Cum ne protejăm de Ghimob, un trojan care afectează aplicațiile bancare de pe dispozitivele cu Android

Ne protejăm de Ghimob și de troienii bancari asemănători instalând aplicații doar din Google Play, lăsând Google Play Protect activ și nedând niciodată acces la funcțiile de accesibilitate unei aplicații necunoscute. Ghimob a fost descoperit în 2020, dar metoda lui e folosită și azi, așa că sfaturile de mai jos rămân valabile.

Ce este Ghimob și cum funcționează?

În noiembrie 2020, cercetătorii Kaspersky au descris Ghimob într-o analiză publicată pe Securelist, relatată și de NDTV Gadgets. Este un virus de tip troian (trojan), din aceeași familie cu troianul bancar brazilian Guildma, care vizează aplicațiile financiare și bancare de pe dispozitivele cu Android. La momentul descoperirii, victimele erau din Brazilia, dar printre aplicațiile vizate se aflau și cele ale unor bănci din Paraguay, Peru, Portugalia, Germania, Angola și Mozambic.

Odată ajuns pe dispozitivul Android, virusul le permite atacatorilor să controleze dispozitivul de la distanță. În acest fel, hackerii pot efectua operațiuni și tranzacții în aplicațiile bancare, chiar de pe telefonul victimei.

Amenințarea se răspândea prin e-mail. Mesajul era trimis în numele unui fals creditor și conținea un link malițios, iar troianul descărcat pretindea că este o aplicație legitimă: Google Defender, Google Docs, WhatsApp Updater și altele. Niciuna nu era în Google Play.

Dacă linkul era accesat, se descărca direct fișierul APK infectat. După instalare, troianul cerea acces la funcțiile de accesibilitate ale telefonului, apoi îi trimitea atacatorului un mesaj prin care îl anunța dacă telefonul are blocare cu PIN sau model și o listă cu aplicațiile instalate.

Conform Kaspersky, Ghimob viza 153 de aplicații mobile: 112 aplicații bancare din Brazilia, 13 aplicații de criptomonede, 9 sisteme internaționale de plată și aplicațiile unor bănci din alte țări. Atacatorul înregistra PIN-ul sau modelul de deblocare al telefonului și efectua toate operațiunile de pe dispozitivul victimei, ca să treacă de securitatea aplicațiilor bancare.

Atacatorul afișa o imagine neagră pe ecran, ca utilizatorul să nu observe activitățile ciudate, și pornea aplicațiile în fundal. Malware-ul nu apărea în lista de aplicații și îl împiedica pe utilizator să îl dezinstaleze sau să repornească telefonul.

Mai este Ghimob un pericol în 2026?

Ghimob în sine a fost o amenințare a anului 2020, cu victime mai ales în Brazilia. Metoda lui, însă, este folosită și acum de troienii bancari pentru Android: o aplicație falsă, instalată din afara magazinului oficial, cere acces la funcțiile de accesibilitate și preia controlul telefonului.

Android s-a apărat între timp. Din Android 13, telefonul blochează implicit accesul la funcțiile de accesibilitate pentru aplicațiile instalate din fișiere APK descărcate de pe internet („setări restricționate”). Dacă un mesaj sau un apel vă cere să deblocați această setare pentru o aplicație, este aproape sigur o înșelătorie. Google Play Protect verifică și aplicațiile instalate din afara magazinului, așa că nu îl dezactivați.

Cum ne protejăm de genul acesta de infectări?

Fiind vorba de un atac de tip phishing, primul pas este ca utilizatorii să verifice mereu dacă e-mailurile și SMS-urile primite sunt legitime și să nu acceseze linkurile din mesajele ciudate. Mai multe sfaturi găsiți în articolul despre cum nu cădem pradă atacurilor de tip phishing.

Un alt sfat util este să nu folosiți adresa de e-mail principală pe site-uri ciudate sau pe rețele sociale, pentru că inboxul va fi inundat cu mesaje și va fi greu să deosebiți e-mailurile importante de celelalte.

Câteva reguli pentru telefoanele cu Android:

• Instalați doar aplicații cu reputație bună, din Google Play. Permisiunea de a instala aplicații necunoscute se acordă separat fiecărei aplicații (browser, manager de fișiere); lăsați-o dezactivată.
• La instalarea aplicațiilor, acordați atenție permisiunilor. Aplicația de lanternă, de exemplu, nu ar trebui să aibă permisiunea să acceseze galeria foto sau contactele, nu?
• Acordați acces la funcțiile de accesibilitate doar aplicațiilor care chiar au nevoie de el, cum ar fi managerul de parole sau cititorul de ecran.
• Instalați actualizările de sistem și de securitate. Un telefon care nu mai primește actualizări de securitate ar trebui înlocuit.
• Activați notificările pentru fiecare tranzacție din aplicația băncii. Dacă telefonul se comportă ciudat (ecran negru, aplicații care nu se pot dezinstala, repornire blocată), deconectați-l de la internet și sunați imediat la bancă, la numărul de pe card.
• Pe telefoanele de serviciu, folosiți administrarea centralizată (MDM), cu un profil de lucru separat de aplicațiile personale.

RezolvIT este o companie de outsourcing IT obișnuită să securizeze și să protejeze infrastructurile clienților. Fie că vorbim despre laptopuri, desktopuri, servere sau dispozitive mobile, compania adoptă și propune soluții pentru a preîntâmpina amenințările de securitate ce pot apărea. Detalii despre serviciile de Securitate IT găsiți pe pagina lor.