FakeCop Android Malware
Malware FakeCop je hrozba, která může převzít kontrolu nad zařízeními Android oběti a provádět četné rušivé akce. Bylo pozorováno, že pokročilá verze FakeCop byla nasazena v útočné kampani zaměřené na japonské uživatele. Hrozba byla hostována na mnoha adresách URL připojených k bezplatné službě DNS s názvem duckdns . Stejný duckdns byl také zneužit jako součást phishingové kampaně zaměřené na uživatele z Japonska. Odborníci z Infosec se také domnívají, že FakeCop lze šířit prostřednictvím SMS, podobným způsobem jako u jiných malwarových hrozeb pro Android, jako jsou Flubot a Medusa .
Podrobnosti o útoku
Aby oklamali uživatele, byla hrozba FakeCop injektována do několika zbraňových aplikací, které napodobovaly legitimní bezpečnostní řešení populární v Japonsku. Například jedna taková falešná aplikace byla modelována tak, aby vypadala, jako by pocházela z Anshin Security, legitimní aplikace pro ochranu soukromí publikované NTT Docomo. Kromě toho aplikace zobrazuje také ikonu aplikace Secure Internet Security dostupné v Obchodě Play.
Když je některá z nebezpečných aplikací spuštěna, požádá o 20 různých oprávnění zařízení. Následně může 12 z nich zneužít k provedení invazivních akcí na zařízení v závislosti na příkazech přijatých od serveru Command-and-Control (C2, C&C) útočné operace. Upravený malware FakeCop je schopen shromažďovat osobní údaje včetně kontaktů, SMS, seznamu aplikací, informací o účtu, podrobností o hardwaru a dalších. Může také upravit nebo odstranit databázi SMS zařízení. Pokud dostane pokyn, může FakeCop také odesílat SMS zprávy, aniž by od oběti vyžadoval jakoukoli interakci. Kromě spywarové funkce je hrozba také schopna zobrazovat obsah poskytovaný kyberzločinci ve formě upozornění.
Vyhýbání se detekci
Pozorovaná verze FakeCop je extrémně nepolapitelná. Aktér hrozby použil na zakázku vyrobený packer k maskování ohrožujícího chování z bezpečnostních řešení pomocí statické detekce. Vlastní balicí techniky hackerů nejprve zašifrovaly kód hrozby a poté jej uložily do určitého souboru umístěného ve složce aktiv.
Varianta FakeCop navíc provádí kontrolu bezpečnostních řešení již přítomných na napadeném zařízení. Po shodě se seznamem konkrétních bezpečnostních aplikací vygeneruje FakeCOp upozornění s žádostí, aby uživatel upravil, odinstaloval nebo zakázal legitimní bezpečnostní programy. Hrozba si tak zajistí přetrvávání na infikovaném systému Android.
