Az áldozatokat a pozitív vélemények és a viszonylag magas alkalmazásértékelés vonzotta.

ujjlenyomattal

A Reddit közösségi hálózat felhasználói rámutattak a gyanús alkalmazásokra, amelyek a hivatalos Apple App Store-ban voltak. Az egészséges életmód népszerűsítésére használt eszközpár titokban megpróbált pénzt ellopni egy összekapcsolt fizetési kártyáról.

További információt a fenyegetésről az Ars Technica portál tett közzé.

A pozitív értékelések csalit jelentettek

A "Fitness Balance" és a "Calories Tracker" alkalmazásokat kifejezetten a sportkedvelők számára tervezték, mivel figyelték az egészség alapvető tulajdonságait, például a testmozgást, a fitnesz tevékenységeket vagy az elégetett kalóriákat.

Az Eset biztonsági cég szerint a hivatalos App Store-ban voltak, több 5 csillagos minősítéssel és legalább 18 pozitív értékeléssel. Az átlagos értékelés 4-ből 5 volt. Első pillantásra ezek a fitneszeszközök nem keltettek gyanút.

Ezen alkalmazások egyik első indításakor megjelenik egy előugró ablak, amelyben az ujjlenyomatot kéri. A személyre szabás ürügyén (az elégetett kalóriák nyomon követése, étkezési ajánlások megjelenítése stb.) A felhasználónak hitelesítenie kell ujját.

A fizetést az ujjlenyomat aláírja

A sikeres igazolást követően azonban az alkalmazás megpróbál ellopni egy összeget 99,99 és 119,99 dollár, azaz 139,99 euró között a kapcsolt hitelkártyáról. Ujjlenyomat-beolvasással történik itt a fizetés aláírása, amelyet a felhasználó megtudhat, ha már késő. A részletes fizetési információk csak rövid ideig jelennek meg.

Ha a felhasználó fizetési kártyával van összekapcsolva a számlájával, akkor a tranzakció igazoltnak tekintendő. A pénzt azonnal elküldik a rosszindulatú alkalmazás szerzőjének - további megerősítés és hitelesítés nélkül.

A demonstráció részeként az eseti Lukáš Štefanko videót tett közzé:

Az alkalmazásokat már eltávolítottuk az üzletből

Az egyik Reddit-felhasználó megpróbálta felvenni a kapcsolatot a rosszindulatú alkalmazás szerzőjével. A válasz azonban valószínűleg csak automatikus volt, amelyben a fejlesztő megígérte, hogy kijavítja a "hibát" az új verzióban. Az Apple azóta eltávolította a problémás alkalmazásokat. Ezenkívül a Bleeping Computer portál szerint az érintett linken a következő linken keresztül kérhet visszatérítést.

A vizsgálat előzetes eredményei választ adtak arra a kérdésre is, hogy egy ilyen rosszindulatú alkalmazásnak mennyi pozitív felhasználói véleménye lehet. Ezek hamis vélemények, amelyek célja az alkalmazás láthatóvá tétele és annak a benyomása, hogy biztonságos és hasznos fitnesz eszköz.

És hogyan védekezhet a hasonló fenyegetésekkel szemben? A legújabb iPhone X felhasználói aktiválhatják az opcionális "Double Click to Pay" funkciót. Másoknak fel kell adniuk a kényelmet, és az egyetlen lehetőség az, hogy deaktiválják a Touch ID-t az iTunes Store és az App Store számára. Az erre vonatkozó utasítások megtalálhatók a link hivatalos dokumentációjában.