.NET MAUI Ψεύτικες εφαρμογές Android

Οι ειδικοί στον τομέα της κυβερνοασφάλειας αποκάλυψαν μια νέα καμπάνια κακόβουλου λογισμικού Android που εκμεταλλεύεται το πλαίσιο διεπαφής εφαρμογών πολλαπλών πλατφορμών .NET της Microsoft (.NET MAUI). Μεταμφιεσμένες σε τραπεζικές εφαρμογές και εφαρμογές μέσων κοινωνικής δικτύωσης, αυτές οι απειλητικές εφαρμογές στοχεύουν κατά κύριο λόγο χρήστες Ινδούς και Κινεζόφωνους και στοχεύουν στη συλλογή ευαίσθητων πληροφοριών.

Τι είναι το .NET MAUI και γιατί χρησιμοποιείται;

Το .NET MAUI είναι το πλαίσιο πολλαπλών πλατφορμών της Microsoft για την ανάπτυξη εγγενών εφαρμογών με χρήση C# και XAML. Εξελίχτηκε από το Xamarin, προσφέροντας στους προγραμματιστές έναν βελτιωμένο τρόπο δημιουργίας εφαρμογών πολλαπλών πλατφορμών με ένα μόνο έργο, επιτρέποντας παράλληλα κώδικα για συγκεκριμένη πλατφόρμα όπου χρειάζεται.

Συγκεκριμένα, η Microsoft τερμάτισε επίσημα την υποστήριξη για το Xamarin την 1η Μαΐου 2024, ενθαρρύνοντας τους προγραμματιστές να μεταβούν στο .NET MAUI. Οι φορείς απειλών προσαρμόστηκαν γρήγορα, αξιοποιώντας αυτό το πλαίσιο για να αναπτύξουν νέο κακόβουλο λογισμικό Android, συνεχίζοντας την τάση τους να τελειοποιούν και να εξελίσσουν μεθόδους επίθεσης.

Πώς το .NET MAUI βοηθά τον εντοπισμό αποφυγής κακόβουλου λογισμικού

Σε αντίθεση με τις παραδοσιακές εφαρμογές Android, οι οποίες βασίζονται σε αρχεία DEX και εγγενείς βιβλιοθήκες, το κακόβουλο λογισμικό που βασίζεται σε .NET MAUI αποθηκεύει τις βασικές του λειτουργίες σε δυαδικά αρχεία C# blob. Αυτό καθιστά την ανίχνευση πιο δύσκολη, καθώς το πλαίσιο λειτουργεί ως συσκευαστής που βοηθά το κακόβουλο λογισμικό να παραμείνει απαρατήρητο στις συσκευές των θυμάτων.

Χρησιμοποιώντας το .NET MAUI, οι εγκληματίες του κυβερνοχώρου αποκτούν πολλά πλεονεκτήματα:

• Stealth Mode : Ο κατεστραμμένος κώδικας είναι κρυμμένος μέσα σε δυαδικά αρχεία C#, καθιστώντας πιο δύσκολη την ανάλυση.
• Εκτεταμένη επιμονή : Το κακόβουλο λογισμικό παραμένει σε μολυσμένες συσκευές για μεγαλύτερο χρονικό διάστημα χωρίς να ενεργοποιεί ειδοποιήσεις ασφαλείας.
• Τακτικές Αποφυγής : Η μη συμβατική αρχιτεκτονική επιτρέπει την παράκαμψη των παραδοσιακών σαρώσεων ασφαλείας.

Εντοπίστηκαν πλαστές εφαρμογές τραπεζικών και κοινωνικών μέσων

Οι ερευνητές έχουν εντοπίσει πολλές δόλιες εφαρμογές χρησιμοποιώντας το .NET MAUI, που συλλογικά αναφέρεται ως FakeApp. Μερικές από τις αξιοσημείωτες ψεύτικες εφαρμογές περιλαμβάνουν:

Ψεύτικες τραπεζικές εφαρμογές:

Πιστωτική κάρτα Indus (indus.credit.card)

Κάρτα Indusind (com.rewardz.card)

Ψεύτικες εφαρμογές μέσων κοινωνικής δικτύωσης και βοηθητικές εφαρμογές:

Έρως (pommNC.csTgAT)

X•GDN (pgkhe9.ckJo4P)

迷城 (Míchéng) (pCDhCg.cEOngl)

私密相册 (Ιδιωτικό άλμπουμ) (pBOnCi.cUVNXz)

小宇宙 (Μικρό Σύμπαν) (p9Z2Ej.cplkQv)

Αυτές οι εφαρμογές ξεγελούν τους χρήστες για να τις εγκαταστήσουν και στη συνέχεια εξάγουν σιωπηλά και μεταδίδουν τα προσωπικά τους δεδομένα σε έναν διακομιστή που ελέγχεται από τους εισβολείς.

