Microsoft waarschuwt Android-telefoongebruikers voor evoluerende malware-apps voor tolfraude

Als je een Android-telefoon gebruiker bent, waarschuwt Microsoft je: pas op voor tol-fraude malware-apps. Deze apps zijn complexer en moeilijker te detecteren geworden, met de bedoeling om je geld te stelen door je verborgen abonnementsvergoedingen in rekening te brengen. Microsoft heeft de stappen van deze kwaadaardige aanval in een blogpost uiteengezet, zodat je je bewust bent van de gevaren en jezelf kunt beschermen.

Tol-fraude, ook bekend als “freemium virus” of “trapware,” is een factureringsfraude waarbij nietsvermoedende mensen worden verleid om te betalen voor premium inhoud zonder hun medeweten of toestemming. Het verschilt van andere fleeceware gevaren doordat de schadelijke functies alleen worden geactiveerd wanneer een hacker een apparaat koppelt aan een van zijn doelnetwerkoperators.

Verder, volgens Valsamaras en Shin Jung van het Microsoft 365 Defender Research Team, is ontdekt dat het standaard verbinding maakt met het mobiele netwerk voor activiteiten, zelfs als er een Wi-Fi-verbinding beschikbaar is. “Het doet dit standaard,” verklaarden ze.

Daarna creëert het een nep-abonnement en bevestigt het opnieuw na het tot stand brengen van een verbinding met een specifiek netwerk.

De nieuwste versie van het Magento-platform maakt gebruik van een verscheidenheid aan externe en interne beveiligingsoplossingen om online fraude te bestrijden met behulp van meerdere methoden, waaronder:

Tol-fraude treedt op wanneer consumenten een legitieme betaalde dienst gebruiken die wordt aangeboden door een WAP-geschikte website om items of diensten te verkrijgen die de verkoper niet autoriseert. De mobiele telefoonrekeningen van klanten worden automatisch belast, in plaats van dat ze een credit- of debetkaart moeten aanmaken of een gebruikersnaam en wachtwoord moeten opgeven.

Volgens Kaspersky, hackers kunnen het IP-adres van een WAP-facturerings-trojan bepalen als de gebruiker verbinding maakt met internet via mobiele data. “Gebruikers worden alleen in rekening gebracht als ze correct worden geïdentificeerd, wat met gemak gebeurt,” zegt een studie uit 2017 door Kaspersky over WAP-facturerings-trojans.

Sommige bedrijven kunnen om OTP's vragen als de tweede verificatieniveau voordat ze de dienst activeren.

De malware voert het abonnement namens de gebruiker uit op een ogenschijnlijk legitieme manier. De malware communiceert met een [command-and-control] server om een lijst van beschikbare diensten te verkrijgen.

De malware downloadt verschillende bestanden van de gecompromitteerde website, waaronder AdNab.exe en rundll32.exe. Vervolgens gebruikt het JavaScript om heimelijk op de dienst te abonneren en de OTP-code te ontvangen en te verzenden (indien vereist). Programmeurs hebben de JavaScript-code ontworpen om een programmatische benadering te gebruiken om het abonnement te starten door HTML-elementen te controleren die trefwoorden bevatten zoals “bevestigen,” “klik,” of “doorgaan.”

De malware kan binnenkomende tekstberichten verwijderen die informatie bevatten over de geabonneerde dienst van de mobiele netwerkoperator als een frauduleus abonnement succesvol is.

Android's dynamische code-laadfunctie, die applicaties toestaat om tijdens runtime extra modules van een externe server te downloaden, maakt het gemakkelijk voor louche individuen om van het systeem te profiteren.

Malware-schrijvers kunnen een applicatie maken die slecht gedrag vertoont. Maar slecht gedrag zal alleen optreden als aan specifieke omstandigheden wordt voldaan. Dus het zal moeilijk zijn om dit slechte gedrag te vinden met behulp van statische code-analysecontroles aan de beveiligingskant.

Achterdeur-malware is kwaadaardige software die via een app wordt geïnstalleerd en dynamisch gegenereerde code produceert om tekstberichten te onderscheppen, zoals uiteengezet in Google's ontwikkelaarsdocumentatie voor potentieel schadelijke applicaties (PHA's).

Tolheffingen zijn een lucratieve business geworden voor hackers, met fraude-applicaties die 34,8 procent claimen van alle PHA's die in de eerste drie maanden van 2022 via de Android-appmarkt zijn vastgesteld, net onder spyware. De meeste installaties werden waargenomen in India, Rusland, Mexico, Indonesië en Turkije.

Als je wilt voorkomen dat je slachtoffer wordt van tol-fraude malware, volg dan de instructies in dit blogartikel. Gebruikers zouden alleen applicaties moeten verkrijgen van de Google Play Store of andere legitieme bronnen. Ze zouden app-privileges moeten beperken en overwegen hun telefoon te vervangen als deze geen updates ontvangt.