Cyberpediaod Brain
PLDEENESFRITNLPT

Sideloading na telefonie

Aplikacja zainstalowana spoza oficjalnych sklepów może wykraść hasła i SMS-y. Co widzi pracownik, jak to działa i co zrobić.

W 30 sekund

Gdzie to się zdarza
Na stronie, która prosi o instalację oprogramowania, na przykład z fałszywym instalatorem3, oraz na urządzeniu, do którego atakujący ma fizyczny dostęp9.
Czego chce atakujący
Nakłonić do instalacji podstawionej aplikacji, a potem uzyskać dla niej rozległe uprawnienia, by wykradać dane logowania i dane z komunikatorów349.
Odruch
Instalować wyłącznie z oficjalnego sklepu i odrzucać każde żądanie dostępności lub administratora urządzenia, którego Pan/Pani sam(a) nie szukał(a).
Jeśli to już się stało
Niezwłocznie powiadomić wsparcie IT i nie wpisywać na tym telefonie żadnego hasła.

O co chodzi

Na telefonie służbowym lub prywatnym aplikacje pochodzą zwykle z oficjalnego sklepu, takiego jak Google Play lub App Store. W tej fiszce sideloading oznacza instalację aplikacji inną drogą niż przez ten sklep. Telefony są często skonfigurowane tak, by przyjmować tylko autoryzowany sklep2, więc atakujący musi nakłonić ofiarę do wyjścia poza te ramy. MITRE opisuje tę metodę: dostarczenie złośliwego oprogramowania przez podanie go za legalną aplikację1.

Fiszka przyjmuje punkt widzenia pracownika. Źródła cytowane w dokumentacji to techniczne strony MITRE ATT&CK. Opisują one metody atakujących na Androidzie i iOS, ale nie zawierają statystyk dotyczących sideloadingu.

Pytania wprost

Czym jest sideloading?

To instalacja aplikacji z pominięciem autoryzowanego sklepu urządzenia. MITRE zauważa, że telefony są często skonfigurowane tak, by zezwalać na instalację tylko z autoryzowanego sklepu, takiego jak Google Play Store lub Apple App Store2. Atakujący, który nie może tam umieścić swojej aplikacji, musi nakłonić ofiarę do pobrania jej gdzie indziej.

Czy oficjalny sklep chroni całkowicie?

Nie całkowicie: MITRE opisuje także przypadek, w którym atakujący próbuje umieścić złośliwą aplikację w autoryzowanym sklepie, co pozwala zainstalować ją na wybranych urządzeniach2. Obie strony MITRE na ten temat zawierają ostrzeżenie o wycofaniu, ale ich treść opisuje te dwie drogi12.

Jak pracownik zostaje nakłoniony do instalacji aplikacji?

Źródła opisują dwa fortele. Pierwszy polega na podaniu oprogramowania za legalną aplikację, przez wbudowanie go w prawdziwą aplikację albo naśladowanie jej wyglądu1. Drugi wykorzystuje stronę, która zachęca do instalacji znanego programu: trojan Cerberus był rozprowadzany przez strony nakłaniające użytkownika do „install Adobe Flash Player” i pobierające złośliwy plik APK3.

Jakich uprawnień żąda aplikacja?

Źródła wymieniają uprawnienia dostępności i administratora urządzenia. Złośliwe aplikacje nadużywają dostępności Androida, by ustalić, która aplikacja działa na pierwszym planie4. Co do uprawnień administratora, MITRE zauważa, że aplikacje bardzo rzadko ich potrzebują, i radzi programistom, by nie sięgali po ten poziom dostępu5.

Czy zainstalowana aplikacja pozostaje widoczna?

Niekoniecznie. MITRE wyjaśnia, że systemy mobilne mają interfejsy do ukrywania elementów, takich jak ikona aplikacji, i że atakujący je wykorzystują do własnych celów6. Strona o przechwytywaniu danych wejściowych zaleca użytkownikom ostrożność wobec niebezpiecznych uprawnień, takich jak dostęp do dostępności7. Inni atakujący wykorzystują luki w systemie, by uzyskać wyższe uprawnienia8.

Czy do zainfekowania urządzenia potrzebny jest fizyczny dostęp?

W udokumentowanym przypadku BusyGasper tak: to oprogramowanie szpiegujące zainfekowało ofiary przez fizyczny dostęp do urządzenia9.

1W skórze atakującego1 min

Atakujący napotyka przeszkodę: urządzenie jest często skonfigurowane tak, by przyjmować tylko autoryzowany sklep2. Potrzebuje wiarygodnego pretekstu, a źródła podają jeden: nazwę i wygląd znanej aplikacji4. W przypadku Cerberusa jest to fałszywy instalator Adobe Flash Player3.

