Зловреден софтуер за мобилни устройства „Кръстникът“

Нова подобрена версия на скандалния зловреден софтуер за Android Godfather предизвиква фурор в света на киберсигурността. Чрез внедряване на изолирани виртуални среди на заразени устройства, този скрит зловреден софтуер вече позволява шпиониране в реално време, кражба на идентификационни данни и финансови измами, като същевременно остава скрит под прикритието на легитимни банкови приложения.

Виртуални светове за реална кражба

Обновеният зловреден софтуер Godfather използва рамка за виртуализация, вградена в привидно безобиден APK файл. След инсталирането му, той проверява за наличието на над 500 потенциални целеви приложения, включително банкови, криптовалутни и платформи за електронна търговия, и ги премества във виртуална среда. Тази настройка имитира тактика, използвана от FjordPhantom през 2023 г., но отива далеч по-далеч по обхват и сложност.

За разлика от стандартния зловреден софтуер за Android, Godfather използва виртуализация, за да стартира целеви приложения в контролирани контейнери, което позволява:

• Кражба на идентификационни данни в реално време и прихващане на отговорите от бекенда
• Безпроблемна визуална имитация на легитимни приложения
• Заобикаляне на вградените механизми за сигурност на Android

Невидимо поглъщане чрез StubActivity

Критична част от тази измама е използването на StubActivity, заместител в зловредния софтуер, който стартира виртуализирани приложения, без да разкрива реален потребителски интерфейс или собствена логика. Когато жертвата се опита да получи достъп до легитимното си банково приложение, Godfather прехваща действието, използвайки привилегиите си за услуга за достъпност, и го пренасочва към виртуалния контейнер, показвайки реалния интерфейс на приложението, като същевременно получава пълен контрол върху взаимодействията с потребителя.

Този трик заблуждава Android да мисли, че изпълнява безопасно приложение, докато всички чувствителни действия, от въвеждането на ПИН код до потвърждаването на транзакции, се наблюдават и отвличат.

Под капака: Инструменти и техники

За да изпълнява сложните си операции, Godfather разчита на комбинация от технологии с отворен код и интелигентно инженерство:

VirtualApp engine – захранва създаването на изолирани контейнери.

Xposed Framework – свързва се с Android API, за да записва входни данни и отговори.

Измама с намерение – отвлича команди, предназначени за легитимни приложения, и ги пренасочва.

Виртуални файлови системи и идентификатори на процеси – поддържат безпроблемна репликация на средата.

В ключови моменти зловредният софтуер наслагва фалшиви заключени екрани или екрани за актуализиране, за да подкани потребителите да въведат чувствителни идентификационни данни, които след това се предоставят на нападателите.

Поглед назад: Еволюцията на кръстника

„Кръстникът“ се появи за първи път през март 2021 г. и оттогава се е развил значително. В своя вариант от декември 2022 г. зловредният софтуер е бил насочен към 400 приложения в 16 държави, използвайки атаки с HTML наслагване. Настоящата версия обаче използва пълна виртуализация, разширявайки обхвата си до над 500 приложения по целия свят. Въпреки че последната кампания изглежда се фокусира върху дузина турски банки, инфраструктурата е настроена да се разпространи в световен мащаб.

Как да останете защитени

За да намалят риска да станат жертва на напреднали заплахи като „Кръстникът“, потребителите трябва да следват тези най-добри практики за киберсигурност:

• Безопасно изтегляне
• Инсталирайте приложения само от Google Play или надеждни източници.
• Избягвайте странично зареждане на APK файлове, освен ако издателят е реномиран и проверен.
• Практикувайте бдителност към приложенията
• Дръжте Google Play Protect активиран.
• Следете разрешенията на приложенията, особено заявките за услуги за достъпност.
• Бъдете подозрителни към неочаквани заключени екрани или подкани за актуализиране.

Най-новата версия на Godfather сигнализира за преминаване към по-сложни мобилни заплахи, които размиват границата между злонамерена дейност и легитимно поведение на приложенията. Първата линия на защита е да бъдете информирани и предпазливи.