korzystanie z renomowanego oprogramowania zabezpieczającego zapewnia ważną dodatkową warstwę ochrony.

Zrzut ekranu fałszywego Google Play Store używanego do rozpowszechniania spyware Corp MDM (źródło: haveibeensquatted.com):

Szybkie menu:

• Wprowadzenie
• Jak usunąć historię przeglądania z przeglądarki Chrome?
• Jak wyłączyć powiadomienia w przeglądarce Chrome?
• Jak zresetować przeglądarkę Chrome?
• Jak usunąć historię przeglądania z przeglądarki Firefox?
• Jak wyłączyć powiadomienia w przeglądarce Firefox?
• Jak zresetować przeglądarkę Firefox?
• Jak odinstalować potencjalnie niechciane i/lub złośliwe aplikacje?
• Jak uruchomić urządzenie z Androidem w „Trybie awaryjnym"?
• Jak sprawdzić zużycie baterii przez różne aplikacje?
• Jak sprawdzić zużycie danych przez różne aplikacje?
• Jak zainstalować najnowsze aktualizacje oprogramowania?
• Jak przywrócić system do stanu domyślnego?
• Jak wyłączyć aplikacje posiadające uprawnienia administratora?

Usuwanie historii przeglądania z przeglądarki Chrome:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Historia" w otwartym menu rozwijanym.

Dotknij „Wyczyść dane przeglądania", wybierz kartę „ZAAWANSOWANE", wybierz zakres czasu i typy danych, które chcesz usunąć, a następnie dotknij „Wyczyść dane".

[Wróć do Spisu treści]

Wyłączanie powiadomień w przeglądarce Chrome:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Ustawienia" w otwartym menu rozwijanym.

Przewiń w dół, aż zobaczysz opcję „Ustawienia witryn", i dotknij jej. Przewiń w dół, aż zobaczysz opcję „Powiadomienia", i dotknij jej.

Znajdź strony internetowe wyświetlające powiadomienia, dotknij ich i kliknij „Wyczyść i zresetuj". Spowoduje to usunięcie uprawnień przyznanych tym stronom do wyświetlania powiadomień. Jednak po ponownym odwiedzeniu tej samej strony może ona ponownie poprosić o uprawnienia. Możesz zdecydować, czy je przyznać, czy nie (jeśli odmówisz, strona trafi do sekcji „Zablokowane" i nie będzie już prosić o uprawnienia).

[Wróć do Spisu treści]

Resetowanie przeglądarki Chrome:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje", i dotknij tej opcji.

Przewiń w dół, aż znajdziesz aplikację „Chrome", wybierz ją i dotknij opcji „Pamięć".

Dotknij „ZARZĄDZAJ PAMIĘCIĄ", następnie „WYCZYŚĆ WSZYSTKIE DANE" i potwierdź działanie, dotykając „OK". Pamiętaj, że zresetowanie przeglądarki spowoduje usunięcie wszystkich przechowywanych w niej danych. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, niestandardowe ustawienia i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się na wszystkich stronach internetowych.

[Wróć do Spisu treści]

Usuwanie historii przeglądania z przeglądarki Firefox:

Dotknij przycisku „Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz „Historia" w otwartym menu rozwijanym.

Przewiń w dół, aż zobaczysz „Wyczyść prywatne dane", i dotknij tej opcji. Wybierz typy danych, które chcesz usunąć, i dotknij „WYCZYŚĆ DANE".

[Wróć do Spisu treści]

Wyłączanie powiadomień w przeglądarce Firefox:

Odwiedź stronę internetową wyświetlającą powiadomienia, dotknij ikony wyświetlanej po lewej stronie paska adresu URL (ikona nie musi być „Kłódką") i wybierz „Edytuj ustawienia witryny".

W otwartym okienku zaznacz opcję „Powiadomienia" i dotknij „WYCZYŚĆ".

[Wróć do Spisu treści]

Resetowanie przeglądarki Firefox:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje", i dotknij tej opcji.

Przewiń w dół, aż znajdziesz aplikację „Firefox", wybierz ją i dotknij opcji „Pamięć".

