CERT Orange Polska ostrzega przed aplikacją MandatGO, która instaluje trojana Koktevrat

CERT Orange Polska wykrył kampanię wymierzoną w użytkowników Androida. Oszuści reklamują na Facebooku aplikację MandatGO. Ma ona rzekomo obniżać koszt opłacania mandatów, a reklamy sugerują, że to rządowe rozwiązanie związane z Ministerstwem Cyfryzacji. MandatGO nie jest prawdziwą usługą. Po kliknięciu reklamy użytkownik trafiał na stronę, z której pobierał plik APK i sam instalował go poza oficjalnym sklepem.

Instalacja uruchamia złośliwe oprogramowanie Koktevrat, a ono prowadzi do trojana zdalnego dostępu (RAT). Program wyłudza dostęp do usług dostępności Androida. Potem odczytuje SMS, przejmuje treści ze schowka i podgląda znaki wpisywane na klawiaturze. Wyświetla też fałszywe nakładki ekranowe, przez które przejmuje dane logowania, także do bankowości. Blokuje systemowe przyciski, co utrudnia usunięcie infekcji. Jego kod jest ukryty i zaszyfrowany w kilku etapach. Z infrastrukturą przestępców łączy się m.in. przez powiadomienia Firebase i zmienne adresy internetowe.

Według CERT Orange Polska Koktevrat korzysta z rozwiązań znanych z trojanów FluBot i Cerberus. Atak wymaga dwóch kroków od samego użytkownika: instalacji pliku spoza sklepu i nadania uprawnień usług dostępności.