Riasztás csomagküldő szolgáltatók nevével visszaélő, káros kód terjesztéssel összefüggő SMS üzenetekkel kapcsolatban

Tisztelt Ügyfelünk!

A Nemzetbiztonsági Szakszolgálat Nemzeti Kibervédelmi Intézet (NBSZ NKI) riasztást ad ki a megnövekedett számú, kéretlen szöveges üzenetek útján terjedő, látszólag csomagküldő szolgáltatóktól érkező, káros hivatkozást tartalmazó SMS üzenetekkel kapcsolatban. A jelenleg rendelkezésre álló adatok alapján az SMS üzentekben, be nem fizetett szállítási díj vonatkozásában próbálnak meg pénzt, illetve adatokat megszerezni, valamint egyes esetekben Android operációs rendszerű eszközökre veszélyes káros kód letöltést végrehajtatni a felhasználóval.

 1. ábra: Példa káros hivatkozást tartalmazó üzenetre

SMS üzenetek főbb jellemzői

  • A csaló üzenetet küldők a legtöbb esetben az SMS törzsében elhelyezett hivatkozás megnyitására igyekeznek rávenni a címzettet, például egy küldemény nyomon követésére hivatkozva.
  • Egy ilyen üzenet tartalma: „Megérkezett a csomagja, kovesse nyomon itt: https://(valtozó hivatkozás)” (lásd: 1. ábra)
  • Az eddigi adatok alapján minden esetben magyar mobilszolgáltató hálózatából érkeztek az üzenetek. Fontos kiemelni, hogy az SMS-ekben szereplő URL-ek dinamikusan változnak.

A támadás menete

  • Amennyiben az áldozat megnyitja az üzenetben kapott hivatkozást, egy csaló weboldal jelenik meg, amely sok esetben rendkívül jól utánozza a megszemélyesített cég valódi bejelentkezési felületét ─ például logók, színek, tipográfiai jellemzők ─ felhasználásával. A mostani esetek során legtöbbször a FedEx került megszemélyesítésre (lásd: 2. ábra).

2. ábra: A Fedex-et megszemélyesítő káros weboldal

 

  • Ezek a káros oldalak egy alkalmazás telepítésére próbálják rávenni az áldozatot ─ a megtévesztés szerint a csomagküldemény nyomon követéséhez.
  • Azonban ha a felhasználó letölti a feltételezett alkalmazást az eszközre, egy adatlopó képességekkel felruházott Trójai vírus kerül telepítésre. A vírus telepítése után majdnem minden szolgáltatáshoz hozzátudnak férni, mint például: SMS, MMS írás, küldés, Internet, Bluetooth, NFC, telefonkönyv stb..

Fertőzés esetén az NBSZ NKI javasolja, hogy az érintett eszközön haladéktalanul végezzenek el egy gyári visszaállítást!

Az NBSZ NKI javaslatai a káros tevékenységet végző SMS üzenetek kezelésével kapcsolatban:

  • Soha ne kattintson az üzenetben levő applikáció letöltés hivatkozásra!
  • Amennyiben az SMS üzenetben található káros hivatkozás megnyitásra került, haladéktalanul értesítse az intézmény informatikai területét!
  • Minden esetben külön keressen rá az adott cég, vagy szervezet hivatalos weboldalára, és ott bejelentkezve ellenőrizze a kapott üzenet valóságtartalmát!
  • Incidens bejelentése az NBSZ NKI részére a csirt@nki.gov.hu e-mail címen vagy az nki.gov.hu weboldalon keresztül, melyek során a feladó telefonszáma, valamint a szöveges üzenetben található hivatkozás is kerüljön rögzítésre.
FRISSÍTÉS: 2021.03.24 15:35
Az SMS kampányhoz kapcsolódó káros kód további vizsgálat során megállapítást nyert, hogy az a Flubot variánsa, amely főként pénzügyi szolgáltatások/banki adatok megszerzésére specializálódott, a funkciók alapján képes egyszer használatos jelszó (One-Time-Password / OTP) adatok ellopására is. Az SMS linkjén található malware képes hozzáférni a megfertőzött készülék SMS küldési lehetőséghez. Így a bűnözők a csaló üzenethez hasonló, vagy azzal azonos üzeneteket tudnak küldeni más hívószámokra. A fertőzött készülék kimenő üzenetei között ugyanakkor nem látható az alkalmazás által elküldött SMS.

Legfrissebb sérülékenységek
CVE-2018-14933 – NUUO NVRmini Devices OS Command Injection sebezhetősége
CVE-2019-11001 – Reolink Multiple IP Cameras OS Command Injection sebezhetősége
CVE-2021-40407 – Reolink RLC-410W IP Camera OS Command Injection sebezhetősége
CVE-2024-20767 – Adobe ColdFusion Improper Access Control sebezhetősége
CVE-2024-55956 – Cleo Multiple Products Unauthenticated File Upload sebezhetősége
CVE-2024-50623 – Cleo Multiple Products Unrestricted File Upload sebezhetősége
CVE-2024-49138 – Windows Common Log File System Driver Elevation of Privilege sebezhetősége
CVE-2024-11639 – Ivanti CSA sérülékenysége
CVE-2024-42449 – Veeam Service Provider Console sérülékenysége
CVE-2024-42448 – Veeam Service Provider Console sérülékenysége
Tovább a sérülékenységekhez »