Jak nově objevený škodlivý kód funguje:

• Oběť nainstaluje škodlivou aplikaci z obchodu Google Play
• Malware začne sledovat nová upozornění ve WhatsAppu
• Malware reaguje na každou zprávu ve WhatsAppu a jménem obětí odpovídá zprávou vytvořenou hackery
• V této kampani byly odpovědi zaměřené na falešný web Netflix a cílem byly krádeže přihlašovacích údajů a informací o platební kartě
• Kampaň si za dva měsíce vyžádala 500 obětí
• Jedna kampaň byla zastavena, ale je pravděpodobné, že se hrozba vrátí v jiné aplikaci

Aplikace FlixOnline napodobuje Netflix, využívá dokonce i jeho loga a láká uživatele na obsah Netflixu. Ve skutečnosti ale aplikace odposlouchává oznámení ve WhatsAppu, odesílá automatické odpovědi na příchozí zprávy a pokouší se nalákat další oběti na bezplatné služby Netflix: „Zdarma Netflix Premium na 2 měsíce z důvodu karantény (koronavirus) * Získejte zdarma Netflix Premium na 2 měsíce kdekoli na světě na 60 dnů. Stačí kliknout ZDE.“

Aplikace FlixOnline na Google Play

FlixOnline si na začátku vyžádá některá oprávnění, což mu umožňuje efektivnější maskování a škodlivé aktivity.

Check Point pochopitelně o hrozbě informoval společnost Google, která aplikaci odstranila. V průběhu dvou měsíců ovšem byla aplikace FlixOnline stažena přibližně 500krát.

„Malware používá poměrně novou a inovativní techniku. Snaží se zneužít WhatsApp a automaticky odpovídat jménem oběti na všechny příchozí zprávy. Je znepokojivé, že hrozba dokázala obejít i bezpečnostní mechanismy obchodu Google Play. Jednu kampaň jsme sice zastavili, ale je pravděpodobné, že takhle rafinovaný malware se vrátí znovu a ukryje se v jiné aplikaci,“ říká Petr Kadrmas ze společnosti Check Point a dodává: „Malware jsme naštěstí detekovali brzy a Google aplikaci obratem odstranil. Uživatelé by si v každém případě měli dávat pozor na odkazy nebo přílohy ve zprávách na WhatsAppu a jiných chatovacích aplikacích, i když se může zdát, že zpráva pochází od důvěryhodného kontaktu. Pokud máte podezření, že jste se stali obětí, okamžitě aplikaci ze svého zařízení odstraňte a změňte všechna svá hesla.“