Hakerzy opanowali nową sztuczkę. Wykorzystują oficjalną funkcję Androida, by czyścić konta bankowe

Cyberprzestępcy znaleźli niezwykle sprytny sposób na ominięcie zabezpieczeń systemów mobilnych bez konieczności łamania oprogramowania (rootowania). Badacze bezpieczeństwa odkryli nową, ulepszoną wersję złośliwego oprogramowania RedHook na Androida, która potrafi zdalnie kontrolować ekran, czytać wiadomości i szpiegować użytkownika. Najbardziej niepokojący jest fakt, że wirus ten przejmuje pełną kontrolę nad urządzeniem za pomocą wbudowanych i oficjalnych narzędzi programistycznych systemu Google.

Jak działa RedHook? Anatomia wyrafinowanego ataku

Nowa odsłona trojana RedHook stanowi ogromny krok naprzód w porównaniu do wersji wykrytej przez analityków z Group-IB jeszcze w 2025 roku. Atak nie wymaga fizycznego podłączenia telefonu kablem USB do komputera ani posiadania uprawnień administratora (root). Wszystko zaczyna się od klasycznego phishingu – ofiara otrzymuje fałszywą wiadomość SMS lub odbiera telefon od oszusta podszywającego się pod pracownika banku bądź urzędnika państwowego.

Manipulacja ma na celu nakłonienie użytkownika do odwiedzenia podrobionej strony sklepu Google Play i pobrania złośliwej aplikacji. Po instalacji program prosi o przyznanie uprawnień w ramach tzw. Ułatwień dostępu. Choć funkcja ta ma pomagać osobom z niepełnosprawnościami, dla wirusa stanowi złoty klucz do systemu, pozwalający na wykonywanie działań w imieniu użytkownika.

Wykorzystanie Wireless ADB, czyli jak systemowe narzędzie staje się bronią

Po uzyskaniu dostępu do Ułatwień dostępu, wirus rozpoczyna cichą konfigurację w tle. Bez wiedzy użytkownika aktywuje Opcje programistyczne systemu Android i włącza funkcję Wireless ADB (bezprzewodowy mostek debugowania). Jest to oficjalne narzędzie stworzone przez Google dla deweloperów, które umożliwia zdalne sterowanie smartfonem przez sieć Wi-Fi.

RedHook łączy się z lokalnym adresem debugowania urządzenia i paruje się z nim, odczytując kod autoryzacyjny bezpośrednio z ekranu telefonu. W ten sposób złośliwe oprogramowanie uzyskuje uprawnienia systemowe na poziomie powłoki, co daje mu niemal nieograniczoną władzę nad systemem operacyjnym bez konieczności rootowania urządzenia.

Pomocnik złośliwego oprogramowania: Integracja z narzędziem Shizuku

Aby uczynić atak jeszcze bardziej bezwzględnym, twórcy RedHook zintegrowali go z popularnym, legalnym narzędziem dla programistów o nazwie Shizuku. Shizuku służy do uruchamiania komend z podwyższonymi uprawnieniami w tle. Wirus bezczelnie wykorzystuje tę bibliotekę, aby nadawać sobie kolejne zgody systemowe i wprowadzać głębokie modyfikacje w konfiguracji urządzenia – wszystko to bez wyświetlania jakichkolwiek powiadomień czy monitów, które mogłyby wzbudzić podejrzliwość ofiary.

Co mogą zrobić hakerzy? Pełen wachlarz 53 destrukcyjnych komend

Gdy RedHook zakorzeni się w systemie, operatorzy malware zyskują dostęp do zestawu aż 53 predefiniowanych poleceń zdalnych. Hakerzy mogą w czasie rzeczywistym podglądać to, co wyświetla się na ekranie ofiary, wykonywać zrzuty ekranu, symulować kliknięcia i przeciągnięcia palcem, a także blokować i odblokowywać telefon.

Wirus pozwala również na ciche instalowanie kolejnego złośliwego oprogramowania, usuwanie aplikacji zabezpieczających, czytanie prywatnych SMS-ów (w tym kodów autoryzacyjnych z banku) oraz pobieranie listy kontaktów. Co gorsza, napastnicy mogą zdalnie uruchomić aparat fotograficzny, a nawet zrestartować smartfon.

Niezniszczalny pasożyt: Jak wirus chroni się przed usunięciem

Twórcy malware zadbali o to, by RedHook był niezwykle trudny do wykrycia i usunięcia przez niedoświadczonego użytkownika. Oprogramowanie uruchamia w tle dwa niezależne procesy systemowe, które nieustannie monitorują swoją aktywność. Jeśli jeden z nich zostanie wyłączony przez system lub użytkownika, drugi natychmiast go restartuje. Dodatkowo wirus sztucznie zawyża swój priorytet w hierarchii procesów Androida, co skutecznie zapobiega jego automatycznemu zamknięciu przez system w celu oszczędzania pamięci RAM.

Nowa mutacja RedHook pokazuje, że hakerzy coraz rzadziej szukają skomplikowanych luk w zabezpieczeniach (tzw. exploitów zero-day), a zamiast tego wolą obracać oficjalne funkcje systemu Android przeciwko jego użytkownikom. Aby skutecznie chronić swój smartfon przed tym zagrożeniem, należy bezwzględnie unikać instalowania aplikacji pochodzących z nieznanych źródeł poza oficjalnym sklepem Google Play. Kluczowa jest także zasada ograniczonego zaufania: nigdy nie należy przyznawać uprawnień do „Ułatwień dostępu” aplikacjom, które tego nie wymagają do swojego podstawowego działania, oraz warto upewnić się, że wbudowana usługa Play Protect pozostaje cały czas aktywna.