Το Riltok, ένα banking Trojan γνωστό για την δράση του σε οντότητες στη Ρωσία, φαίνεται πως ανανεώθηκε και τώρα έχει αρχίσει να εξαπλώνεται και σε χώρες της Ευρώπης.
Μέχρι τώρα έχει παρατηρηθεί ότι το κακόβουλο λογισμικό έχει στρέψει την προσοχή του στη Γαλλία σε ένα ποσοστό 4% και ακόμη μικρότερα ποσοστά στην Ιταλία, την Ουκρανία και το Ηνωμένο Βασίλειο. Ωστόσο ο κύριος στόχος του που αποτελεί και το 90% των θυμάτων του εξακολουθεί να είναι η Ρωσία, όπως ανέφερε το Kaspersky σε ένα blog post στις 25 Ιουνίου.
Το Riltok διανέμεται από μολυσμένες συσκευές μέσω sms, μεταμφιεσμένο πολλές φορές σε εφαρμογές δημοφιλών υπηρεσιών δωρεάν διαφημίσεων στη Ρωσία. Το θύμα λαμβάνει αρχικά ένα sms το οποίο περιέχει έναν κακόβουλο σύνδεσμο, ο οποίος φαινομενικά οδηγεί σε μία δημοφιλή εφαρμογή δωρεάν διαφήμισης.
Στη συνέχεια, ο χρήστης παροτρύνεται να κατεβάσει μία “νέα έκδοση” της εφαρμογής, η οποία είναι στην πραγματικότητα το Trojan. Για να μπορέσει να εγκαταστήσει την εν λόγω έκδοση, το θύμα πρέπει να επιτρέψει την εγκατάσταση εφαρμογών από άγνωστες πηγές στις ρυθμίσεις της συσκευής.
Το Riltok ζητά από τον χρήστη την άδεια να χρησιμοποιήσει ειδικά χαρακτηριστικά της AccessibilityService και αν ο χρήστης αγνοήσει ή απορρίψει αυτό το αίτημα, αυτό θα συνεχίσει να εμφανίζεται στην οθόνη της συσκευής του επ’ αόριστον.
Όταν το Trojan αποκτήσει τα δικαιώματα που επιθυμεί, ορίζει τον εαυτό του ως την προεπιλεγμένη εφαρμογή sms προτού εξαφανιστεί από την οθόνη της συσκευής.
Μόλις μολυνθεί μια συσκευή, το κακόβουλο λογισμικό επικοινωνεί ενεργά με τους Command and Control servers και λαμβάνει διάφορες εντολές.
Σύμφωνα με τις αναφορές των ερευνητών που εξετάζουν το κακόβουλο λογισμικό, αποστέλλει δεδομένα σχετικά με τη συσκευή, συμπεριλαμβανομένου του IMEI, του αριθμού τηλεφώνου, της χώρας, του παρόχου κινητής τηλεφωνίας, του μοντέλου του τηλεφώνου, της διαθεσιμότητας δικαιωμάτων root, της έκδοσης του λειτουργικού συστήματος, της λίστας των επαφών της συσκευής, της λίστας εγκατεστημένων εφαρμογών και των εισερχόμενων sms.
