Wprowadzenie do problemu / definicja
StreamRat to nowo opisany trojan bankowy na Androida, rozprzestrzeniany w kampanii malvertisingowej podszywającej się pod aplikację do oglądania telewizji i materiałów streamingowych. Zagrożenie wyróżnia się połączeniem socjotechniki, ręcznej instalacji złośliwego pakietu APK oraz nadużycia legalnych mechanizmów systemu Android, co po uzyskaniu odpowiednich zgód pozwala operatorom osiągnąć bardzo szeroką kontrolę nad urządzeniem ofiary.
W praktyce atak nie opiera się wyłącznie na samym zainfekowanym pliku. Kluczową rolę odgrywa wieloetapowy proces nakłaniania użytkownika do nadawania kolejnych uprawnień, które finalnie umożliwiają przechwytywanie danych, manipulowanie interfejsem oraz prowadzenie działań phishingowych bezpośrednio na urządzeniu.
W skrócie
Kampania była promowana przez reklamy w ekosystemie Meta i była wymierzona głównie w użytkowników hiszpańskojęzycznych. Po kliknięciu reklamy ofiara trafiała na spreparowaną stronę, z której pobierała plik APK podszywający się pod aplikację streamingową.
- atak wykorzystywał reklamy społecznościowe i fałszywy landing page,
- złośliwa aplikacja wymuszała serię pozornie uzasadnionych zgód systemowych,
- dropper mógł zostać ustawiony jako domyślny launcher,
- malware żądał utworzenia połączenia VPN i zgody na instalację z nieznanych źródeł,
- kluczowe znaczenie miało nadanie uprawnień Accessibility,
- po pełnej infekcji StreamRat mógł wykonywać zrzuty ekranu, przechwytywać dane wejściowe i zdalnie sterować urządzeniem.
Kontekst / historia
Według ustaleń badaczy kampania rozpoczęła się 11 czerwca 2026 roku i trwała do 3 lipca 2026 roku. Szacunki wskazują, że reklamy mogły dotrzeć do setek tysięcy kont w Unii Europejskiej, choć nie ujawniono liczby faktycznie zainfekowanych urządzeń ani skali strat.
Analiza sugeruje, że nie był to incydent jednorazowy. Zarówno konstrukcja samego malware, jak i sposób dystrybucji wskazują na doświadczenie operatorów w prowadzeniu mobilnych kampanii przestępczych. Dodatkowo podobieństwo użytego droppera do wcześniejszych zagrożeń na Androida może oznaczać ponowne wykorzystanie komponentów, procedur operacyjnych lub części infrastruktury.
Analiza techniczna
Łańcuch infekcji rozpoczynał się od kliknięcia reklamy i przekierowania użytkownika na stronę dopasowującą zawartość do używanego systemu operacyjnego. Jeśli odwiedzający korzystał z Androida, otrzymywał możliwość pobrania złośliwego pliku APK. Po uruchomieniu aplikacji pierwszego etapu malware inicjował kolejne działania zwiększające trwałość i skuteczność przejęcia.
Jednym z pierwszych kroków było nakłonienie ofiary do ustawienia droppera jako domyślnej aplikacji ekranu głównego. Taki zabieg zwiększał szansę na utrzymanie kontaktu użytkownika ze złośliwym interfejsem i ułatwiał sterowanie dalszym przebiegiem infekcji. Następnie aplikacja żądała zgody na utworzenie połączenia VPN, które nie miało chronić ruchu, lecz tymczasowo zakłócać łączność innych aplikacji podczas dostarczania końcowego ładunku.
Po aktywacji VPN dropper pobierał właściwy komponent StreamRat do katalogu pobrań, zapisując go pod nazwą imitującą plik aktualizacji. Kolejnym etapem było uzyskanie zgody na instalowanie aplikacji z nieznanych źródeł, a następnie nadanie uprawnień Accessibility, które stanowiły centralny element całego ataku.
To właśnie nadużycie Accessibility zapewniało operatorom niemal pełną kontrolę nad urządzeniem. Po przyznaniu tych uprawnień malware mógł monitorować aktywny interfejs, przechwytywać wprowadzane dane, automatyzować interakcję z ekranem oraz wyświetlać nakładki phishingowe służące do kradzieży poświadczeń.
- przechwytywanie naciśnięć klawiszy i danych wpisywanych przez użytkownika,
- obserwacja aktywnych okien i aplikacji,
- zdalne wykonywanie działań w imieniu użytkownika,
- prezentowanie fałszywych formularzy logowania,
- obsługa zrzutów ekranu i przechwytywania zawartości wyświetlacza.
W opisie technicznym zwrócono uwagę także na wykorzystanie API MediaProjection. Standardowo rozwiązanie to wymaga zgody użytkownika i sygnalizuje udostępnianie ekranu odpowiednim wskaźnikiem systemowym. Jednak po uzyskaniu dostępu Accessibility złośliwe oprogramowanie mogło pomóc w zaakceptowaniu tego komunikatu. Dodatkowo wskazano alternatywny tryb oparty na funkcjach zrzutów ekranu dostępnych w API Accessibility, co mogło ograniczać widoczność całej operacji dla ofiary.
