Nedávno jsem psal článek, varující před instalací falešné systémové aktualizace, která v sobě obsahuje malware. Navíc velice nepříjemný malware. Včera jsem měl delší hovor s paní, která si tuhle breberku stáhla, pravděpodobně jako „plugin pro Acrobat Reader“ (zde si myslím, že i ten Reader nebyl ve skutečnosti od Adobe a mám za zlé Google to, že při vyhledávání v Play nadřazuje reklamu tomu, co doopravdy hledám, takže je lehké nechtěně nainstalovat něco jiného, než co jsem původně chtěl).

V tomto článku ne soustředím na to, jak předcházet nakažení mobilu a pokud se už stane, že se mobil nakazí, jak zajistit, aby byly škody minimální.

Pozor, co instalujete

Bohužel už ani Play není úplnou zárukou toho, že si nestáhnete škodlivou aplikaci. Novým trikem je právě stahování „pluginů“. Nainstalujete si například čtečku knih a ta vám nabídne plugin pro nějaký formát e-knihy. Ale pozor, ten se už nestáhne z Play, ale jako APK a aplikace požádá o oprávnění pro instalaci aplikací. Takže z Play jste si sice nainstalovali aplikaci, která sama o sobě škodlivá není, „jen“ si umí stáhnout doplněk, který už ale škodlivý je.

Na pluginech není nic špatného, ale správný postup je instalovat je v Play. Příklad, jak je to správně, najdeme třeba u aplikace Total Commander. Sice má seznam pluginů na svých stránkách, ale všechny odkazy vedou na Play: https://www.ghisler.com/androidplugins/googleplay/

Mějte přehled o oprávněních

Že aplikace pro hlasovou komunikaci potřebuje přístup k mikrofonu nebo aplikace pro pořizování fotografií k fotoaparátu, je asi pochopitelné, ale proč aplikace typu lampička potřebuje  spouštět služby automaticky po startu systému a na co je jí přístup k instalačnímu API? Na co chce informace o propojení k síti a fakturační API? Tohle je třeba typická aplikace, od které ruce pryč. Jediné, co tam chápu, je přístup k fotoaparátu, protože je s ním spojené ovládání blesku. Aplikaci typu lampička jsem si vybral záměrně jako příklad aplikací, které je jednoduché naprogramovat a lehce do nich schovat spoustu balastu. Přitom možnost zapnutí blesku umožňuje přepínač ve stahovací liště, tak na co aplikaci?

Na druhou stranu máme aplikace typu Tasker, kde se seznam požadovaných oprávnění nevleze ani na displej a přesto je to v pořádku:

Neznamená to tedy, že příliš mnoho oprávnění je automaticky špatně, spíše je třeba si hlídat, jestli aplikace nevyžaduje něco, co vůbec nemůže potřebovat. Zvýšenou pozornost pak věnovat aplikacím, které vyžadují některé z následujících oprávnění:

• fotoaparát: aplikace by vás mohla šmírovat, naštěstí dnes se při aktivním fotoaparátu zobrazuje zelená tečna v pravém horním rohu displeje, takže to mají nekalé aplikace těžší. Korektní použití je pro aplikace určené k fotografování a svítilny (ale viz výše)
• mikrofon: podobně jako fotoaparát
• úložiště: běžně mají aplikace vymezené místo v úložišti telefonu, kam mohou jen ony a kam se mohou například ukládat dočasné soubory. Pokud jim dáte právo procházet celé úložiště, mohou se dostat nejen k fotografiím a hudebním souborům (různé multimediální aplikace), ale i do složky Dokumenty apod. Zde je třeba rozumná obezřetnost.
• Zobrazení nad ostatními aplikacemi: může jít o informativní bubliny, jaké používá třeba Messenger, zobrazení plovoucího widgetu, ale také o pokus překrýt bankovní aplikaci průhlednou vrstvou a odchytávat, co v ní děláte. Jedná se o poměrně silné oprávnění a již zmíněné bankovní aplikace vás často upozorní, pokud něco takového detekují a je třeba vědět, k čemu to aplikace potřebuje.
• Kontakty a SMS, kalendář: Google dokonce omezil v Play možnost instalace aplikací, které vyžadují přístup ke kontaktům. Kalendáře naštěstí fungují, takže je možné využívat alternativní aplikace. Ale opět, je rozdíl, když přístup chce aplikace typu Dialer nebo Kalendář, a když to chce svítilna.
• Instalace aplikací: dovolím si tvrdit, že to nepotřebuje nikdo. Něco jiného je, když vás aplikace odkáže na Playa instaluje se něco odtamtud, ale instalaci APK souborů je natolik rizikové, že ho není dobré používat. Sám mám toto povolené pouze pro aplikaci Moje soubory, abych zabránil tomu, že se mně něco do telefonu dostane například přímo z prohlížeče.

Pověst

Před instalací aplikace se podívejte na recenze a případně i pohledejte na Google. Google bohužel nyní ukazuje pouze recenze, které považuje za relevantní, takže neuvidíte recenze od uživatelů v jiných zemích. Nedívejte se jen na hvězdičky, to dávají často automaty, lidé, kteří jsou nespokojení třeba jen s tím, že je aplikace drahá nebo naopak dají 5 hvězdiček prostě proto, že je o to aplikace požádala. Čtěte textové recenze, zamyslete se nad tím, jestli dávají smysl a zařiďte se podle toho. Možná se dočtete, že aplikace zobrazuje tolik reklamy, že je vlastně nepoužitelná.

