Dnia Thu, 22 Feb 2018 23:24:51 +0100, J.F. napisał(a):

> http://antyweb.pl/kradziez-pieniadzy-atak/
>
> opis nieco chaotyczny ... ale czy ja dobrze rozumiem, ze aplikacja
> mbanku zostala mocno zhackowana ?
> Czy atak byl przez strone internetowa ?
>
> Hackerski program wiedzial ze na koncie pojawily sie pieniadze,
> potrafil zrobic przelew, zdobyl hasla, bo sms to zdaje sie latwizna.
>
> I jaka rada na to - drugi telefon do sms, czy iphone kupic ? :-)
>
> J.

Drugi telefon do SMS.

A co Ci da iPhone... no chyba, że to będzie ten drugi ;)

do góry

Użytkownik "Wojciech Bancer" napisał w wiadomości grup
dyskusyjnych:slrnp8vkk2.18a4.wojciech.bancer@pl-test
.org...
On 2018-02-23, miumiu <a...@b...pl> wrote:
[...]
>> jakim zabezpieczeniem jest haslo sms-owe, ktore przychodzi na ten
>> sam
>> telefon? A apki chyba nie maja zabezpieczen, ktore blokowalyby
>> wysylanie
>> sms-a na ten sam telefon.

>Ale aplikacja bankowa mBanku nie wysyła kodów SMS w przypadku
>używania aplikacji.

A mozliwosc zdalnego sterowania aplikacja jest ?
Tzn na poziomie Androida - czy zlosliwy program moze uruchomic
aplikacje, zasymulowac klikniecia we wlasciwe punkty i wpisanie hasla
?

J.

do góry

Użytkownik "Wojciech Bancer" napisał w wiadomości grup
dyskusyjnych:slrnp8vkhu.18a4.wojciech.bancer@pl-test
.org...
On 2018-02-23, Krzysztof Halasa <k...@p...waw.pl> wrote:
>> Mogła oddczytać SMS, owszem - dlatego nie powinno się używać haseł
>> SMS
>> w połączeniu z telefonem, na którym uruchamiamy podejrzane
>> oprogramowanie (inna sprawa - które nie jest podejrzane).

>Ja tylko zauważam, że w mBanku operacje wykonywane aplikacją bankową
>w telefonie nie są autoryzowane SMSami.
>Więc jeśli atakujący odczytał SMS to na skutek operacji dokonanej
>na interfejsie webowym.

"bowiem jedna z nich była również... typowym koniem trojańskim, który
prosił o nadzwyczajnie duże uprawnienia posiadacza urządzenia i
,,nasłuchiwał" aplikacje bankowe w poszukiwaniu potrzebnych do
wykonania ataku danych. "

"Cyberprzestępcy mając takie uprawnienia, jakie zostają nadane
aplikacji mogli nie tylko analizować aplikacje bankowe (nawet pod
kątem sald kont, które były do nich przypisane), ale również korzystać
z mikrofonu oraz kamer. "

Ze dwa razy sie tam pisze wprost o aplikacji, ale to moze byc zwykle
przeklamanie.
No i nie pisza, ze aplikacji uzyto do przelewu.
Mogla byc droga mieszana - troche w aplikacji, a troche przez
przegladarke ... czy w ogole samodzielnie przez program, choc obecnie
musialby sie chyba przedrzec przez te wszystkie javascripty.

W aplikacji mbanku nie podaje sie nr klienta ... chyba, ze trojan
podsluchal przy instalacji.
A haslo jest inne niz do strony www.

Zastanawia mnie jednak szybkosc, z jaka trojan wylapal pieniadze na
koncie ... a moze po prostu czuwal nad przegladarką ?

J.










--
Wojciech Bańcer
w...@g...com

do góry

W dniu 23.02.2018 o 08:43, Piotr Gałka pisze:

>
> Jeżeli ktoś się z telefonu loguje do banku (chyba wszystko jedno, czy
> przez specjalną aplikację (nie wiem jak to wygląda), czy przez
> przeglądarkę (tu wiem, że się normalnie wpisze login i hasło)) to
> złośliwa aplikacja działająca cały czas na telefonie nie powinna mieć
> problemu ze znalezieniem loginu i hasła.

To znaczy jak to zrobi na niezrootowanym telefonie? Nie ma w androidzie
uprawnienia 'podsłuchuj wpisywanie danych do innej aplikacji' ani
'podrzucaj innej aplikacji swoje dane symulując klikanie'.

