Crocodilus Banking Trojan

Οι ειδικοί στον τομέα της κυβερνοασφάλειας ανακάλυψαν ένα νέο τραπεζικό κακόβουλο λογισμικό Android με το όνομα Crocodilus, το οποίο στοχεύει κυρίως χρήστες στην Ισπανία και την Τουρκία. Σε αντίθεση με πολλές αναδυόμενες απειλές που ξεκινούν ως στοιχειώδεις εκδόσεις υπάρχοντος κακόβουλου λογισμικού, το Crocodilus εισέρχεται στο τοπίο του εγκλήματος στον κυβερνοχώρο ως ένα πλήρως ανεπτυγμένο, εξελιγμένο τραπεζικό Trojan.

Προηγμένες τεχνικές για τη μέγιστη ζημιά

Το Crocodilus χρησιμοποιεί σύγχρονες τεχνικές όπως:

• Δυνατότητες τηλεχειρισμού
• Επικαλύψεις μαύρης οθόνης για να κρύψει την παρουσία της
• Προηγμένη συλλογή δεδομένων μέσω καταγραφής προσβασιμότητας

Όπως και άλλα τραπεζικά Trojans, στοχεύει να αναλάβει μια Συσκευή (DTO) και να επιτρέψει στους εγκληματίες του κυβερνοχώρου να διεξάγουν δόλιες συναλλαγές. Μια βαθύτερη ανάλυση του πηγαίου κώδικα και των μηνυμάτων εντοπισμού σφαλμάτων υποδηλώνει ότι ο συντάκτης του κακόβουλου λογισμικού μιλάει τουρκόφωνους.

Μεταμφιεσμένος σε Google Chrome για να αποφύγει τον εντοπισμό

Το Crocodilus έχει σχεδιαστεί για να παρακάμπτει τους περιορισμούς ασφαλείας του Android 13+ μεταμφιεσμένος σε Google Chrome (όνομα πακέτου: 'quizzical.washbowl.calamity'). Μόλις εγκατασταθεί, η ψεύτικη εφαρμογή ζητά άδειες υπηρεσίας προσβασιμότητας, γεγονός που της παρέχει τον πλήρη έλεγχο της συσκευής.

Μετά την ενεργοποίηση, συνδέεται σε έναν απομακρυσμένο διακομιστή Command-and-Control (C2) για να:

• Λάβετε περαιτέρω οδηγίες
• Λάβετε τη λίστα με τις στοχευμένες οικονομικές εφαρμογές
• Αναπτύξτε επικαλύψεις HTML για να κλέψετε διαπιστευτήρια χρήστη

Πορτοφόλια κρυπτονομισμάτων στο σταυροδρόμι

Το Crocodilus δεν σταματά μόνο στις τραπεζικές εφαρμογές - στοχεύει επίσης πορτοφόλια κρυπτονομισμάτων. Αντί να χρησιμοποιεί μια ψεύτικη σελίδα σύνδεσης, ξεγελά τα θύματα με μια δόλια ειδοποίηση εφεδρικών αντιγράφων, προειδοποιώντας τα να αποθηκεύσουν τη φράση αρχική τους μέσα σε 12 ώρες διαφορετικά κινδυνεύουν να χάσουν τα περιουσιακά τους στοιχεία.

Αυτή η τακτική κοινωνικής μηχανικής χειραγωγεί τα θύματα ώστε να πλοηγηθούν στις βασικές φράσεις τους, οι οποίες στη συνέχεια συλλέγονται μέσω κατάχρησης υπηρεσιών προσβασιμότητας. Με αυτές τις πληροφορίες, οι επιτιθέμενοι μπορούν να πάρουν τον έλεγχο του πορτοφολιού και να εξαντλήσουν τα χρήματά του.

Συνεχής παρακολούθηση και κλοπή διαπιστευτηρίων

Το Crocodilus έχει σχεδιαστεί για να εκτελείται επίμονα στο παρασκήνιο, παρακολουθώντας στενά τις εκκινήσεις εφαρμογών και ενεργοποιώντας επικαλύψεις για υποκλοπή διαπιστευτηρίων. Μπορεί:

• Παρακολουθήστε όλα τα συμβάντα προσβασιμότητας
• Καταγράψτε όλα τα στοιχεία που εμφανίζονται στην οθόνη
• Τραβήξτε στιγμιότυπα οθόνης του Google Authenticator για να παρακάμψετε τον έλεγχο ταυτότητας δύο παραγόντων

Με αυτόν τον τρόπο, η Crocodilus διασφαλίζει ότι οι χειριστές της δεν παρατηρούν καμία δραστηριότητα σύνδεσης.