Platby

Pozor na to, že některé aplikace nabízení zkušební dobu třeba 1 den a pak automaticky roční předplatné v hodnotě několika set Kč. Bohužel platby učiněné tímto způsobem, stejně jako „mikro“ platby učiněné z aplikace, nejde snadno reklamovat. Pokud si koupíte drahou aplikaci, máte čas na vyzkoušení a v případě, že ji odinstalujete, se vám peníze vrátí. Platby z aplikace nebo předplatné ale ne. Požadavek na předplatné nebo platbu v aplikaci není automaticky nekalá praktika, ale je třeba zpozornět a neodkliknout něco bezmyšlenkovitě. Správu předplatného najdete v Play po kliknutí na váš účet, následně Platby a předplatné a tam už vidíte seznam. Nezapomeňte, že předplatné může využívat i aplikace stažená z Galaxy Store, tam najdete přehled v Menu, Předplatné.

Co rozhodně nedoporučuju, je platit v aplikaci napřímo např. platební kartou. Výjimkou jsou aplikace typu Alza, kde by placení přes mechanismy Google bylo nereálné kvůli poplatkům.

Aktualizujte

Neodkládejte aktualizace. Nemusíte je instalovat automaticky, sám si rád projdu seznam změn, abych měl přehled o tom, která aplikace se aktualizovala a co aktualizace přinesla za změny, ale i když třeba nemáte rádi neustálé změny, pokud nebudete udržovat systém aktuální, postupně přestane být bezpečný.

Dvoufaktorová autentizace

Kde to jde, používejte dvoufaktorovou autentizaci. Je to takové to, jak po vás aplikace chce ještě potvrzení pomocí SMS nebo nějakého autentizátoru. Doporučuju spíše autentizátor, protože autentizační SMS nebo e-mail zaslaný na kompromitované zařízení postrádá smysl, zatímco aplikaci mívá další vrstvu ochrany (otisk, PIN apod.,). Tento postup vás ochrání před kompromitací dalších účtů v případě, že někdo získá vaše hesla. Je důležité, aby heslo k autentizační aplikaci bylo dostatečně silné a jiné, než jakékoliv jiné heslo!

Nejnebezpečnější je pokročilý uživatel

Teď se asi dost lidí ošije, ale je to tak. Největší škody na svém telefonu dokáže napáchat člověk, který ví, jak aktivovat vývojářský režim, jak instalovat aplikace z cizích zdrojů, kde sehnat zdarma jinak placené hry či aplikace, jak obejít reklamy u Youtube… Takový uživatel sleduje různé návody na internetu, čte fóra a spustí kdejaký skript. A dříve nebo později narazí na to, že některý návod nebyl myšlen až tak altruisticky, jak to mohlo vypadat… Jeden z možných mechanismů je popsán zde: https://www.svetandroida.cz/youtube-malware-crack-ochrana/

Jak minimalizovat škody

Řekněme, že i přes veškerou ostražitost se stalo, že se váš telefon nakazil. V takovém případě doporučuju jako nejbezpečnější cestu provést obnovení do továrního nastavení a telefon instalovat znovu bez obnovy ze zálohy. Pokud si chcete ulehčit instalaci aplikací, vyberte ručně pouze ty, které chcete obnovit, nedávejte v žádném případě automatickou obnovu všeho!

Data také raději obnovte ručně a pohlídejte si, jestli nedošlo ke kompromitaci, například zašifrování nebo pozměnění dat.

V důležitých aplikacích změňte heslo, bankovní aplikace obnovte podle instrukcí z banky, to má každá banka trochu jinak. U aplikací, které to umožňují, proveďte po změně hesla plošné odhlášení.

Co když nemáte zálohovaná data

Chce se mi brečet. Každou chvíli čtu dotazy typu „jak zálohovat data z telefonu? Mám tam všechno od narození dětí po svatbu jejich pravnuků…“. V této chvíli je na zálohu už často pozdě, zvláště pokud se jedná o ransomware (šifruje data). Takže toto udělejte jako první a nejdůležitější věc: zazálohujte si všechna důležitá data, fotografiemi počínaje a vtipnými obrázky konče třeba do počítače. Přes kabel to zase tolik času nezabere. A zálohujte pravidelně. Ručně nebo automaticky, to je jedno, ale hlavně mějte data nejméně na dvou místech, raději na více. Třeba na Google nebo Onedrive a do počítače.

Závěrem

Android je moderní operační systém a je dost dobře chráněn proti škodlivým aplikacím. Je zde systém analýzy v Play, nutnost povolení oprávnění a v neposlední řadě systém Knox u zařízení Samsungu. Zvláště zařízení Samsungu pak umožňují nebývalou personalizaci pomocí standardních nástrojů, takže postupy jako rootování už patří dávné minulosti.

Nejslabším článkem je nyní uživatel. Většina škodlivého kódu se nezaměřuje na to, jak prolomit ochrany systému, ale na to, jak získat co největší zisk. Prolomení ochran jde spíše cestou sociálního inženýrství, kdy vám někdo nabídne něco, co je až moc dobré. Aplikaci nebo službu, za kterou se jinak platí, zdarma, nějaký obsah, třeba nový film, pro jehož stažení si ale musíte nainstalovat tuhle aplikaci… Neskočte na špek, ve skutečnosti budete na kůži oholenou ovečkou vy.