Android przed PromptSpy – wirusem sterowanym AI

Wirusy na Androida to nic nowego. Wirus, który używa modelu AI do analizy tego, co robisz na ekranie – i na tej podstawie decyduje, jak omijać twoje próby obrony? To dopiero się zaczyna.

Badacze z ESET odkryli PromptSpy – złośliwe oprogramowanie, które wykorzystuje Google Gemini do rzeczy, o których Google nawet nie myślało. Ten malware działa już teraz i robi dokładnie to, czego się obawiasz: kradnie dane, blokuje dezinstalację i uczy się omijać twoje zabezpieczenia w czasie rzeczywistym.

Jak PromptSpy wykorzystuje Gemini przeciwko tobie

Tradycyjne wirusy na Androida działają według z góry zaprogramowanego scenariusza. PromptSpy robi coś innego. Wysyła zrzuty ekranu do Google Gemini i prosi model o analizę: "Co użytkownik teraz robi? Jak mogę to wykorzystać?"

Konkretnie:

• Analizuje interfejs w czasie rzeczywistym – rozpoznaje, czy próbujesz otworzyć ustawienia, odinstalować aplikację, czy uruchomić antywirus
• Generuje odpowiednie akcje – na podstawie odpowiedzi Gemini podejmuje kroki blokujące twoje działania (zamyka ustawienia, wyświetla fałszywe komunikaty)
• Uczy się z kontekstu – im dłużej działa na twoim telefonie, tym lepiej rozumie twoje nawyki i skuteczniej się ukrywa

Badacze z ESET potwierdzili, że PromptSpy wykorzystuje API Gemini do przetwarzania obrazów ekranu. Google nie przewidziało takiego scenariusza użycia. Technologia jest publicznie dostępna, więc cyberprzestępcy po prostu z niej skorzystali.

Dlaczego to działa lepiej niż klasyczne wirusy

Tradycyjny malware musi być zaprogramowany na konkretne wersje Androida, konkretne interfejsy producentów. Samsung, Xiaomi, OnePlus – każdy ma swoje nakładki. PromptSpy nie musi – Gemini "widzi" ekran tak jak ty i rozumie kontekst niezależnie od wersji systemu.

Jeden kod działa na praktycznie każdym Androidzie. Zero konieczności aktualizacji pod nowe wersje systemu.

Jak PromptSpy trafia na twój telefon

Dobra wiadomość: PromptSpy nie pojawia się znikąd. Nie wykorzystuje luk w systemie, nie infekuje cię przez Wi-Fi, nie przychodzi w SMSie. Instalujesz go sam.

Zła wiadomość: robisz to nieświadomie. Podszywając się pod legalne aplikacje, PromptSpy trafia do ciebie przez:

• Nieoficjalne sklepy z aplikacjami – pobierasz APK "za darmo" zamiast płacić w Google Play
• Fałszywe wersje popularnych apek – "WhatsApp Premium", "Instagram bez reklam", "TikTok z dodatkowymi funkcjami"
• Strony oferujące "crackowane" gry i programy – szczególnie popularne w krajach, gdzie dostęp do płatnych treści jest ograniczony

Po instalacji PromptSpy prosi o uprawnienia administratora urządzenia. Jeśli mu je dasz (a interfejs jest zaprojektowany tak, żebyś kliknął "OK" odruchowo), malware zyskuje pełną kontrolę nad systemem.

Dlaczego nie możesz go usunąć (i jak to obejść)

Standardowa procedura: wchodzisz w Ustawienia → Aplikacje → Odinstaluj. Z PromptSpy to nie działa.

Dlaczego? Malware:

1. Ma uprawnienia administratora – Android nie pozwala odinstalować aplikacji z takimi uprawnieniami bez ich wcześniejszego cofnięcia
2. Monitoruje ekran w czasie rzeczywistym – gdy tylko otworzysz ustawienia i przejdziesz do sekcji "Administratorzy urządzenia", PromptSpy wykrywa to (dzięki Gemini) i blokuje dostęp
3. Wyświetla fałszywe komunikaty – "Błąd systemu", "Funkcja niedostępna", "Wymagane ponowne uruchomienie" – wszystko po to, żebyś zrezygnował

Jak usunąć PromptSpy – konkretne kroki

Jeśli podejrzewasz infekcję, nie próbuj standardowej dezinstalacji. Zamiast tego:

1. Uruchom telefon w trybie awaryjnym (Safe Mode) – przytrzymaj przycisk zasilania, długo naciśnij "Wyłącz", potwierdź restart w trybie awaryjnym. W tym trybie działają tylko aplikacje systemowe, PromptSpy będzie wyłączony
2. Wejdź w Ustawienia → Zabezpieczenia → Administratorzy urządzenia – znajdź podejrzane aplikacje (wszystko, czego nie rozpoznajesz lub co zainstalowałeś z APK) i cofnij uprawnienia
3. Odinstaluj aplikację – teraz standardowa procedura powinna zadziałać
4. Uruchom pełne skanowanie – użyj zaufanej aplikacji antywirusowej (np. ESET Mobile Security, Malwarebytes, Bitdefender)

Jeśli to nie działa (PromptSpy blokuje nawet tryb awaryjny na niektórych urządzeniach), ostateczna opcja to reset do ustawień fabrycznych. Tak, stracisz dane – ale odzyskasz kontrolę nad telefonem.