MJ

do góry

Użytkownik "Michał Jankowski" napisał w wiadomości grup
dyskusyjnych:5a900fc0$0$675$6...@n...neostrada.
pl...
W dniu 23.02.2018 o 08:43, Piotr Gałka pisze:
>> Jeżeli ktoś się z telefonu loguje do banku (chyba wszystko jedno,
>> czy przez specjalną aplikację (nie wiem jak to wygląda), czy przez
>> przeglądarkę (tu wiem, że się normalnie wpisze login i hasło)) to
>> złośliwa aplikacja działająca cały czas na telefonie nie powinna
>> mieć problemu ze znalezieniem loginu i hasła.

>To znaczy jak to zrobi na niezrootowanym telefonie? Nie ma w
>androidzie uprawnienia 'podsłuchuj wpisywanie danych do innej
>aplikacji' ani 'podrzucaj innej aplikacji swoje dane symulując
>klikanie'.

Jest Teamviewer, ale prawde mowiac ostatnio jak probowalem, to akurat
telefonem sterowac nie potrafil, czy wymagal ekstra licencji.

Ale teraz ponoc potrafi

https://play.google.com/store/search?q=teamviewer

J.

do góry

W dniu 23.02.2018 o 14:07, J.F. pisze:

>
> Jest Teamviewer, ale prawde mowiac ostatnio jak probowalem, to akurat
> telefonem sterowac nie potrafil, czy wymagal ekstra licencji.
>
> Ale teraz ponoc potrafi
>
> https://play.google.com/store/search?q=teamviewer
>
> J.
>

Aha. No to strach się bać.

MJ

do góry

W dniu 2018-02-23 o 13:57, Michał Jankowski pisze:

>> Jeżeli ktoś się z telefonu loguje do banku (chyba wszystko jedno, czy
>> przez specjalną aplikację (nie wiem jak to wygląda), czy przez
>> przeglądarkę (tu wiem, że się normalnie wpisze login i hasło)) to
>> złośliwa aplikacja działająca cały czas na telefonie nie powinna mieć
>> problemu ze znalezieniem loginu i hasła.
>
> To znaczy jak to zrobi na niezrootowanym telefonie? Nie ma w androidzie
> uprawnienia 'podsłuchuj wpisywanie danych do innej aplikacji' ani
> 'podrzucaj innej aplikacji swoje dane symulując klikanie'.

Za mało się znam. Nie wiem nawet co to znaczy zrootowany.
Ja rozumuję tak. Jeśli aplikacja ma dostęp do wszystkiego to może
wszystko. Ale faktycznie coś mi się kiedyś obiło, że systemy operacyjne
potrafią pilnować aby jedna aplikacja nie mogła wpływać na drugą. Nie
wiem jak to działa (moja wyobraźnia nie wyszła poza 8-bitowce).
P.G.

do góry

On 2018-02-23, dantes <d...@q...com> wrote:

[...]

> A co Ci da iPhone... no chyba, że to będzie ten drugi ;)

iPhone nie jest otwarty, aplikacje nie mają dostępu do danych innych
aplikacji, są uruchamiane we własnych sandboxach i nie mają nawet dostępu
do całego systemu plików (tylko do swojej wydzielonej części).

Na Androidzie możesz mieć aplikację która słucha SMSy,
na iPhone nie (poza tą systemową, napisaną przez Apple).

--
Wojciech Bańcer
w...@g...com

do góry

On Thu, 22 Feb 2018 23:42:56 +0000 (UTC), Dominik 'Rathann'
Mierzejewski <_...@g...net> wrote:
> Nie. Przez złośliwą aplikację do monitorowania kursów kryptowalut,
> która okazała się trojanem i miała pełne uprawnienia do smartfona.

Nie, aplikacja tylko służyła jako źródło danych do zalogowania i
tanu..

--
Marek

do góry

On Fri, 23 Feb 2018 08:43:29 +0100, Piotr
Gałka<p...@c...pl> wrote:
> Jeżeli ktoś się z telefonu loguje do banku (chyba wszystko jedno,
> czy
> przez specjalną aplikację (nie wiem jak to wygląda), czy przez
> przeglądarkę (tu wiem, że się normalnie wpisze login i hasło)) to
> złośliwa aplikacja działająca cały czas na telefonie nie powinna
> mieć
> problemu ze znalezieniem loginu i hasła.

To był działa inaczej, złośliwa aplikacja wyświetla fałszywe
powiadomienia "z banku" (np. z aplikacji mBanku), user klika w
powiadomienie i jest wtedy przekierowywany do fałszywej strony
banku, gdzie podaje swoje login i hasło.


podstawia podrobioną stronę do zalogowania do banku.

--
Marek

do góry