Gdy aplikacja jest już na miejscu, jej pierwszym celem jest zdobycie uprawnień. Cerberus potrafi wstrzykiwać dane wejściowe, by nadać sobie dodatkowe uprawnienia bez udziału użytkownika i by uniemożliwić usunięcie aplikacji3. Potem następuje zbieranie danych i ukrywanie się: atakujący chce czytać SMS-y, pozyskać kontakty i listę aplikacji, a następnie wyświetlać fałszywe ekrany na wierzchu aplikacji wskazanych przez atakującego3.

Źródła opisują też atakujących, którzy celują w sam system. Niektórzy wykorzystują luki w systemie operacyjnym, by przejść z ograniczonego poziomu dostępu do uprawnień superużytkownika (root)8. MITRE wymienia Pegasusa dla Androida, który próbuje wykorzystać znane luki Androida, oraz Pegasusa dla iOS, który wykorzystuje luki iOS8.

2Co widać na ekranie1 min

Ofiara widzi najpierw stronę lub wiadomość zachęcającą do instalacji oprogramowania. Źródła cytowane w dokumentacji nie opisują ostrzeżenia instalacyjnego urządzenia, dlatego ten etap nie jest tu omówiony szczegółowo.

Po instalacji oznak jest niewiele, i to z założenia. MITRE wyjaśnia, że systemy mobilne udostępniają interfejsy do ukrywania elementów, takich jak ikona aplikacji, a te interfejsy mają uzasadnione zastosowania, które atakujący wykorzystują do własnych celów6. Cerberus ukrywa swoją ikonę w szufladzie aplikacji po pierwszym uruchomieniu3. BusyGasper zmniejsza jasność ekranu do minimum i wycisza dźwięk, gdy jest aktywny9.

Najbardziej widoczną oznaką jest fałszywe okno z prośbą o wpisanie danych. MITRE wyjaśnia, że złośliwe aplikacje naśladują elementy interfejsu systemu, by prosić o poufne informacje, a mały ekran telefonu utrudnia sprawdzenie kontekstu4. Mogą też wysyłać fałszywe powiadomienia, które po dotknięciu otwierają takie okno4. Wreszcie okno może pojawić się na wierzchu legalnej aplikacji4.

3Pod maskąZespoły IT1 min

Źródła opisują najpierw nakładki i dostępność, potem trwałość w systemie.

  • Nakładka: aplikacja rysuje okno nad innym oknem. Musi mieć uprawnienie SYSTEM_ALERT_WINDOW, które według MITRE jest przyznawane automatycznie, przynajmniej w pewnych warunkach, aplikacjom zainstalowanym z Google Play4. Android 10 ogranicza uruchamianie aktywności nad inną aplikacją4. Android 12 dodaje uprawnienie HIDE_OVERLAY_WINDOWS, które pozwala ukrywać takie okna7.
  • Dostępność: nadużycie pozwala ustalić, która aplikacja jest na pierwszym planie4. MITRE wskazuje także aplikacje, które rejestrują naciśnięcia klawiszy lub zbierają informacje o gestach na ekranie7.
  • Trwałość: Cerberus wyłącza Google Play Protect, by uniknąć wykrycia i późniejszego usunięcia3. Może aktualizować swój kod na polecenie3.

MITRE precyzuje ponadto, że izolacja aplikacji ogranicza dostęp do danych innej aplikacji, z wyjątkiem trzech przypadków: niezabezpieczonej pamięci zewnętrznej, pamięci wewnętrznej o słabych uprawnieniach lub uzyskania uprawnień root10.

4Analizy incydentówPrawdziwe przypadki1 min

Cerberus, wynajmowany trojan bankowy

Cerberus to trojan bankowy na Androida, którego używanie jest wynajmowane na podziemnych forach3. Jego autorzy twierdzą, że przez dwa lata używali go prywatnie, zanim zaczęli go wynajmować3. Odnośniki na stronie MITRE obejmują raport ThreatFabric z sierpnia 2019 roku oraz artykuł z 16 sierpnia 2019 roku o fałszywych instalatorach Adobe Flash Player3. Oprogramowanie potrafiło czytać SMS-y, pozyskiwać kontakty i listę aplikacji, generować fałszywe powiadomienia i przeprowadzać ataki z nakładką na aplikacje wskazane przez atakującego3.

