Mobilní malware Godfather

Nově vylepšená verze nechvalně známého malwaru pro Android Godfather dělá ve světě kybernetické bezpečnosti rozruch. Nasazením izolovaných virtuálních prostředí na infikovaná zařízení nyní tento nenápadný malware umožňuje špionáž v reálném čase, krádeže přihlašovacích údajů a finanční podvody, a to vše při skrytí pod rouškou legitimních bankovních aplikací.

Virtuální světy pro skutečné krádeže

Vylepšený malware Godfather využívá virtualizační framework zabudovaný do zdánlivě neškodného souboru APK. Po instalaci kontroluje přítomnost více než 500 potenciálních cílových aplikací, včetně bankovních, kryptoměnových a e-commerce platforem, a přesouvá je do virtuálního prostředí. Toto nastavení napodobuje taktiku, kterou v roce 2023 použila společnost FjordPhantom, ale svým rozsahem a sofistikovaností jde daleko za hranice této strategie.

Na rozdíl od standardního malwaru pro Android využívá Godfather virtualizaci ke spouštění cílových aplikací uvnitř kontrolovaných kontejnerů, což umožňuje:

• Krádež přihlašovacích údajů v reálném čase a zachycení odpovědí backendu
• Bezproblémová vizuální napodobenina legitimních aplikací
• Obcházení vestavěných bezpečnostních mechanismů systému Android

Neviditelné převzetí přes StubActivity

Klíčovou součástí tohoto podvodu je použití StubActivity, zástupného symbolu v malwaru, který spouští virtualizované aplikace bez odhalení jakéhokoli skutečného uživatelského rozhraní nebo vlastní logiky. Když se oběť pokusí o přístup ke své legitimní bankovní aplikaci, Godfather tuto akci zachytí pomocí svých oprávnění služby přístupnosti a přesměruje ji do virtuálního kontejneru, čímž zobrazí skutečné rozhraní aplikace a zároveň získá plnou kontrolu nad interakcemi uživatelů.

Tento trik oklame Android a přiměje ho, aby si myslel, že běží bezpečná aplikace, zatímco všechny citlivé akce, od zadávání PINu až po potvrzování transakcí, jsou monitorovány a zneužívány.

Pod kapotou: Nástroje a techniky

Pro dosažení svých složitých operací se Godfather spoléhá na kombinaci open-source technologií a chytrého inženýrství:

Engine VirtualApp – umožňuje vytváření izolovaných kontejnerů.

Xposed Framework – propojuje se s Android API pro zaznamenávání vstupů a odpovědí.

Intent spoofing – zneužívá příkazy určené pro legitimní aplikace a přesměrovává je.

Virtuální souborové systémy a ID procesů – podporuje bezproblémovou replikaci prostředí.

V klíčových okamžicích malware překrývá falešné zamykací obrazovky nebo obrazovky s aktualizacemi, aby vyzval uživatele k zadání citlivých přihlašovacích údajů, které jsou následně odhaleny útočníkům.

Pohled zpět: Evoluce Kmotra

Kmotr se poprvé objevil v březnu 2021 a od té doby se výrazně vyvinul. Ve své variantě z prosince 2022 se malware zaměřoval na 400 aplikací v 16 zemích pomocí útoků s překrytím HTML. Aktuální verze však využívá plnou virtualizaci, čímž rozšiřuje svůj dosah na více než 500 aplikací po celém světě. Zatímco se zdá, že se nejnovější kampaň zaměřuje na tucet tureckých bank, infrastruktura je připravena k celosvětovému rozšíření.

Jak zůstat chráněn

Aby se snížilo riziko, že se uživatelé stanou obětí pokročilých hrozeb, jako je Godfather, měli by dodržovat tyto osvědčené postupy kybernetické bezpečnosti:

• Bezpečné stažení
• Instalujte aplikace pouze z Google Play nebo důvěryhodných zdrojů.
• Vyhněte se stahování souborů APK z jiných zdrojů, pokud vydavatel není seriózní a ověřený.
• Procvičujte si ostražitost v aplikacích
• Nechte Google Play Protect zapnutý.
• Sledujte oprávnění aplikací, zejména požadavky na služby přístupnosti.
• Buďte podezřívaví k neočekávaným zamykacím obrazovkám nebo výzvám k aktualizaci.

Nejnovější verze Godfather signalizuje posun směrem k sofistikovanějším mobilním hrozbám, které stírají hranici mezi škodlivou aktivitou a legitimním chováním aplikací. První linií obrany je informovanost a opatrnost.