Falsk Play Store-uppdatering ger hackare full kontroll: Så avslöjar du bluffen

Skadeprogrammet, som kallas Oblivion, dyker upp som en övertygande uppdateringsruta från Google Play, komplett med utvecklarnamnet ”LLC Google”, en grön UPPDATERA-knapp och 4,5 stjärnor i betyg, enligt en analys från säkerhetsföretaget iVerify. När användaren trycker på knappen visas en pixel-perfekt kopia av Androids tillgänglighetsinställningar, och när offret trycker på Aktivera tar appen över hela systemet.

Oblivion säljs som en tjänst till andra kriminella. Priserna sträcker sig från 300 dollar för en månad, 700 dollar för tre månader och 1 300 dollar för ett halvår, till 1 900 dollar för ett år eller 2 200 dollar för livslång åtkomst, uppger säkerhetsföretaget Certo Software som analyserat plattformen.

Fungerar från Android 8 till Android 16

Trojanen fungerar på Android-versioner från 8 till 16 och kringgår säkerhetsskyddet i alla större tillverkares system: Samsungs One UI, Xiaomis MIUI och HyperOS, OPPO:s ColorOS, Honors MagicOS och OnePlus OxygenOS. När tillgänglighetstjänsten väl är aktiverad avlyssnar och auto-avvisar Oblivion efterföljande behörighetsdialoger, så att offret aldrig ser vilka andra rättigheter appen tilldelar sig.

Väl inne registrerar Oblivion sig som telefonens standardhanterare för sms. Det betyder att inkommande meddelanden, inklusive engångskoder och tvåfaktorskoder från banker, landar hos angriparens kontrollpanel innan de når offrets vanliga meddelandeapp, skriver iVerify i sin tekniska rapport.

Dold fjärrstyrning bakom ”Systemet uppdateras”

Trojanens mest avancerade funktion är en dold VNC-session, alltså en fjärrskärm som ger operatören full pekskärmskontroll över telefonen medan offret ser en falsk skärm med texten om att systemet uppdateras. På ytan står telefonen still. I bakgrunden loggar en keylogger varje tryck, och appen kan öppna banktjänster, godkänna överföringar och låsa upp enheten med den PIN-kod som redan snappats upp.

iVerify beskriver även en så kallad Wealth Assessment-funktion, som automatiskt kategoriserar offrets appar i grupper som bank, kryptovaluta, marknadsplatser, mikrolån och myndighet. På så sätt ser köparen omedelbart vilka konton som är värda att gå på.

Play Store frågar aldrig efter tillgänglighet

Den avgörande varningssignalen är enkel: den riktiga Google Play Butik ber aldrig om åtkomst till Androids tillgänglighetstjänst. En uppdateringsdialog som plötsligt vill ha den behörigheten är nästan alltid ett bedrägeri, oavsett hur äkta rutan ser ut.

Tre konkreta tecken att titta efter:

• Uppdateringen ber om tillstånd till tillgänglighetstjänsten eller ”att styra enheten”.

• Uppdateringsrutan dyker upp utanför den riktiga Play Butik-appen, exempelvis från en webbsida eller ett sms.

• Utvecklarnamnet ser rätt ut vid en snabb blick men avviker vid närmare granskning, som ”LLC Google” istället för Google LLC.

Bästa skyddet är fortfarande att bara installera appar direkt från Play Butik, hålla Google Play Protect påslaget och vara skeptisk mot uppdateringspromptar som dyker upp utan att man själv startat en uppdatering.