BusyGasper, oprogramowanie szpiegujące (od maja 2016 roku)

BusyGasper to oprogramowanie szpiegujące na Androida, używane od maja 2016 roku9. Znanych jest mniej niż dziesięć ofiar, wszystkie najwyraźniej w Rosji, i wszystkie zainfekowane przez fizyczny dostęp do urządzenia9. Potrafi nagrywać dźwięk i obraz z kamery, kopiować zdjęcia i historię przeglądarki oraz czytać SMS-y i dane z WhatsApp, Viber i Facebooka9. Odnośnikiem na stronie jest artykuł Alexeya Firsha z 29 sierpnia 2018 roku9.

5Co Pan/Pani robi1 min
  • Proszę instalować wyłącznie z oficjalnego sklepu urządzenia. Zachęta do pobrania pliku lub „instalatora” ze strony jest podejrzana, także w przypadku znanego programu3.
  • Proszę odrzucać uprawnienia dostępności, klawiatury lub administratora, o które aplikacja prosi bez jasnego powodu. MITRE radzi użytkownikowi ostrożność wobec niebezpiecznych lub inwazyjnych uprawnień, takich jak rejestrowanie klawiatury czy dostęp do dostępności7.
  • Proszę trzymać telefon zablokowany i pod ręką: jeden udokumentowany przypadek zaczyna się od fizycznego dostępu9.
  • Proszę aktualizować system: niektóre zabezpieczenia, jak ograniczenia Androida 10 i Androida 12, zależą od wersji47.
  • Na urządzeniu zarządzanym firma może ograniczyć dozwolone usługi dostępności za pomocą jawnej listy, przy użyciu narzędzia do zarządzania urządzeniami (EMM lub MDM)7.
6Pułapki1 min

Oficjalny sklep nie jest pełną gwarancją2. Złośliwa aplikacja może też ukryć swoją ikonę, więc brak podejrzanej ikony niczego nie dowodzi6. MITRE pisze, że tego typu techniki nie da się łatwo zwalczyć kontrolami zapobiegawczymi, ponieważ nadużywa ona funkcji systemu6.

Ustawienie bezpieczeństwa, które zmienia się bez Pana/Pani działania, jest sygnałem: Cerberus wyłącza Google Play Protect3. W takim przypadku, albo gdy nieznana aplikacja żąda rozległych uprawnień, proszę skontaktować się ze wsparciem.

Karta

Identyfikator
CP-093
Skrzydło
1. Ataki i techniki
Kompetencja Brain
Zabezpieczać urządzenia (secure_devices)
Odruch Brain
cr-071
Schemat
G3 · Przekrój anatomiczny
Języki
de, en, es, fr, it, nl, pl, pt
Źródła
Źródła sprawdzone 3 listopada 2026: 10
ŹródłaŹródła: 10
  1. MITRE ATT&CK, „Masquerade as Legitimate Application, Technique T1444 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1444/ (dostęp 3 listopada 2026)
  2. MITRE ATT&CK, „Deliver Malicious App via Authorized App Store, Technique T1475 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1475/ (dostęp 3 listopada 2026)
  3. MITRE ATT&CK, „Cerberus, Software S0480 | MITRE ATT&CK®”. https://attack.mitre.org/software/S0480/ (dostęp 3 listopada 2026)
  4. MITRE ATT&CK, „Input Capture: GUI Input Capture, Sub-technique T1417.002 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1417/002/ (dostęp 3 listopada 2026)
  5. MITRE ATT&CK, „Abuse Elevation Control Mechanism, Technique T1626 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1626/ (dostęp 3 listopada 2026)
  6. MITRE ATT&CK, „Hide Artifacts, Technique T1628 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1628/ (dostęp 3 listopada 2026)
  7. MITRE ATT&CK, „Input Capture, Technique T1417 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1417/ (dostęp 3 listopada 2026)
  8. MITRE ATT&CK, „Exploitation for Privilege Escalation, Technique T1404 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1404/ (dostęp 3 listopada 2026)
  9. MITRE ATT&CK, „BusyGasper, Software S0655 | MITRE ATT&CK®”. https://attack.mitre.org/software/S0655/ (dostęp 3 listopada 2026)
  10. MITRE ATT&CK, „Stored Application Data, Technique T1409 - Mobile | MITRE ATT&CK®”. https://attack.mitre.org/techniques/T1409/ (dostęp 3 listopada 2026)

Zacytuj ten artykuł

Brain, „Sideloading na telefonie”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/sideloading-aplikacje-spoza-sklepow/

BibTeX 
@misc{brain_cp093_pl_2026,
  author = {Brain},
  title = {Sideloading na telefonie},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/pl/articles/sideloading-aplikacje-spoza-sklepow/},
  note = {CC BY 4.0}
}
Licencja CC BY 4.0