Nexus Banking Trojan
Το Nexus banking trojan είναι ένας τύπος κακόβουλου λογισμικού για κινητά που στοχεύει λειτουργικά συστήματα Android. Η απειλή είναι ουσιαστικά μια ανανεωμένη έκδοση του προηγουμένως αναγνωρισμένου και παρακολουθημένου τραπεζικού trojan SOVA. Πρωταρχικός του στόχος είναι να κλέβει τραπεζικές και οικονομικές πληροφορίες από τις μολυσμένες συσκευές των θυμάτων του. Ωστόσο, έχει επίσης διάφορα κακόβουλα χαρακτηριστικά που το καθιστούν πιο σημαντική απειλή.
Το Nexus μπορεί να εκτελέσει ενέργειες όπως κλοπή διαπιστευτηρίων σύνδεσης για άλλες εφαρμογές, εγγραφή ήχου και λήψη στιγμιότυπων οθόνης. Αυτός ο τύπος κακόβουλου λογισμικού μπορεί επίσης να εκτελέσει λειτουργίες spyware, όπως πρόσβαση σε επαφές, μηνύματα και άλλες ευαίσθητες πληροφορίες που είναι αποθηκευμένες στη συσκευή. Ως εκ τούτου, αποτελεί σημαντική απειλή τόσο για το προσωπικό απόρρητο όσο και για την ασφάλεια στον κυβερνοχώρο. Λεπτομέρειες σχετικά με τον τραπεζικό trojan Nexus Android κυκλοφόρησαν στο κοινό από τους ερευνητές της Cyble.
Το Nexus Banking Trojan συλλέγει ευαίσθητες πληροφορίες από μολυσμένες συσκευές
Το κακόβουλο λογισμικό Nexus αποκτά τον έλεγχο των συσκευών των χρηστών κάνοντας κατάχρηση των Υπηρεσιών Προσβασιμότητας Android. Αυτή η νόμιμη λειτουργία προορίζεται ως ένας τρόπος να βοηθήσει τους χρήστες να χειρίζονται πιο εύκολα τις συσκευές τους προσομοιώνοντας κλικ, διαβάζοντας το εμφανιζόμενο κείμενο κ.λπ. Μόλις το κακόβουλο λογισμικό διεισδύσει σε μια συσκευή (συνήθως μεταμφιεσμένο ως νόμιμη εφαρμογή), ζητά από τους χρήστες να ενεργοποιήσουν τις Υπηρεσίες προσβασιμότητας, που μπορεί να αλληλεπιδράσει με το μηχάνημα με διάφορους τρόπους.
Αφού αποκτήσει τον έλεγχο των Υπηρεσιών Προσβασιμότητας, το Nexus μπορεί να κλιμακώσει τα προνόμιά του και να εκχωρήσει στον εαυτό του πρόσθετα δικαιώματα, συμπεριλαμβανομένης της δυνατότητας να εμποδίζει τους χρήστες να απενεργοποιούν τις Υπηρεσίες Προσβασιμότητας και να απενεργοποιεί το Google Play Protect και άλλα μέτρα ασφαλείας με κωδικό πρόσβασης.
Το Nexus συλλέγει διάφορες πληροφορίες συσκευής, όπως το μοντέλο τηλεφώνου, την έκδοση λειτουργικού συστήματος, το IMEI, την κατάσταση της μπαταρίας, τη διεύθυνση IP (γεωγραφική τοποθεσία), το αναγνωριστικό της κάρτας SIM, τον αριθμό τηλεφώνου και τα δεδομένα δικτύου κινητής τηλεφωνίας. Το κακόβουλο λογισμικό στοχεύει συγκεκριμένα πάνω από σαράντα δημοφιλείς τραπεζικές εφαρμογές, ελέγχοντας τη λίστα των εφαρμογών που είναι εγκατεστημένες στη συσκευή και κατεβάζοντας τον κατάλληλο κώδικα ένεσης HTML για κάθε τραπεζική εφαρμογή. Αυτός ο κωδικός δημιουργεί μια ψεύτικη επικάλυψη, η οποία ενεργοποιείται όταν ο χρήστης αλληλεπιδρά με τη νόμιμη εφαρμογή τραπεζών και ζητά από τον χρήστη να εισαγάγει τα διαπιστευτήρια σύνδεσής του.
