ESET a descoperit primul virus pentru Android care utilizează Google Gemini – PromptSpy

Ce este PromptSpy?

Dezvoltatorii companiei ESET au identificat un nou malware pentru Android, numit PromptSpy. Este primul virus care accesează direct chatbot-ul Google Gemini prin API-ul său și utilizează capacitățile AI generativă pentru a „se fixa” pe dispozitivul infectat.

Cum funcționează PromptSpy
1. Conectarea la Gemini

Malware-ul trimite cereri predefinite către Gemini, primind instrucțiuni pas cu pas. Cu ajutorul acestor instrucțiuni analizează ecranul dispozitivului (de exemplu, recunoaște imagini) și determină cum să se păstreze în lista de aplicații recente.

2. Instalarea modulului de acces la distanță

După ce utilizatorul acceptă instalarea aplicației MorganArg (în realitate malware), PromptSpy se conectează la serverul controlat de atacatori și descarcă restul codului. În acesta este implementat un modul VNC și cereri pentru acces la serviciile de accesibilitate, oferind control la distanță asupra dispozitivului Android.

3. Evitarea modurilor obișnuite de ștergere

Malware-ul suprapune „cadruri transparente” peste ecran, blocând atingerea în zone critice și îngreunând terminarea forțată a aplicației. Poate fi eliminat doar prin modul de siguranță, unde programele terțe sunt dezactivate.

4. Funcții suplimentare

- Posibilitatea interceptării codurilor PIN pentru blocarea ecranului.
- Înregistrarea acțiunilor pe ecran (glisări, introducere de text).
- Simularea interacțiunii fizice cu dispozitivul – ca și cum operatorul ar ține telefonul în mâini.

Originea și scopul atacului
- Direcție regională: Site-ul phishing prin care se răspândea PromptSpy folosea brandingul *JPMorgan Chase Argentina*, indicând publicul țintă – utilizatori din Argentina.
- Apariția pe internet: Virusul a fost descoperit după ce probele au fost încărcate din Argentina pe platforma Google VirusTotal.
- Urme chinezești: Codul conține fragmente în limba chineză, confirmând presupunerea că dezvoltarea malware-ului s-a făcut în China.

Cum să te protejezi
- Google Play Protect: Conform ESET, serviciul de protecție Google blochează deja PromptSpy, iar aplicația nu este găsită în magazinul Play Market.
- Actualizări ale sistemului și aplicațiilor: Instalează cele mai recente actualizări de securitate Android și folosește doar surse verificate pentru descărcarea programelor.
- Atenție la permisiuni: Nu accepta cereri de instalare a aplicațiilor neverificate, în special dacă solicită acces la serviciile de accesibilitate.

Concluzii
PromptSpy demonstrează un nou nivel de interacțiune a malware-ului cu servicii AI generative. Prin Gemini, virusul poate se adapta la orice dispozitiv și sistem de operare, crescând riscul infecției. Deși eliminarea sa este dificilă, modul de siguranță permite să-l elimini, iar mecanismele încorporate ale Google Play Protect oferă deja protecție utilizatorilor.