--- id: CP-093 slug: sideloading-aplikacje-spoza-sklepow lang: pl title: Sideloading na telefonie description: Aplikacja zainstalowana spoza oficjalnych sklepów może wykraść hasła i SMS-y. Co widzi pracownik, jak to działa i co zrobić. canonical_url: https://startbrain.io/cyberpedia/pl/articles/sideloading-aplikacje-spoza-sklepow/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/sideloading-aplikacje-spoza-sklepow.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Sideloading na telefonie”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/sideloading-aplikacje-spoza-sklepow/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-071 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/sideloading-aplikacje-spoza-sklepow/ fr: https://startbrain.io/cyberpedia/fr/articles/sideloading-applications-hors-magasins/ en: https://startbrain.io/cyberpedia/en/articles/mobile-app-sideloading/ de: https://startbrain.io/cyberpedia/de/articles/sideloading-apps-ausserhalb-der-stores/ es: https://startbrain.io/cyberpedia/es/articles/sideloading-aplicaciones-fuera-de-las-tiendas/ it: https://startbrain.io/cyberpedia/it/articles/sideloading-app-fuori-dagli-store/ nl: https://startbrain.io/cyberpedia/nl/articles/sideloading-apps-buiten-de-stores/ pt: https://startbrain.io/cyberpedia/pt/articles/sideloading-aplicacoes-fora-das-lojas/ sources: - "n": 1 title: Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1444/ accessed: "2026-11-03" - "n": 2 title: Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1475/ accessed: "2026-11-03" - "n": 3 title: Cerberus, Software S0480 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0480/ accessed: "2026-11-03" - "n": 4 title: "Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/002/ accessed: "2026-11-03" - "n": 5 title: Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1626/ accessed: "2026-11-03" - "n": 6 title: Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1628/ accessed: "2026-11-03" - "n": 7 title: Input Capture, Technique T1417 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1417/ accessed: "2026-11-03" - "n": 8 title: Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1404/ accessed: "2026-11-03" - "n": 9 title: BusyGasper, Software S0655 | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/software/S0655/ accessed: "2026-11-03" - "n": 10 title: Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1409/ accessed: "2026-11-03" --- # Sideloading na telefonie Na telefonie służbowym lub prywatnym aplikacje pochodzą zwykle z oficjalnego sklepu, takiego jak Google Play lub App Store. W tej fiszce sideloading oznacza instalację aplikacji inną drogą niż przez ten sklep. Telefony są często skonfigurowane tak, by przyjmować tylko autoryzowany sklep [2], więc atakujący musi nakłonić ofiarę do wyjścia poza te ramy. MITRE opisuje tę metodę: dostarczenie złośliwego oprogramowania przez podanie go za legalną aplikację [1]. Fiszka przyjmuje punkt widzenia pracownika. Źródła cytowane w dokumentacji to techniczne strony MITRE ATT&CK. Opisują one metody atakujących na Androidzie i iOS, ale nie zawierają statystyk dotyczących sideloadingu. ## W 30 sekund - Gdzie to się zdarza: na stronie, która prosi o instalację oprogramowania, na przykład z fałszywym instalatorem [3], oraz na urządzeniu, do którego atakujący ma fizyczny dostęp [9]. - Czego chce atakujący: nakłonić do instalacji podstawionej aplikacji, a potem uzyskać dla niej rozległe uprawnienia, by wykradać dane logowania i dane z komunikatorów [3][4][9]. - Odruch: instalować wyłącznie z oficjalnego sklepu i odrzucać każde żądanie dostępności lub administratora urządzenia, którego Pan/Pani sam(a) nie szukał(a). - Jeśli to już się stało: niezwłocznie powiadomić wsparcie IT i nie wpisywać na tym telefonie żadnego hasła. ## Pytania wprost ### Czym jest sideloading? To instalacja aplikacji z pominięciem autoryzowanego sklepu urządzenia. MITRE zauważa, że telefony są często skonfigurowane tak, by zezwalać na instalację tylko z autoryzowanego sklepu, takiego jak Google Play Store lub Apple App Store [2]. Atakujący, który nie może tam umieścić swojej aplikacji, musi nakłonić ofiarę do pobrania jej gdzie indziej. ### Czy oficjalny sklep chroni całkowicie? Nie całkowicie: MITRE opisuje także przypadek, w którym atakujący próbuje