Co znajdziesz w tym artykule?
Wprowadzenie do problemu / definicja
RedWing to nowa operacja typu Malware-as-a-Service (MaaS), która przenosi mobilne oszustwa bankowe na Androidzie do modelu abonamentowego. W praktyce oznacza to, że cyberprzestępcy nie muszą samodzielnie rozwijać trojana bankowego ani budować pełnej infrastruktury kampanii. Zamiast tego mogą wynająć gotowy zestaw obejmujący złośliwą aplikację, mechanizmy dystrybucji, panel administracyjny i funkcje zdalnej kontroli urządzenia.
To istotna zmiana jakościowa w krajobrazie zagrożeń mobilnych. RedWing łączy cechy bankera, spyware oraz mobilnego RAT-a, umożliwiając przejęcie sesji bankowej, kradzież danych uwierzytelniających i omijanie części zabezpieczeń opartych na urządzeniu użytkownika.
W skrócie
- RedWing jest oferowany w modelu subskrypcyjnym jako usługa dla operatorów kampanii fraudowych.
- Dystrybucja opiera się głównie na phishingu mobilnym i nakłanianiu ofiar do instalacji aplikacji spoza oficjalnych sklepów.
- Malware uzyskuje szerokie uprawnienia, w tym dostęp do Accessibility, SMS, powiadomień i nakładek ekranowych.
- Złośliwe oprogramowanie potrafi kraść dane logowania, przechwytywać kody OTP, sterować urządzeniem zdalnie i wspierać oszustwa bankowe prowadzone bezpośrednio na telefonie ofiary.
- Architektura platformy pozwala szybko zmieniać cele kampanii i konfigurację bez konieczności każdorazowego tworzenia całkowicie nowego wariantu.
Kontekst / historia
Model MaaS od kilku lat konsekwentnie profesjonalizuje cyberprzestępczość mobilną. Zamiast pojedynczych, technicznie złożonych operacji prowadzonych przez wyspecjalizowane grupy, na rynku podziemnym pojawiają się gotowe platformy oferujące kod, infrastrukturę, instrukcje i wsparcie operatorskie. RedWing wpisuje się w ten trend jako dojrzały produkt komercyjny dostępny przez komunikator Telegram.
Analizy wskazują, że RedWing wykazuje podobieństwa do wcześniej opisywanych narzędzi używanych w kampaniach mobilnego phishingu i fraudu, zwłaszcza na etapie droppera oraz przygotowania nakładek phishingowych. Wnioski badaczy sugerują również powiązania z rosyjskojęzycznym ekosystemem cyberprzestępczym. Istotne jest także to, że kampanie wykorzystują fałszywe strony podszywające się pod sklepy z aplikacjami, w tym warianty imitujące znane marketplace’y i lokalne źródła dystrybucji.
Analiza techniczna
Łańcuch infekcji zaczyna się od linku phishingowego prowadzącego do spreparowanej strony udającej legalny sklep z aplikacjami. Operatorzy mogą korzystać z konstruktora dropperów, który pozwala tworzyć strony z fałszywymi ocenami, recenzjami, licznikami pobrań i nazwami deweloperów. Celem jest zwiększenie wiarygodności i skłonienie użytkownika do instalacji aplikacji metodą sideloadingu.
Po uruchomieniu aplikacji RedWing wykorzystuje wieloetapowy onboarding, często oparty na komponentach WebView, aby stopniowo wymuszać na ofierze kolejne zgody. Użytkownik jest nakłaniany do wyłączenia optymalizacji baterii, aktywacji powiadomień, ustawienia aplikacji jako domyślnej dla SMS oraz włączenia usługi Accessibility. Taki model socjotechniczny ogranicza podejrzenia i zwiększa skuteczność infekcji.
Po uzyskaniu uprawnień malware komunikuje się z serwerem C2 i przekazuje informacje o możliwościach dostępnych na konkretnym urządzeniu. Dzięki temu operator może dobierać komendy odpowiednio do poziomu kompromitacji. Funkcjonalność RedWing jest szeroka i obejmuje zarówno klasyczne elementy trojana bankowego, jak i cechy mobilnego narzędzia zdalnego dostępu.
- wyświetlanie fałszywych ekranów logowania nad legalnymi aplikacjami bankowymi i kryptowalutowymi,
- przechwytywanie SMS-ów oraz kodów jednorazowych,
- odczyt danych z ekranu z użyciem Accessibility i wzorców regex,
- zdalne sterowanie urządzeniem w czasie rzeczywistym,
- keylogging i monitoring aktywności użytkownika,
- dostęp do plików, kontaktów, historii połączeń i danych urządzenia,
- aktywację mikrofonu i kamery,
- śledzenie lokalizacji,
- wykonywanie komend USSD, w tym przekierowania połączeń,
- wykorzystywanie zainfekowanych urządzeń do ataków DDoS.