Jak się zabezpieczyć – zanim będzie za późno

PromptSpy to ostrzeżenie: wirusy sterowane AI to nie teoria, to rzeczywistość. Oto konkretne kroki, które możesz zrobić teraz, żeby nie musieć walczyć z infekcją później.

Zanim zaczniesz – sprawdź te ustawienia

1. Wyłącz instalację z nieznanych źródeł

Ustawienia → Zabezpieczenia → Nieznane źródła (lub "Instaluj nieznane aplikacje" na nowszych Androidach). Upewnij się, że ta opcja jest WYŁĄCZONA dla wszystkich aplikacji.

Jeśli kiedykolwiek włączałeś ją tymczasowo (żeby zainstalować APK), sprawdź czy na pewno ją wyłączyłeś po instalacji.

2. Włącz Google Play Protect

Otwórz Google Play → ikona profilu (prawy górny róg) → Play Protect → Ustawienia → upewnij się, że "Skanuj aplikacje za pomocą Play Protect" jest włączone.

Play Protect nie jest idealny. Wykrywa większość znanych wariantów malware – w tym niektóre wersje PromptSpy.

3. Przejrzyj uprawnienia administratora

Ustawienia → Zabezpieczenia → Administratorzy urządzenia. Powinieneś zobaczyć maksymalnie 2-3 pozycje (np. "Znajdź moje urządzenie", aplikacja firmowa MDM). Jeśli widzisz cokolwiek innego – szczególnie aplikacje, których nie rozpoznajesz – cofnij uprawnienia natychmiast.

Zasady, które eliminują 95% ryzyka

Instaluj aplikacje TYLKO z Google Play – tak, wiem, niektóre płatne apki są dostępne "za darmo" jako APK. Wiem też, że niektórych aplikacji nie ma w twoim regionie. Ryzyko nie jest warte oszczędności 15 złotych.

Nie klikaj "OK" odruchowo – gdy aplikacja prosi o uprawnienia administratora, ZATRZYMAJ SIĘ. Żadna normalna aplikacja (poza antywirusem, MDM firmowym, czy "Znajdź moje urządzenie") nie potrzebuje tych uprawnień. Jeśli gra, edytor zdjęć, czy aplikacja do czatu prosi o uprawnienia administratora – to czerwona flaga.

Regularnie przeglądaj zainstalowane aplikacje – raz na miesiąc wejdź w Ustawienia → Aplikacje i przejrzyj listę. Jeśli widzisz coś, czego nie pamiętasz instalowania – odinstaluj. Jeśli nazwa brzmi dziwnie ("System Update", "Security Service", "Google Play Services" z literówką) – odinstaluj.

Aktualizuj system – nowsze wersje Androida mają lepsze zabezpieczenia przeciwko malware. Jeśli producent twojego telefonu nadal udostępnia aktualizacje – instaluj je.

Polska perspektywa – czy to nas dotyczy

PromptSpy został wykryty głównie w Azji i Europie Wschodniej – ale mechanizm działania jest uniwersalny. Jeśli korzystasz z nieoficjalnych źródeł aplikacji (szczególnie APK z forów, Telegrama, czy stron z "crackowanymi" grami), jesteś w grupie ryzyka.

Polska jest w Unii Europejskiej, więc Google Play ma u nas pełną ofertę. Większość aplikacji, które w innych regionach są niedostępne, u nas działają normalnie. To znaczy, że nie masz powodu instalować APK z nieznanych źródeł – chyba że świadomie rezygnujesz z bezpieczeństwa dla oszczędności.

Jeśli prowadzisz firmę i Twoi pracownicy używają służbowych telefonów – wdróż politykę MDM (Mobile Device Management). To pozwoli Ci zdalnie kontrolować, jakie aplikacje mogą być instalowane i blokować instalację z nieznanych źródeł na poziomie całej floty urządzeń.

Co to zmienia dla AI

PromptSpy to pierwszy, ale na pewno nie ostatni przykład wykorzystania modeli AI do celów złośliwych. Gemini, ChatGPT, Claude – wszystkie te narzędzia są publicznie dostępne przez API. Każdy może je użyć – również cyberprzestępcy.

Za 6-12 miesięcy możemy zobaczyć:

• Phishing sterowany AI – wiadomości email/SMS generowane w czasie rzeczywistym na podstawie Twoich publicznych profili w social media
• Deepfake'owe ataki głosowe – połączenia "od szefa" z prośbą o pilny przelew (już się dzieje, ale skala będzie większa)
• Malware adaptujący się do Twojego zachowania – nie tylko na Androidzie, ale też na Windows i macOS

Ochrona? Ta sama co zawsze: zdrowy rozsądek, podstawowa higiena cyfrowa i zero ufności dla nieznanych źródeł. AI zmienia narzędzia ataku, ale fundamenty obrony pozostają takie same.

Sprawdź teraz swoje uprawnienia administratora. Jeśli widzisz tam cokolwiek podejrzanego – masz 5 minut na naprawienie problemu, zanim PromptSpy (lub jego następca) zablokuje Ci dostęp na dobre.

Źródła

• 01net - Impossible à désinstaller : ce virus utilise Gemini pour s'incruster dans votre smartphone