Dotknij „WYCZYŚĆ DANE" i potwierdź działanie, dotykając „USUŃ". Pamiętaj, że zresetowanie przeglądarki spowoduje usunięcie wszystkich przechowywanych w niej danych. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, niestandardowe ustawienia i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się na wszystkich stronach internetowych.

[Wróć do Spisu treści]

Odinstalowywanie potencjalnie niechcianych i/lub złośliwych aplikacji:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aplikacje", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz potencjalnie niechcianą i/lub złośliwą aplikację, wybierz ją i dotknij „Odinstaluj". Jeśli z jakiegoś powodu nie możesz usunąć wybranej aplikacji (np. pojawia się komunikat o błędzie), spróbuj użyć „Trybu awaryjnego".

[Wróć do Spisu treści]

Uruchamianie urządzenia z Androidem w „Trybie awaryjnym":

„Tryb awaryjny" w systemie operacyjnym Android tymczasowo blokuje uruchamianie wszystkich aplikacji innych firm. Korzystanie z tego trybu to dobry sposób na diagnozowanie i rozwiązywanie różnych problemów (np. usuwanie złośliwych aplikacji, które uniemożliwiają to użytkownikom, gdy urządzenie działa „normalnie").

Naciśnij przycisk „Zasilania" i przytrzymaj go, aż zobaczysz ekran „Wyłącz". Dotknij ikony „Wyłącz" i przytrzymaj ją. Po kilku sekundach pojawi się opcja „Tryb awaryjny", którą będzie można uruchomić, restartując urządzenie.

[Wróć do Spisu treści]

Sprawdzanie zużycia baterii przez różne aplikacje:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Konserwacja urządzenia", i dotknij tej opcji.

Dotknij „Bateria" i sprawdź zużycie przez poszczególne aplikacje. Legalne/autentyczne aplikacje są zaprojektowane tak, aby zużywać jak najmniej energii, zapewniając najlepsze wrażenia użytkownika i oszczędzając baterię. Dlatego wysokie zużycie baterii może wskazywać, że aplikacja jest złośliwa.

[Wróć do Spisu treści]

Sprawdzanie zużycia danych przez różne aplikacje:

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Połączenia", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Użycie danych", i wybierz tę opcję. Podobnie jak w przypadku baterii, legalne/autentyczne aplikacje są zaprojektowane tak, aby maksymalnie ograniczać zużycie danych. Oznacza to, że duże zużycie danych może wskazywać na obecność złośliwej aplikacji. Pamiętaj, że niektóre złośliwe aplikacje mogą być zaprojektowane tak, aby działały tylko wtedy, gdy urządzenie jest połączone z siecią bezprzewodową. Z tego powodu należy sprawdzić zużycie danych zarówno komórkowych, jak i Wi-Fi.

Jeśli znajdziesz aplikację, która zużywa dużo danych, mimo że nigdy z niej nie korzystasz, zdecydowanie zalecamy jak najszybsze jej odinstalowanie.

[Wróć do Spisu treści]

Instalowanie najnowszych aktualizacji oprogramowania:

Aktualizowanie oprogramowania to dobra praktyka w zakresie bezpieczeństwa urządzenia. Producenci urządzeń nieustannie publikują różne poprawki zabezpieczeń i aktualizacje Androida w celu naprawienia błędów, które mogą zostać wykorzystane przez cyberprzestępców. Nieaktualny system jest znacznie bardziej podatny na ataki, dlatego zawsze należy upewnić się, że oprogramowanie urządzenia jest aktualne.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Aktualizacja oprogramowania", i dotknij tej opcji.

Dotknij „Pobierz aktualizacje ręcznie" i sprawdź, czy są dostępne jakieś aktualizacje. Jeśli tak, zainstaluj je natychmiast. Zalecamy również włączenie opcji „Pobieraj aktualizacje automatycznie" - umożliwi to systemowi powiadamianie o wydaniu aktualizacji i/lub jej automatyczną instalację.

[Wróć do Spisu treści]

Przywracanie systemu do stanu domyślnego:

Wykonanie „Przywracania ustawień fabrycznych" to dobry sposób na usunięcie wszystkich niechcianych aplikacji, przywrócenie domyślnych ustawień systemu i ogólne wyczyszczenie urządzenia. Należy jednak pamiętać, że wszystkie dane na urządzeniu zostaną usunięte, w tym zdjęcia, pliki wideo/audio, numery telefonów (przechowywane w urządzeniu, nie na karcie SIM), wiadomości SMS itd. Innymi słowy, urządzenie zostanie przywrócone do stanu pierwotnego.