Πώς εξαπατούνται οι χρήστες

Σε αντίθεση με τις νόμιμες εφαρμογές που διανέμονται μέσω του Google Play, αυτές οι ψεύτικες εφαρμογές βασίζονται σε παραπλανητικές τακτικές για διανομή. Οι εισβολείς στέλνουν ψευδείς συνδέσμους μέσω εφαρμογών ανταλλαγής μηνυμάτων, οδηγώντας τους χρήστες σε ανεπίσημα καταστήματα εφαρμογών όπου κατεβάζουν εν αγνοία τους το κακόβουλο λογισμικό.

Για παράδειγμα:

• Μια ψεύτικη τραπεζική εφαρμογή υποδύεται ένα ινδικό χρηματοπιστωτικό ίδρυμα για να κλέψει τα πλήρη ονόματα των χρηστών, αριθμούς κινητών τηλεφώνων, στοιχεία πιστωτικών καρτών και ταυτότητες που έχουν εκδοθεί από την κυβέρνηση.
• Μια δόλια εφαρμογή μέσων κοινωνικής δικτύωσης που μιμείται το "X" (πρώην Twitter) συγκεντρώνει επαφές, μηνύματα SMS και φωτογραφίες, στοχεύοντας χρήστες που μιλούν κινεζικά.

Οι προηγμένες τεχνικές αποφυγής που χρησιμοποιούνται

Για να αποφευχθεί ο εντοπισμός, το κακόβουλο λογισμικό χρησιμοποιεί πολλές εξελιγμένες τεχνικές:

• Κρυπτογραφημένη μετάδοση δεδομένων : Τα συγκεντρωμένα δεδομένα αποστέλλονται σε διακομιστή Command-and-Control (C2) χρησιμοποιώντας κρυπτογραφημένη επικοινωνία υποδοχής.
• Ψεύτικες άδειες : Το κακόβουλο λογισμικό εισάγει δικαιώματα χωρίς νόημα (π.χ. "android.permission.LhSSzIw6q") στο αρχείο AndroidManifest.xml για να μπερδέψει τα εργαλεία ανάλυσης.
• Δυναμική φόρτωση πολλαπλών σταδίων : Χρησιμοποιεί έναν φορτωτή κρυπτογραφημένο με XOR για την εκκίνηση ενός ωφέλιμου φορτίου κρυπτογραφημένου AES, το οποίο στη συνέχεια φορτώνει τις συγκροτήσεις .NET MAUI που περιέχουν το πραγματικό κακόβουλο λογισμικό.
• Η αλληλεπίδραση χρήστη ενεργοποιεί κακόβουλες ενέργειες : Το βασικό ωφέλιμο φορτίο παραμένει κρυφό στον κώδικα C#, ενεργοποιούμενο μόνο όταν ο χρήστης αλληλεπιδρά με την εφαρμογή (π.χ. πατώντας ένα κουμπί). Σε εκείνο το σημείο, κλέβει σιωπηλά δεδομένα και τα μεταδίδει στον διακομιστή C2.

Πώς να παραμείνετε ασφαλείς

Δεδομένης της αυξανόμενης πολυπλοκότητας αυτών των επιθέσεων, οι χρήστες θα πρέπει να λαμβάνουν προληπτικά μέτρα για την προστασία τους:

• Αποφύγετε τα καταστήματα εφαρμογών τρίτων - Λήψη εφαρμογών μόνο από το Google Play ή αξιόπιστες πηγές.
• Επαλήθευση αδειών εφαρμογής – Να είστε προσεκτικοί με τις εφαρμογές που ζητούν περιττές άδειες.
• Μείνετε σε εγρήγορση για συνδέσμους ψαρέματος – Μην κάνετε κλικ σε ύποπτους συνδέσμους στα μηνύματα.
• Χρησιμοποιήστε λογισμικό κατά του κακόβουλου λογισμικού – Εγκαταστήστε μια αξιόπιστη λύση ασφάλειας για κινητά για να εντοπίσετε και να αφαιρέσετε πιθανές απειλές.

Με τους εγκληματίες του κυβερνοχώρου να εξελίσσουν συνεχώς τις τακτικές τους, το να μένουν ενημερωμένοι και προσεκτικοί είναι η καλύτερη άμυνα έναντι αυτών των αναδυόμενων απειλών.