Najgroźniejszy pozostaje efekt połączenia kilku technik w jednym łańcuchu ataku. RedWing nie ogranicza się do kradzieży loginu i hasła, ale może także przechwycić SMS z kodem 2FA, odczytać dane widoczne na ekranie, pozyskać PIN oraz wykorzystać przekierowanie połączeń do osłabienia telefonicznych mechanizmów antyfraudowych. To sprawia, że atak ma charakter pełnoskalowego przejęcia procesu uwierzytelniania.
Ważnym elementem architektury jest również możliwość dynamicznej konfiguracji listy monitorowanych aplikacji i nakładek phishingowych. Takie podejście pozwala szybciej dostosowywać kampanię do nowych instytucji finansowych, portfeli kryptowalutowych i regionów geograficznych, a jednocześnie utrudnia wykrywanie wyłącznie na podstawie sygnatur.
Konsekwencje / ryzyko
Dla użytkowników indywidualnych RedWing oznacza wysokie ryzyko utraty środków finansowych, przejęcia kont bankowych oraz długotrwałego naruszenia prywatności. Ponieważ część działań odbywa się bezpośrednio na telefonie ofiary, aktywność przestępcy może przypominać legalne zachowanie właściciela urządzenia, co utrudnia wczesne wykrycie oszustwa.
Dla banków i dostawców usług finansowych zagrożenie ma wymiar operacyjny i strategiczny. Ataki typu on-device osłabiają skuteczność części mechanizmów opartych na reputacji urządzenia, lokalizacji czy analizie anomalii logowania. Jeśli przestępca działa w ramach prawidłowej sesji użytkownika, tradycyjne modele detekcji mogą nie zareagować wystarczająco szybko.
Ryzyko dotyczy również organizacji korzystających z modelu BYOD. Zainfekowany smartfon pracownika może stać się źródłem wycieku danych, punktem wejścia do dalszych działań socjotechnicznych lub narzędziem do obejścia części mobilnych procedur bezpieczeństwa. Dodatkowo możliwość szybkiego przepakowywania i rekonfiguracji RedWing zwiększa skalę potencjalnych kampanii.
Rekomendacje
Najważniejszą linią obrony pozostaje ograniczenie instalacji aplikacji spoza oficjalnych sklepów oraz egzekwowanie polityk bezpieczeństwa mobilnego. W środowiskach korporacyjnych powinno to być wspierane przez rozwiązania MDM, MTD i kontrolę konfiguracji urządzeń.
- blokować lub ściśle monitorować aplikacje żądające uprawnień Accessibility bez uzasadnionej potrzeby biznesowej,
- wykrywać próby ustawienia nieznanych aplikacji jako domyślnej obsługi SMS,
- monitorować użycie nakładek ekranowych i dostępu do powiadomień,
- analizować behawior aplikacji instalowanych z nieznanych źródeł,
- edukować użytkowników w zakresie mobilnego phishingu i fałszywych sklepów z aplikacjami,
- wdrażać detekcję fraudów uwzględniającą scenariusze on-device,
- ograniczać poleganie wyłącznie na SMS jako drugim czynniku uwierzytelniania,
- alertować nietypowe zmiany konfiguracji połączeń, w tym przekierowania rozmów,
- prowadzić hunting IOC i TTP związanych z przechwytywaniem SMS, USSD, zdalnym podglądem i nadużyciem Accessibility.
Z perspektywy zespołów SOC szczególnie alarmująca powinna być kombinacja kilku uprawnień nadawanych jednej aplikacji w krótkim czasie. Zestaw obejmujący Accessibility, SMS, powiadomienia, overlay permissions i wyłączenie optymalizacji baterii jest silnym wskaźnikiem ryzyka dla nowoczesnych mobilnych trojanów bankowych.
Podsumowanie
RedWing pokazuje, że mobilna cyberprzestępczość weszła w etap pełnej industrializacji. Nie jest to już wyłącznie pojedynczy trojan bankowy, lecz kompletna platforma MaaS, która łączy phishing, zdalny dostęp, kradzież danych i przejmowanie procesu uwierzytelniania w jednym ekosystemie operatorskim.
Dla użytkowników i organizacji oznacza to konieczność odejścia od wyłącznie sygnaturowego podejścia do ochrony urządzeń mobilnych. Skuteczna obrona wymaga monitoringu behawioralnego, restrykcyjnej polityki uprawnień, kontroli sideloadingu oraz wzmocnienia metod uwierzytelniania odpornych na przejęcie sesji na urządzeniu ofiary.