Możesz również przywrócić podstawowe ustawienia systemu i/lub same ustawienia sieciowe.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Informacje o telefonie", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Resetuj", i dotknij tej opcji. Teraz wybierz działanie, które chcesz wykonać:
„Resetuj ustawienia" - przywrócenie wszystkich ustawień systemowych do wartości domyślnych;
„Resetuj ustawienia sieciowe" - przywrócenie wszystkich ustawień związanych z siecią do wartości domyślnych;
„Ustawienia fabryczne" - zresetowanie całego systemu i całkowite usunięcie wszystkich przechowywanych danych;

[Wróć do Spisu treści]

Wyłączanie aplikacji posiadających uprawnienia administratora:

Jeśli złośliwa aplikacja uzyska uprawnienia na poziomie administratora, może poważnie uszkodzić system. Aby zapewnić urządzeniu jak największe bezpieczeństwo, należy zawsze sprawdzać, które aplikacje mają takie uprawnienia, i wyłączać te, które nie powinny ich mieć.

Przejdź do „Ustawień", przewiń w dół, aż zobaczysz „Ekran blokady i zabezpieczenia", i dotknij tej opcji.

Przewiń w dół, aż zobaczysz „Inne ustawienia zabezpieczeń", dotknij tej opcji, a następnie dotknij „Aplikacje administratora urządzenia".

Zidentyfikuj aplikacje, które nie powinny mieć uprawnień administratora, dotknij ich, a następnie dotknij „DEZAKTYWUJ".

Często zadawane pytania (FAQ)

Moje urządzenie z Androidem jest zainfekowane Corp MDM Spyware. Czy powinienem sformatować urządzenie pamięci masowej, aby się go pozbyć?

Formatowanie zazwyczaj nie jest konieczne do usunięcia malware. Uruchomienie renomowanego oprogramowania zabezpieczającego dla urządzeń mobilnych, takiego jak Combo Cleaner, powinno wystarczyć do wykrycia i usunięcia Corp MDM z urządzenia.

Jakie są największe problemy, które może powodować Corp MDM Spyware?

Corp MDM przechwytuje w czasie rzeczywistym każdą przychodzącą wiadomość SMS, co oznacza, że atakujący mogą zbierać hasła jednorazowe używane w uwierzytelnianiu dwuskładnikowym i uzyskać dostęp do kont bankowych, poczty e-mail oraz wszelkich usług powiązanych z numerem telefonu ofiary.

Malware może również przekierowywać wszystkie połączenia przychodzące na numer kontrolowany przez atakujących. Łącznie te możliwości sprawiają, że nieautoryzowany dostęp do kont i kradzież środków finansowych są bardzo realnymi konsekwencjami dla poszkodowanych użytkowników.

Jaki jest cel Corp MDM Spyware?

Corp MDM wydaje się zaprojektowany przede wszystkim do wspierania kradzieży ładunków poprzez przejmowanie komunikacji pracowników firm logistycznych. Większość cyberataków jest motywowana zyskiem, choć atakujący mogą kierować się również szpiegostwem, osobistymi urazami, chęcią zakłócenia działania lub szerszą działalnością przestępczą.

Jak Corp MDM Spyware dostał się na moje urządzenie z Androidem?

Corp MDM rozprzestrzenia się za pośrednictwem fałszywych stron Google Play Store podszywających się pod aplikacje CEVA Logistics i TKW Logistics. Ofiary są nakłaniane do bezpośredniego pobrania pliku APK i ręcznej instalacji. Malware na Androida często rozprzestrzenia się również za pośrednictwem linków phishingowych, zewnętrznych sklepów z aplikacjami i fałszywych monitów o aktualizację oprogramowania.

Czy Combo Cleaner ochroni mnie przed malware?

Combo Cleaner potrafi wykryć i wyeliminować niemal wszystkie znane infekcje malware. Pełne skanowanie systemu jest niezbędne, ponieważ zaawansowane zagrożenia mają tendencję do ukrywania się głęboko w urządzeniu, aby uniknąć wykrycia.