A Zimperium szerint a ClayRat Android kártevő: hozzáférhetőségi visszaéléssel, képernyőrögzítéssel, PIN- és kódlopással, eltávolításgátlással terjed álappokban.
© A. Krivonosov
A Zimperium kutatói egy új, jóval kifinomultabb ClayRat-változatról számolnak be. Az egykor egyszerű adatvadász, amely főként SMS-eket és hívásnaplókat húzott le, mára többcélú megfigyelőeszközzé nőtte ki magát: mélyebb rendszerhozzáféréssel és beépített eltávolításvédelemmel. A váltás aligha megnyugtató – a hétköznapi felhasználók számára kézzelfoghatóan emeli a tétet.
A korai, 2024 őszén észlelt variánsok még viszonylag korlátozottak voltak. Mostanra a ClayRat a hozzáférhetőségi szolgáltatásokat is kihasználja, így a támadók szinte gátlások nélkül kezelhetik a készülék felületét. A repertoár kibővült: billentyűleütés-naplózás, PIN-kódok megszerzése, jelszavak kiolvasása, sőt a képernyő automatikus feloldása is része a csomagnak.
A szakértők új, eltávolítást gátló védelmet is említenek: a ClayRat elfogja az érintéseket, blokkolja a felhasználói parancsokat, és más műveleteket cserél be, hogy megakadályozza a telefon kikapcsolását vagy a kártevő eltávolítását. A kijelzőn félrevezető átfedések jelenhetnek meg, például rendszerfrissítés ablak, amely elfedi a valós történéseket. Ez a szemfényvesztés könnyen elbizonytalaníthatja a felhasználót abban is, amit épp lát.
A terjedéshez a trójai népszerű alkalmazásoknak álcázza magát: videószolgáltatások kliensének, üzenetküldőknek, illetve helyi taxi- vagy parkolási appoknak. A Zimperium több mint 25 csalihonlapot azonosított, köztük a YouTube Pro és a Car Scanner ELM hamisított változatait. A támadók APK fájlokat Dropboxon is hosztolnak, megkerülve a biztonsági szűrőket. Az ismerős márkák és a legitim felhőtárhely használata hitelesebbnek tünteti fel az átverést.
Telepítés után a ClayRat szinte teljes kontrollt szerez: a MediaProjection API-n keresztül rögzíti a képernyőt, elfogja az értesítéseket, módosíthatja a válaszokat, egyszer használatos kódokat lophat, sőt beszélgetésekbe is belenyúlhat. Ilyen lábnyommal még a rutinműveletek sem feltétlenül úgy viselkednek, ahogyan elvárnánk.