nakładka (overlay) na aplikację bankową

Nakładka na aplikację bankową (ang. overlay) to technika trojanów bankowych na Androida: złośliwa aplikacja wyświetla nad prawdziwą aplikacją banku własny, łudząco podobny ekran logowania i przechwytuje wpisane dane. CERT Polska opisał ją w 2019 roku przy trojanie Cerberus jako przysłanianie ekranu nakładkami, którymi złośliwe narzędzie wykrada dane logowania do popularnych aplikacji ^[3]. Współczesne odmiany łączą nakładki z nadużyciem usług ułatwień dostępu, które pozwalają czytać ekran i samodzielnie klikać w interfejsie telefonu ^[1].

Jak działa

MITRE opisuje nakładki jako odmianę techniki przechwytywania danych przez fałszywy interfejs (GUI Input Capture) ^[4]. Wymienia dwie drogi: uruchomienie własnego okna nad działającą aplikacją albo utworzenie okna nakładki z uprawnieniem SYSTEM_ALERT_WINDOW ^[4]. Według dokumentacji Androida to uprawnienie pozwala tworzyć okna wyświetlane nad wszystkimi innymi aplikacjami, a korzystać z niego powinno bardzo niewiele aplikacji ^[5]. Od API 23 (Android 6.0) użytkownik musi przyznać je ręcznie na osobnym ekranie ustawień ^[5]. Drugą drogę zawęża Android 10, który ogranicza uruchamianie okien przez aplikacje działające w tle ^[4].

Żeby pokazać nakładkę we właściwej chwili, malware musi wiedzieć, jaka aplikacja jest na pierwszym planie. MITRE wskazuje, że służą do tego nadużywane funkcje ułatwień dostępu ^[4]. W przypadku Cerberusa nakładki pobierano z serwera w trakcie działania, pod warunkiem że na telefonie była aplikacja, dla której przestępcy mieli przygotowany ekran ^[3].

Przebieg kradzieży danych logowania pokazuje schemat poniżej.

RYS. 1Kradzież danych przez nakładkę

Rola usług ułatwień dostępu

Ułatwienia dostępu (accessibility services) mają wspierać obsługę telefonu przez osoby z niepełnosprawnościami. CERT Polska opisuje, że pozwalają odczytywać zawartość wyświetlanych okien i wchodzić z nimi w interakcję ^[3]. Cerberus po uzyskaniu tej zgody sam przyznawał sobie kolejne uprawnienia: stawał się administratorem urządzenia i domyślną aplikacją do SMS-ów ^[3].

FvncBot, analizowany przez CERT Polska w marcu 2026 roku, idzie dalej. Przechwytuje zarówno pierwotne, jak i zmienione wartości pól edycyjnych, także pól haseł, a operator może wykonywać zdalne gesty i otrzymywać opis całego ekranu ^[1]. Moduł wstrzykuje do nakładek WebView własny JavaScript, który utrzymuje widoczność pól logowania przy otwartej klawiaturze ^[1]. To połączenie cech keyloggera i RAT-a.

Jak trafia na telefon

Nakładki działają w aplikacjach instalowanych spoza sklepu, czyli przez sideloading. Cerberus był rozsyłany SMS-ami o śledzeniu przesyłki z linkiem do pobrania aplikacji, a ta podszywała się pod markę InPost ^[3]; to klasyczny smishing. Cifrat, opisany przez CERT Polska w kwietniu 2026 roku, zaczynał się od wiadomości phishingowej podszywającej się pod Booking.com i fałszywej strony aktualizacji ^[2]. Pobrany plik był wieloetapowym dropperem, który rozpakowywał kolejne ukryte moduły, aż do RAT-a z nakładkami i dostępem do SMS-ów ^[2].

Aplikacja FvncBot podszywała się pod token Spółdzielczej Grupy Bankowej i nakłaniała do włączenia ułatwień dostępu pod pretekstem aktualizacji systemu ^[1]. Każda próbka w tej kampanii używała wizerunku innego banku ^[1]. Cały łańcuch opiera się na socjotechnice: ofiara sama instaluje aplikację i sama przyznaje jej uprawnienia.

Jak się bronić

• Instalować aplikacje bankowe tylko z Google Play albo App Store ^[1].
• Traktować aktualizację dostarczaną ze strony WWW jako podejrzaną, zwłaszcza gdy wymaga ręcznej instalacji pliku APK ^[2].
• Uznać prośbę nowej aplikacji o dostęp do ułatwień dostępu, nagrywania ekranu, powiadomień lub nakładek za krytyczny sygnał ostrzegawczy ^[2].
• Po telefonie rzekomo z banku rozłączyć się i oddzwonić na numer z oficjalnej strony banku ^[1]; zob. oszustwo na policjanta / na pracownika banku i spoofing.
• Aktualizować system. Android 12 wprowadził uprawnienie HIDE_OVERLAY_WINDOWS, którym aplikacja może zablokować wyświetlanie nad sobą obcych nakładek ^{[4] [5]}.
• W firmie ograniczać listę dozwolonych usług ułatwień dostępu politykami urządzeń ^[4], np. przez MDM.

Historia i przykłady

CERT Polska opisał Cerberusa w październiku 2019 roku jako kolejną po GMBot, Marcher i Anubis odmianę złośliwego oprogramowania atakującego użytkowników Androida ^[3]. Kolejne rodziny przesuwają ciężar z samych nakładek na zdalne sterowanie. W przypadku FvncBot sposób dystrybucji nie był jeszcze znany w chwili publikacji analizy ^[1]. Końcowy moduł cifrat obsługuje nakładki phishingowe, strumieniowanie ekranu, kamerę, zdalne gesty i tunel SOCKS5, a z serwerem C2 komunikuje się przez WebSocket ^[2]. CERT Polska ocenia, że malware zaprojektowano nie tylko do kradzieży danych, ale też do zdalnego dostępu i przekazywania ruchu sieciowego ^[2].

Zagrożenia i skutki

Skradzione dane logowania prowadzą do przejęcia konta bankowego. CERT Polska zaznacza, że FvncBot jest wielomodułowym narzędziem do zdalnego sterowania telefonem, a nie typową fałszywą aplikacją banku ^[1]. Przestępca może więc działać na urządzeniu ofiary, z jej aplikacji i jej sesji. Cerberus celował nie tylko w bankowość, ale też w aplikacje pocztowe ^[3], a przejęta skrzynka pozwala resetować hasła do innych usług, w tym do paneli administracyjnych stron.