Оверлейная атака (overlay attack) — техника мобильных атак, при которой вредонос показывает поддельное окно поверх легитимного приложения, обычно банковского или платёжного, чтобы выманить учётные данные или данные карты.
Как работают оверлейные атаки
Оверлейная атака — фирменный приём Android-банковских троянов. После установки, обычно через приложение-дроппер или ссылку в смишинг-сообщениях, вредонос запрашивает разрешения вроде «Поверх других приложений» (SYSTEM_ALERT_WINDOW) или доступ к специальным возможностям. Затем он:
- загружает со своего сервера список целевых приложений и соответствующие поддельные экраны входа (инжекты);
- следит за тем, какое приложение находится на переднем плане;
- при открытии целевого приложения мгновенно рисует поверх него точную копию экрана входа или ввода карты;
- отправляет атакующим всё, что вводит пользователь.
Оверлеи могут и скрывать вредоносные действия: безобидный на вид слой предлагает пользователю нажать на экран, а нажатия на самом деле выдают разрешения в окне под ним — эту идею продемонстрировало исследование Cloak & Dagger 2017 года. В MITRE ATT&CK for Mobile техника описана как Input Capture: GUI Input Capture (T1417.002).
Почему оверлейные атаки опасны
Оверлеи позволяют красть банковские пароли, номера карт и одноразовые пароли, не взламывая приложение банка. Семейства BankBot, Anubis, Cerberus, Anatsa и многие инфостилеры атакуют сразу сотни банковских, криптовалютных и торговых приложений. Google постепенно ограничивает разрешения на наложение и специальные возможности в новых версиях Android и в Google Play, что подталкивает злоумышленников к установке приложений в обход магазина и социальной инженерии.
Как защититься от оверлейных атак
- Устанавливать приложения только из официальных магазинов и не переходить по ссылкам на APK-файлы.
- Не выдавать разрешение «Поверх других приложений» и доступ к специальным возможностям приложениям, которым они явно не нужны.
- Своевременно обновлять Android и Google Play Защиту.
- Насторожиться, если экран входа появляется неожиданно или запрашивает полные данные карты.