umieścić złośliwą aplikację w autoryzowanym sklepie, co pozwala zainstalować ją na wybranych urządzeniach [2]. Obie strony MITRE na ten temat zawierają ostrzeżenie o wycofaniu, ale ich treść opisuje te dwie drogi [1][2]. ### Jak pracownik zostaje nakłoniony do instalacji aplikacji? Źródła opisują dwa fortele. Pierwszy polega na podaniu oprogramowania za legalną aplikację, przez wbudowanie go w prawdziwą aplikację albo naśladowanie jej wyglądu [1]. Drugi wykorzystuje stronę, która zachęca do instalacji znanego programu: trojan Cerberus był rozprowadzany przez strony nakłaniające użytkownika do „install Adobe Flash Player” i pobierające złośliwy plik APK [3]. ### Jakich uprawnień żąda aplikacja? Źródła wymieniają uprawnienia dostępności i administratora urządzenia. Złośliwe aplikacje nadużywają dostępności Androida, by ustalić, która aplikacja działa na pierwszym planie [4]. Co do uprawnień administratora, MITRE zauważa, że aplikacje bardzo rzadko ich potrzebują, i radzi programistom, by nie sięgali po ten poziom dostępu [5]. ### Czy zainstalowana aplikacja pozostaje widoczna? Niekoniecznie. MITRE wyjaśnia, że systemy mobilne mają interfejsy do ukrywania elementów, takich jak ikona aplikacji, i że atakujący je wykorzystują do własnych celów [6]. Strona o przechwytywaniu danych wejściowych zaleca użytkownikom ostrożność wobec niebezpiecznych uprawnień, takich jak dostęp do dostępności [7]. Inni atakujący wykorzystują luki w systemie, by uzyskać wyższe uprawnienia [8]. ### Czy do zainfekowania urządzenia potrzebny jest fizyczny dostęp? W udokumentowanym przypadku BusyGasper tak: to oprogramowanie szpiegujące zainfekowało ofiary przez fizyczny dostęp do urządzenia [9]. ## W skórze atakującego Atakujący napotyka przeszkodę: urządzenie jest często skonfigurowane tak, by przyjmować tylko autoryzowany sklep [2]. Potrzebuje wiarygodnego pretekstu, a źródła podają jeden: nazwę i wygląd znanej aplikacji [4]. W przypadku Cerberusa jest to fałszywy instalator Adobe Flash Player [3]. Gdy aplikacja jest już na miejscu, jej pierwszym celem jest zdobycie uprawnień. Cerberus potrafi wstrzykiwać dane wejściowe, by nadać sobie dodatkowe uprawnienia bez udziału użytkownika i by uniemożliwić usunięcie aplikacji [3]. Potem następuje zbieranie danych i ukrywanie się: atakujący chce czytać SMS-y, pozyskać kontakty i listę aplikacji, a następnie wyświetlać fałszywe ekrany na wierzchu aplikacji wskazanych przez atakującego [3]. Źródła opisują też atakujących, którzy celują w sam system. Niektórzy wykorzystują luki w systemie operacyjnym, by przejść z ograniczonego poziomu dostępu do uprawnień superużytkownika (root) [8]. MITRE wymienia Pegasusa dla Androida, który próbuje wykorzystać znane luki Androida, oraz Pegasusa dla iOS, który wykorzystuje luki iOS [8]. ## Co widać na ekranie Ofiara widzi najpierw stronę lub wiadomość zachęcającą do instalacji oprogramowania. Źródła cytowane w dokumentacji nie opisują ostrzeżenia instalacyjnego urządzenia, dlatego ten etap nie jest tu omówiony szczegółowo. Po instalacji oznak jest niewiele, i to z założenia. MITRE wyjaśnia, że systemy mobilne udostępniają interfejsy do ukrywania elementów, takich jak ikona aplikacji, a te interfejsy mają uzasadnione zastosowania, które atakujący wykorzystują do własnych celów [6]. Cerberus ukrywa swoją ikonę w szufladzie aplikacji po pierwszym uruchomieniu [3]. BusyGasper zmniejsza jasność ekranu do minimum i wycisza dźwięk, gdy jest aktywny [9]. Najbardziej widoczną oznaką jest fałszywe okno z prośbą o wpisanie danych. MITRE wyjaśnia, że złośliwe aplikacje naśladują elementy interfejsu systemu, by prosić o poufne informacje, a mały ekran telefonu utrudnia sprawdzenie kontekstu [4]. Mogą też wysyłać fałszywe powiadomienia, które po dotknięciu otwierają takie okno [4]. Wreszcie okno może pojawić się na wierzchu legalnej aplikacji [4]. ## Pod maską Źródła opisują najpierw nakładki i dostępność, potem trwałość w systemie. - Nakładka: aplikacja rysuje okno nad innym oknem. Musi mieć uprawnienie SYSTEM_ALERT_WINDOW, które według MITRE jest przyznawane automatycznie, przynajmniej w pewnych warunkach, aplikacjom zainstalowanym z Google Play [4]. Android 10 ogranicza uruchamianie aktywności nad inną aplikacją [4]. Android 12 dodaje uprawnienie HIDE_OVERLAY_WINDOWS, które