Forskare upptäckte nyligen en oseriös Android-app som förvandlar enheter till SMS-repeaters som används för att verifiera olika konton på Internet.
Vid tidpunkten för publicering har appen över 100 000 nedladdningar på Google Play Butik och är fortfarande tillgänglig för nedladdning.
Ofta när människor skapar konton online måste de verifiera sin identitet via sina mobiltelefoner och bekräfta att de inte är bots eller spammande användare när kontot skapas. Användare delar sina telefonnummer och får ett engångslösenord (OTP) som verifierar deras identitet.
Falska SMS-appar
För dem som vill vara online under en pseudonym låter det tilltalande att kunna skapa onlinekonton utan att behöva dela sina telefonnummer, men de tillgängliga metoderna sätter ofta oskyldiga människor i fara.
Forskaren Maxime Ingrao, från cybersäkerhetssupportföretaget Evina, upptäckte nyligen Symoo, en app som fakturerar sig själv som en "enkel SMS-app". Istället är allt det gör att överföra SMS-baserade OTP-koder till anonyma användare, som kan inkludera hotaktörer, för att skapa konton någon annanstans.
När användare installerar appen ber den om SMS-behörigheter (vilket inte bör utlösa några larm, eftersom det beskrivs som en SMS-app). Den frågar sedan efter användarens telefonnummer och om den tillhandahålls kommer den att visa en falsk laddningsskärm som visar en förloppsindikator.
I bakgrunden kommer det att be fjärroperatörer att skicka flera tvåfaktorsautentiserings-SMS-meddelanden, vilket kommer att hjälpa dem att skapa konton på olika onlinetjänster. Efter att ha slutfört detta steg kraschar appen och verkar inte fungera.
Faktum är att Ingrao upptäckte att Symoo delar extraherade SMS-data med en annan app, kallad Virtual Number, som inte längre är tillgänglig i Play Store.
Utvecklaren har dock en liknande app tillgänglig som heter "PW Activation - Virtual Numbers" som erbjuder äkta telefonnummer för att hjälpa alla att skapa konton. För €0.50 kan användare ange ett telefonnummer och använda det för att verifiera ett konto via SMS. Denna app har mer än 10.000 XNUMX nedladdningar.
Även om det inte är något fel med en virtuell nummertjänst, även om Google erbjuder en i form av Google Voice (öppnas i en ny flik), rekommenderas användare att avinstallera just den här appen så snart som möjligt, så att de inte blir offer för bedrägeri. .
Via BleepingComputer (öppnas i en ny flik).
