Usługi dostępności zwykle odnoszą się do usprawnień interfejsu programu, które umożliwiają wykorzystywanie urządzenia przez osoby niepełnosprawne (np. niedowidzące) lub takie, które tymczasowo nie są w stanie w pełni go obsługiwać, ponieważ np. prowadzą samochód. W lipcu 2017 r. badacze z Kaspersky Lab odkryli, że Svpeng ewoluował, uzyskując możliwość wykorzystywania tej funkcji systemu w celu kradzieży wprowadzanego tekstu z innych aplikacji na urządzeniu oraz udzielania sobie wielu dodatkowych przywilejów.

Zmodyfikowany trojan przechwytuje wprowadzany tekst, taki jak dane uwierzytelniające transakcje bankowe, poprzez wykorzystywanie usług dostępności systemu Android. Podejście to umożliwia również trojanowi udzielenie sobie innych zezwoleń i uprawnień oraz przeciwdziałanie próbom odinstalowania go.

Trojan jest rozprzestrzeniany za pośrednictwem szkodliwych stron internetowych; występuje on pod postacią odtwarzacza animacji i filmów flash. Po aktywacji prosi o zezwolenie na wykorzystywanie usług dostępności.

Poprzez tę funkcję może uzyskać dostęp do interfejsów innych aplikacji oraz wykonać zrzuty ekranu za każdym razem, gdy na klawiaturze wciskany jest klawisz, a także rejestrować dane uwierzytelniające dostęp do bankowości i podobne informacje. Szkodnik może uzyskać dla siebie przywileje administratora urządzenia oraz możliwość nakładania się na inne aplikacje. Możliwość nałożenia się na aplikacje jest niezbędna, ponieważ niektóre z nich, głównie bankowe, nie zezwalają na wykonywanie zrzutów ekranu, kiedy są „na wierzchu”. W takich przypadkach trojan nakłada na aplikację swoje okno phishingowe. Badacze zidentyfikowali listę phishingowych adresów URL, których celem były aplikacje bankowe czołowych europejskich banków detalicznych.         

Ponadto trojan potrafi zainstalować się jako domyślna aplikacja SMS, wysyłać i otrzymywać SMS-y, wykonywać połączenia i odczytywać kontakty, jak również blokować wszelkie próby odebrania przywilejów administratora urządzenia — uniemożliwiając tym samym odinstalowanie go. Szkodliwe techniki trojana działają nawet w przypadku w pełni uaktualnionych urządzeń, na których zainstalowano najnowszą wersję systemu operacyjnego Android oraz wszystkie aktualizacje bezpieczeństwa.

Użytkownicy polskich aplikacji finansowych na celowniku

Trojan nie został jeszcze szeroko rozprzestrzeniony, a łączna liczba ataków jest stosunkowo niewielka. Większość wykrytych dotąd ataków miała miejsce w Rosji (29%), Niemczech (27%), Turcji (15%), Polsce (6%) oraz Francji (3%). W przypadku Polski szkodnik potrafi m.in. kraść dane logowania do przynajmniej 7 różnych aplikacji przeznaczonych do przeprowadzania transakcji finansowych online.

Eksperci zalecają użytkownikom zainstalowanie na swoich urządzeniach rozwiązań bezpieczeństwa, sprawdzanie, czy pobierane aplikacje zostały udostępnione przez godnego zaufania dostawcę oraz niepobieranie podejrzanych programów i aplikacji, w przypadku których weryfikacja źródła jest niemożliwa. Warto również pamiętać o zachowaniu ostrożności podczas udzielania aplikacjom dodatkowych przywilejów.