Interesującym elementem operacyjnym było czasowe odcinanie łączności innych aplikacji przy użyciu nieefektywnego interfejsu VPN, z jednoczesnym wyłączeniem samego droppera z tego ograniczenia. Taka technika mogła utrudniać działanie części mechanizmów reputacyjnych i analitycznych zależnych od łączności online w chwili instalacji, choć nie eliminowała lokalnych metod detekcji.
Badacze ujawnili również wybrane wskaźniki kompromitacji, takie jak nazwy pakietów, nazwy aplikacji oraz adresy infrastruktury C2. To istotne dane dla zespołów SOC, analityków threat intelligence i administratorów środowisk MDM lub UEM, którzy mogą użyć tych artefaktów do monitorowania, polowań na zagrożenia i analizy historycznej.
Konsekwencje / ryzyko
Ryzyko związane ze StreamRat jest wysokie, szczególnie dla użytkowników bankowości mobilnej. Połączenie phishingowych nakładek, przechwytywania danych wejściowych i możliwości zdalnego sterowania interfejsem może umożliwiać kradzież loginów, haseł, kodów uwierzytelniających, a także wykonywanie nieautoryzowanych operacji finansowych.
Z perspektywy organizacji zagrożenie wykracza poza samo urządzenie mobilne. W modelu BYOD zainfekowany smartfon może stać się furtką do poczty służbowej, komunikatorów, aplikacji SaaS, tokenów uwierzytelniających i danych klientów. Jeżeli urządzenie jest wykorzystywane do zatwierdzania logowań lub odbierania kodów MFA, skutki incydentu mogą objąć także środowisko firmowe.
Kampania pokazuje również rosnącą dojrzałość mobilnego malvertisingu. Atakujący nie ograniczają się już do prostych wiadomości phishingowych czy fałszywych sklepów z aplikacjami, lecz korzystają z reklam społecznościowych, profesjonalnie przygotowanych stron docelowych i wieloetapowej perswazji. To zwiększa prawdopodobieństwo skutecznej infekcji, ponieważ ofiara może błędnie zakładać, że promowana usługa jest wiarygodna.
Rekomendacje
Obrona przed podobnymi zagrożeniami wymaga połączenia polityk technicznych, monitoringu urządzeń mobilnych oraz edukacji użytkowników. Szczególnie ważne jest ograniczenie możliwości ręcznej instalacji aplikacji i kontrolowanie uprawnień, które nie są uzasadnione rzeczywistą funkcją programu.
- blokować sideloading aplikacji na urządzeniach zarządzanych,
- ograniczyć instalację z nieznanych źródeł,
- monitorować nadawanie uprawnień Accessibility aplikacjom spoza zaufanego katalogu,
- wykrywać zmiany domyślnego launchera i nietypowe konfiguracje VPN,
- wdrożyć rozwiązania MTD, EDR mobile lub funkcje ochronne platform UEM i MDM,
- korelować IoC, takie jak hashe plików, nazwy pakietów i adresy C2,
- szkolić użytkowników, aby przerywali instalację aplikacji żądających uprawnień niezwiązanych z ich deklarowaną funkcją.
W razie podejrzenia infekcji warto natychmiast odizolować urządzenie od zasobów firmowych, unieważnić aktywne sesje, wymusić zmianę haseł i przeanalizować logi dostępu do usług chmurowych. Jeśli incydent zostanie potwierdzony, najbezpieczniejszym rozwiązaniem pozostaje przywrócenie urządzenia do ustawień fabrycznych i jego ponowna rejestracja w systemie zarządzania.
Podsumowanie
StreamRat jest przykładem nowoczesnego trojana na Androida, który łączy malvertising, socjotechnikę i nadużycie legalnych funkcji systemu w celu uzyskania szerokiej kontroli nad urządzeniem. O powodzeniu ataku decyduje przede wszystkim skłonienie użytkownika do ręcznej instalacji aplikacji oraz przyznania serii wrażliwych uprawnień.
Z punktu widzenia obrońców kluczowe znaczenie mają kontrola sideloadingu, monitoring nadużyć Accessibility, wykrywanie anomalii konfiguracyjnych oraz szybka reakcja na incydenty mobilne. Kampania potwierdza, że bezpieczeństwo urządzeń z Androidem pozostaje jednym z najważniejszych obszarów ochrony przed oszustwami finansowymi i kradzieżą tożsamości.
Źródła
- The Hacker News — Meta Ads Push StreamRat Android Trojan That Can Gain Near-Complete Device Control — https://thehackernews.com/2026/09/meta-ads-push-streamrat-android-trojan.html
- ThreatFabric — StreamRat analysis — https://www.threatfabric.com/blogs/streamrat-android-malware-analysis
- Cleafy — Mirax report — https://www.cleafy.com/cleafy-labs/mirax-android-malware-campaign