Μόλις ο χρήστης εισαγάγει τα διαπιστευτήρια σύνδεσής του, το κακόβουλο λογισμικό τα στέλνει στους εισβολείς, δίνοντάς τους πρόσβαση στον τραπεζικό λογαριασμό του χρήστη. Εφόσον το κακόβουλο λογισμικό μπορεί να εμποδίσει τον χρήστη να απενεργοποιήσει τις Υπηρεσίες Προσβασιμότητας, μπορεί να συνεχίσει να συλλέγει ευαίσθητες πληροφορίες και να υπονομεύει τη συσκευή του χρήστη.
Το Nexus Banking Trojan αποκτά τον έλεγχο των παραβιασμένων συσκευών
Το Nexus trojan είναι ένα κακόβουλο λογισμικό που διαθέτει διάφορες λειτουργίες που το βοηθούν να αποκτήσει τον έλεγχο του ευαίσθητου περιεχομένου, ειδικά των τραπεζικών λογαριασμών. Μία από τις βασικές του ικανότητες είναι η δυνατότητα καταγραφής πλήκτρων (keylogging) που μπορεί να χρησιμοποιηθεί για τη λήψη διαπιστευτηρίων σύνδεσης και άλλων ευαίσθητων πληροφοριών.
Επιπλέον, το Nexus μπορεί επίσης να διαχειρίζεται μηνύματα SMS, κλήσεις και ειδοποιήσεις. Μπορεί να διαβάσει, να υποκλέψει, να κρύψει, να διαγράψει, ακόμη και να στείλει μηνύματα κειμένου σε συγκεκριμένους αριθμούς ή σε όλες τις επαφές. Αυτό του επιτρέπει να λαμβάνει OTP και 2FA/MFA που αποστέλλονται μέσω μηνυμάτων κειμένου, καθώς και πληροφορίες από τον Επαληθευτή Google.
Το Nexus μπορεί επίσης να κάνει κρυφές τηλεφωνικές κλήσεις και να τις προωθήσει, καθώς και να αλλάξει τα στοιχεία επικοινωνίας. Αυτό σημαίνει ότι θα μπορούσε να χρησιμοποιηθεί για κακόβουλο λογισμικό Toll Fraud. Μπορεί να στείλει μηνύματα σε όλες τις επαφές, κάτι που θα μπορούσε να οδηγήσει στον πολλαπλασιασμό των ανεπιθύμητων μηνυμάτων SMS.
Επιπλέον, το trojan μπορεί να διαχειριστεί τις ειδοποιήσεις διαβάζοντας, υποκλοπές, απόκρυψη, ακόμη και δείχνοντας ψεύτικες. Μπορεί επίσης να ελέγξει εκτελούμενες διαδικασίες, να διαγράψει προγράμματα, να ανοίξει εφαρμογές, να κλειδώσει/ξεκλειδώσει τη συσκευή, να απενεργοποιήσει/απενεργοποιήσει τον ήχο, να ανοίξει URL μέσω προγραμμάτων περιήγησης, να εμφανίσει πλαστές επικαλύψεις ειδοποιήσεων συστήματος, να αποκτήσει λίστες λογαριασμών χρηστών και να λάβει διαπιστευτήρια σύνδεσης και υπόλοιπα για πορτοφόλια κρυπτονομισμάτων.
Το Nexus μπορεί επίσης να διαβάσει και να διαγράψει αρχεία από συνδεδεμένο εξωτερικό χώρο αποθήκευσης, τα οποία θα μπορούσαν να χρησιμοποιηθούν για να προκαλέσουν μολύνσεις αλυσίδας εισάγοντας επιπλέον κακόβουλο περιεχόμενο στις συσκευές. Αν και επί του παρόντος, φαίνεται ότι χρησιμοποιείται κυρίως για την απόκτηση πακέτων ένεσης HTML για τραπεζικές εφαρμογές, θα μπορούσε ενδεχομένως να τροποποιηθεί για να μολύνει συσκευές με πρόσθετο κακόβουλο λογισμικό, όπως το ransomware.
