הפרסומת נראית כמו כל קידום אחר בפיד: אפליקציה שמציעה ערוצי טלוויזיה בחינם. מי שלוחץ עליה לא מגיע לחנות של גוגל אלא לאתר שמוריד קובץ בשם app.apk, ומשם מתחילה סדרת בקשות הרשאה שנראות טכניות ומשעממות. בסופה יש למישהו אחר שליטה כמעט מלאה על הטלפון.

מה קרה

חוקרי חברת האבטחה ההולנדית ThreatFabric פרסמו ניתוח של נוזקת אנדרואיד חדשה שהם קוראים לה StreamRat. הקמפיין רץ בין 11 ביוני ל-3 ביולי, כוון לדוברי ספרדית ובעיקר לגולשים בספרד, והופץ דרך מודעות ממומנות בפייסבוק ובאינסטגרם וגם בטיקטוק. לפי הנתונים שמטא עצמה מפרסמת על מודעות באיחוד האירופי, המודעה הגיעה ל-570,950 חשבונות שראו אותה לפחות פעם אחת. כמה מכשירים נדבקו בפועל לא ידוע, ו-ThreatFabric לא מפרסמת מספר.

האפליקציה שיורדת מהאתר היא רק השליח. היא מבקשת שלוש הרשאות בזו אחר זו: להיות אפליקציית מסך הבית של הטלפון, להקים חיבור VPN (שלא מעביר תעבורה לשום מקום ונועד רק להיראות אמין), ולהתקין אפליקציות ממקורות שאינם החנות הרשמית. אחרי שכולן אושרו היא מורידה ומתקינה בעצמה את הנוזקה האמיתית, בקובץ ששמו update ואחריו חותמת זמן.

הבקשה שסוגרת את העניין היא ההרשאה לשירותי הנגישות. ההרשאה הזאת נועדה במקור לאפשר לאפליקציות לעזור לאנשים עם מוגבלות, לקרוא בשבילם את מה שמופיע על המסך וללחוץ במקומם, ולכן מי שמקבל אותה יכול לראות כל מה שאתם רואים וללחוץ על כל מה שאתם יכולים ללחוץ. StreamRat מנצלת אותה כדי לתעד כל הקשה על המקלדת, לפתוח מסך התחברות מזויף מעל האפליקציה האמיתית ברגע שפותחים אותה, ולאשר לבדה חלונות שקופצים ומבקשים הסכמה. במקביל היא משתמשת במנגנון שדרכו אפליקציות הקלטת מסך מצלמות את מה שרץ על המכשיר, כך שהתוקף רואה את הטלפון בזמן אמת ויכול להפעיל אותו מרחוק גם כשהמסך נראה כבוי.

למה זה חשוב לכם

הקמפיין הזה לא כוון לישראל והמודעות היו בספרדית, אז הקשר לא עובר דרך המודעה עצמה אלא דרך השיטה: קונים פרסום בפייסבוק או בטיקטוק, מבטיחים משהו שאנשים באמת רוצים (ספורט חינם, סרטים, סטרימינג), ומעבירים את הגולש מהחנות הרשמית לקובץ התקנה ישיר. ThreatFabric קושרת את StreamRat לקמפיין קודם בשם Mirax שרץ באותה צורה, ומעריכה שמאחורי הקוד עומדים אנשים עם ניסיון קודם בעולם נוזקות האנדרואיד.

בישראל התקנת קבצי APK מחוץ לחנות היא הרגל נפוץ בדיוק סביב התוכן הזה, שידורי ספורט וסרטים. ההגנה כאן היא לא זיהוי של שם הנוזקה אלא זיהוי של ההתנהגות, ואפליקציית טלוויזיה שמבקשת להיות מסך הבית שלכם ולקרוא את מה שמופיע עליו מבקשת דברים שאין להם שום קשר לצפייה.

מה עושים?

התקינו אפליקציות רק מ-Google Play או מהחנות של יצרן המכשיר. פרסומת שמובילה לאתר עם כפתור הורדה במקום לחנות היא הסימן עצמו, עוד לפני שבדקתם מה כתוב באתר.

וודאו שהאפשרות להתקין אפליקציות ממקורות לא ידועים כבויה. בהגדרות אנדרואיד היא יושבת תחת אפליקציות ואז גישה מיוחדת, והיא נקבעת בנפרד לכל אפליקציה שמבקשת אותה.

היכנסו להגדרות ואז נגישות ועברו על רשימת השירותים המותקנים. כל דבר שאתם לא מזהים או שאין לו סיבה מובנת להיות שם, כבו והסירו.

אם כבר התקנתם משהו כזה והטלפון מתנהג מוזר, הפעילו אותו מחדש במצב בטוח (safe mode), שמריץ רק אפליקציות מערכת ומאפשר להסיר את האפליקציה בלי שהיא תפריע. אחר כך החליפו ממכשיר אחר את הסיסמאות לבנק ולמייל.

אפליקציית סטרימינג לא צריכה לדעת מה אתם מקלידים במקלדת.