Crocodilus Banking Trojan
Експертите по киберсигурност откриха нов зловреден софтуер за банкиране на Android, наречен Crocodilus, който е насочен основно към потребители в Испания и Турция. За разлика от много нововъзникващи заплахи, които започват като елементарни версии на съществуващ злонамерен софтуер, Crocodilus навлиза в пейзажа на киберпрестъпността като напълно развит, усъвършенстван банков троянски кон.
Съдържание
Усъвършенствани техники за максимални щети
Crocodilus използва съвременни техники като:
- Възможности за дистанционно управление
- Черен екран наслагва, за да скрие присъствието му
- Разширено събиране на данни чрез регистриране на достъпността
Подобно на други банкови троянски коне, той има за цел да превземе устройство (DTO) и да позволи на киберпрестъпниците да извършват измамни транзакции. По-задълбочен анализ на неговия изходен код и съобщения за отстраняване на грешки предполага, че авторът на зловреден софтуер е турскоезичен.
Маскиран като Google Chrome, за да избегне откриването
Crocodilus е проектиран да заобикаля ограниченията за сигурност на Android 13+, като се маскира като Google Chrome (име на пакета: „quizzical.washbowl.calamity“). Веднъж инсталирано, фалшивото приложение иска разрешения за услуга за достъпност, което му предоставя пълен контрол над устройството.
При активиране той се свързва с отдалечен сървър за командване и управление (C2), за да:
- Получете допълнителни инструкции
- Изтеглете списъка с целеви финансови приложения
- Разположете HTML наслагвания, за да откраднете потребителски идентификационни данни
Портфейли за криптовалута в кръста
Crocodilus не спира само до банкови приложения – той е насочен и към портфейли с криптовалута. Вместо да използва фалшива страница за вход, той подмамва жертвите с измамно резервно предупреждение, предупреждавайки ги да запазят началната си фраза в рамките на 12 часа или рискуват да загубят активите си.
Тази тактика на социалното инженерство манипулира жертвите да навигират до техните начални фрази, които след това се събират чрез злоупотреба с услуги за достъпност. С тази информация нападателите могат да поемат контрола върху портфейла и да източат средствата му.
Непрекъснато наблюдение и кражба на идентификационни данни
Crocodilus е проектиран да работи постоянно във фонов режим, като следи отблизо стартирането на приложения и задейства наслагвания за прихващане на идентификационни данни. Той може:
- Наблюдавайте всички събития за достъпност
- Заснемете всички елементи, показани на екрана
- Правете екранни снимки на Google Authenticator, за да заобиколите двуфакторното удостоверяване
По този начин Crocodilus гарантира, че неговите оператори не забелязват никаква активност при влизане.
Стелт режим: Скриване на вредни дейности
За да остане незабелязан, Crocodilus използва различни стелт тактики, включително:
- Показване на насложен черен екран за скриване на неупълномощени дейности
- Заглушаване на звуци, за да попречи на жертвите да чуят подозрителни сигнали
Тези мерки правят много по-трудно жертвите да разберат, че техните устройства са били компрометирани.
Мощен арсенал от увреждащи функции
Crocodilus е проектиран с набор от заплашителни способности, които му позволяват да поеме пълен контрол над заразено устройство. Той може да стартира конкретни приложения, да се премахва от устройството, за да избегне откриването и да изпраща насочени известия, за да манипулира поведението на потребителя. Злонамереният софтуер също има способността да изпраща SMS съобщения до избрани или всички контакти, да извлича списъци с контакти и да извлича списък с инсталирани приложения, като дава на нападателите изчерпателна представа за цифровия отпечатък на жертвата.
Освен това Crocodilus може да чете SMS съобщения, да изисква привилегии на администратор на устройството, за да получи по-задълбочен контрол и да активира режим на черно наслагване, за да прикрие своите опасни дейности. Той редовно актуализира настройките на своя сървър за командване и управление (C2), като гарантира, че може да се адаптира и да отговаря на новите инструкции от своите оператори. За да усъвършенства своите стелт операции, той може да активира или деактивира звука, да превключва keylogging за улавяне на потребителски входове и дори да се превърне в SMS мениджър по подразбиране, което му позволява да прихваща и манипулира комуникации незабелязани.
Crocodilus: Нова заплаха за мобилно банкиране
Появата на Crocodilus бележи опасна ескалация в усъвършенстването на зловреден софтуер за мобилно банкиране. За разлика от много новооткрити заплахи, Crocodilus е зрял от самото начало, като използва усъвършенствани техники за превземане на устройства, функции за дистанционно управление и атаки с черно наслагване, за да компрометира потребителите.
Със своето скрито изпълнение и стабилен набор от функции, този зловреден софтуер създава нов прецедент за банковите заплахи за Android, доказвайки, че киберпрестъпниците непрекъснато подобряват тактиката си, за да изпреварят мерките за сигурност.