Stealth Mode: Απόκρυψη επιβλαβών δραστηριοτήτων

Για να παραμείνει απαρατήρητος, ο Crocodilus χρησιμοποιεί διάφορες τακτικές stealth, όπως:

• Εμφάνιση επικάλυψης μαύρης οθόνης για απόκρυψη μη εξουσιοδοτημένων δραστηριοτήτων
• Σίγαση ήχων για να αποτρέψει τα θύματα από το να ακούσουν ύποπτες ειδοποιήσεις

Αυτά τα μέτρα καθιστούν πολύ πιο δύσκολο για τα θύματα να συνειδητοποιήσουν ότι οι συσκευές τους έχουν παραβιαστεί.

Ένα ισχυρό οπλοστάσιο καταστροφικών χαρακτηριστικών

Το Crocodilus έχει σχεδιαστεί με μια σειρά από απειλητικές δυνατότητες που του επιτρέπουν να έχει τον πλήρη έλεγχο μιας μολυσμένης συσκευής. Μπορεί να εκκινήσει συγκεκριμένες εφαρμογές, να αφαιρεθεί από τη συσκευή για να αποφύγει τον εντοπισμό και να στείλει ειδοποιήσεις push για να χειραγωγήσει τη συμπεριφορά των χρηστών. Το κακόβουλο λογισμικό έχει επίσης τη δυνατότητα να στέλνει μηνύματα SMS σε επιλεγμένες ή όλες τις επαφές, να ανακτά λίστες επαφών και να ανακτά μια λίστα εγκατεστημένων εφαρμογών, δίνοντας στους εισβολείς μια ολοκληρωμένη εικόνα του ψηφιακού αποτυπώματος του θύματος.

Επιπλέον, το Crocodilus μπορεί να διαβάσει μηνύματα SMS, να ζητήσει δικαιώματα διαχειριστή συσκευής για να αποκτήσει βαθύτερο έλεγχο και να ενεργοποιήσει μια λειτουργία μαύρης επικάλυψης για να κρύψει τις μη ασφαλείς δραστηριότητές του. Ενημερώνει τακτικά τις ρυθμίσεις του διακομιστή Command-and-Control (C2), διασφαλίζοντας ότι μπορεί να προσαρμοστεί και να ανταποκριθεί σε νέες οδηγίες από τους χειριστές του. Για να προωθήσει τις μυστικές λειτουργίες του, μπορεί να ενεργοποιήσει ή να απενεργοποιήσει τον ήχο, να εναλλάξει την καταγραφή πλήκτρων για να καταγράψει τις εισόδους των χρηστών και ακόμη και να γίνει ο προεπιλεγμένος διαχειριστής SMS, επιτρέποντάς του να υποκλέψει και να χειριστεί τις επικοινωνίες χωρίς να ανιχνευτεί.

Crocodilus: A New Mobile Banking Threat

Η εμφάνιση του Crocodilus σηματοδοτεί μια επικίνδυνη κλιμάκωση στην πολυπλοκότητα του κακόβουλου λογισμικού κινητής τηλεφωνίας. Σε αντίθεση με πολλές απειλές που ανακαλύφθηκαν πρόσφατα, το Crocodilus είναι ώριμο από την αρχή, αξιοποιώντας προηγμένες τεχνικές Device-Takeover, λειτουργίες τηλεχειρισμού και επιθέσεις μαύρης επικάλυψης για να παραβιάσει τους χρήστες.

Με την κρυφή εκτέλεση και το ισχυρό σύνολο χαρακτηριστικών του, αυτό το κακόβουλο λογισμικό δημιουργεί ένα νέο προηγούμενο για τις τραπεζικές απειλές Android, αποδεικνύοντας ότι οι εγκληματίες του κυβερνοχώρου βελτιώνουν συνεχώς τις τακτικές τους για να παραμείνουν μπροστά από τα μέτρα ασφαλείας.