pozwala ukrywać takie okna [7]. - Dostępność: nadużycie pozwala ustalić, która aplikacja jest na pierwszym planie [4]. MITRE wskazuje także aplikacje, które rejestrują naciśnięcia klawiszy lub zbierają informacje o gestach na ekranie [7]. - Trwałość: Cerberus wyłącza Google Play Protect, by uniknąć wykrycia i późniejszego usunięcia [3]. Może aktualizować swój kod na polecenie [3]. MITRE precyzuje ponadto, że izolacja aplikacji ogranicza dostęp do danych innej aplikacji, z wyjątkiem trzech przypadków: niezabezpieczonej pamięci zewnętrznej, pamięci wewnętrznej o słabych uprawnieniach lub uzyskania uprawnień root [10]. ## Analizy incydentów ### Cerberus, wynajmowany trojan bankowy Cerberus to trojan bankowy na Androida, którego używanie jest wynajmowane na podziemnych forach [3]. Jego autorzy twierdzą, że przez dwa lata używali go prywatnie, zanim zaczęli go wynajmować [3]. Odnośniki na stronie MITRE obejmują raport ThreatFabric z sierpnia 2019 roku oraz artykuł z 16 sierpnia 2019 roku o fałszywych instalatorach Adobe Flash Player [3]. Oprogramowanie potrafiło czytać SMS-y, pozyskiwać kontakty i listę aplikacji, generować fałszywe powiadomienia i przeprowadzać ataki z nakładką na aplikacje wskazane przez atakującego [3]. ### BusyGasper, oprogramowanie szpiegujące (od maja 2016 roku) BusyGasper to oprogramowanie szpiegujące na Androida, używane od maja 2016 roku [9]. Znanych jest mniej niż dziesięć ofiar, wszystkie najwyraźniej w Rosji, i wszystkie zainfekowane przez fizyczny dostęp do urządzenia [9]. Potrafi nagrywać dźwięk i obraz z kamery, kopiować zdjęcia i historię przeglądarki oraz czytać SMS-y i dane z WhatsApp, Viber i Facebooka [9]. Odnośnikiem na stronie jest artykuł Alexeya Firsha z 29 sierpnia 2018 roku [9]. ## Co Pan/Pani robi - Proszę instalować wyłącznie z oficjalnego sklepu urządzenia. Zachęta do pobrania pliku lub „instalatora” ze strony jest podejrzana, także w przypadku znanego programu [3]. - Proszę odrzucać uprawnienia dostępności, klawiatury lub administratora, o które aplikacja prosi bez jasnego powodu. MITRE radzi użytkownikowi ostrożność wobec niebezpiecznych lub inwazyjnych uprawnień, takich jak rejestrowanie klawiatury czy dostęp do dostępności [7]. - Proszę trzymać telefon zablokowany i pod ręką: jeden udokumentowany przypadek zaczyna się od fizycznego dostępu [9]. - Proszę aktualizować system: niektóre zabezpieczenia, jak ograniczenia Androida 10 i Androida 12, zależą od wersji [4][7]. - Na urządzeniu zarządzanym firma może ograniczyć dozwolone usługi dostępności za pomocą jawnej listy, przy użyciu narzędzia do zarządzania urządzeniami (EMM lub MDM) [7]. ## Pułapki Oficjalny sklep nie jest pełną gwarancją [2]. Złośliwa aplikacja może też ukryć swoją ikonę, więc brak podejrzanej ikony niczego nie dowodzi [6]. MITRE pisze, że tego typu techniki nie da się łatwo zwalczyć kontrolami zapobiegawczymi, ponieważ nadużywa ona funkcji systemu [6]. Ustawienie bezpieczeństwa, które zmienia się bez Pana/Pani działania, jest sygnałem: Cerberus wyłącza Google Play Protect [3]. W takim przypadku, albo gdy nieznana aplikacja żąda rozległych uprawnień, proszę skontaktować się ze wsparciem. ## Źródła 1. MITRE ATT&CK, „Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1444/ (dostęp 3 listopada 2026) 2. MITRE ATT&CK, „Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1475/ (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Cerberus, Software S0480 | MITRE ATT&CK®”. https://attack.mitre.org/software/S0480/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1417/002/ (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1626/ (dostęp 3 listopada 2026) 6. MITRE ATT&CK, „Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1628/ (dostęp 3 listopada 2026) 7. MITRE ATT&CK, „Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1417/ (dostęp 3 listopada 2026) 8. MITRE ATT&CK, „Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1404/ (dostęp 3 listopada 2026) 9. MITRE ATT&CK, „BusyGasper, Software S0655 | MITRE ATT&CK®”. https://attack.mitre.org/software/S0655/ (dostęp 3 listopada 2026) 10. MITRE ATT&CK, „Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1409/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/sideloading-aplikacje-spoza-sklepow/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.