Crocodilus Banking Trojan
کارشناسان امنیت سایبری بدافزار بانکی اندروید جدیدی به نام کروکودیلوس را کشف کردند که عمدتاً کاربران اسپانیا و ترکیه را هدف قرار می دهد. برخلاف بسیاری از تهدیدات نوظهور که به عنوان نسخه های ابتدایی بدافزارهای موجود شروع می شوند، کروکودیلوس به عنوان یک تروجان بانکی کاملاً توسعه یافته و پیچیده وارد صحنه جرایم سایبری می شود.
فهرست مطالب
تکنیک های پیشرفته برای حداکثر خسارت
تمساح از تکنیک های مدرن مانند:
- قابلیت های کنترل از راه دور
- روی صفحه نمایش سیاه پوشانده می شود تا حضور خود را پنهان کند
- جمع آوری داده های پیشرفته از طریق ثبت دسترسی
مانند دیگر تروجان های بانکی، هدف آن تصاحب یک دستگاه (DTO) و اجازه دادن به مجرمان سایبری برای انجام تراکنش های متقلبانه است. تجزیه و تحلیل عمیق تر کد منبع و پیام های اشکال زدایی آن نشان می دهد که نویسنده بدافزار ترک زبان است.
برای فرار از شناسایی به عنوان Google Chrome مبدل شده است
Crocodilus برای دور زدن محدودیتهای امنیتی Android 13 و بالاتر با تغییر نام Google Chrome (نام بسته: "quizzical.washbowl.calamity") طراحی شده است. پس از نصب، برنامه جعلی مجوزهای سرویس دسترسی را درخواست می کند که به آن کنترل کامل بر دستگاه می دهد.
پس از فعالسازی، به یک سرور فرمان و کنترل از راه دور (C2) متصل میشود تا:
- دستورالعمل های بیشتر را دریافت کنید
- لیست برنامه های مالی هدفمند را دریافت کنید
- استفاده از پوشش های HTML برای سرقت اطلاعات کاربری
کیف پولهای ارزهای دیجیتال در تقاطع
کروکودیلوس فقط به برنامه های بانکی محدود نمی شود، بلکه کیف پول های ارزهای دیجیتال را نیز هدف قرار می دهد. به جای استفاده از صفحه ورود جعلی، قربانیان را با یک هشدار پشتیبان تقلبی فریب می دهد و به آنها هشدار می دهد که عبارت اولیه خود را در عرض 12 ساعت ذخیره کنند یا در خطر از دست دادن دارایی های خود باشند.
این تاکتیک مهندسی اجتماعی، قربانیان را دستکاری میکند تا به سمت عبارات اولیه خود حرکت کنند، که سپس از طریق سوء استفاده از خدمات دسترسی برداشت میشوند. با این اطلاعات، مهاجمان می توانند کنترل کیف پول را به دست گرفته و وجوه آن را تخلیه کنند.
نظارت مستمر و سرقت مدارک
Crocodilus طوری طراحی شده است که دائماً در پسزمینه اجرا شود، راهاندازی برنامهها را به دقت زیر نظر داشته باشد و برای رهگیری اعتبارنامهها، همپوشانی ایجاد کند. می تواند:
- نظارت بر همه رویدادهای دسترسی
- تمام عناصر نمایش داده شده روی صفحه را ضبط کنید
- برای دور زدن احراز هویت دو مرحله ای از Google Authenticator اسکرین شات بگیرید
با انجام این کار، کروکودیلوس تضمین می کند که اپراتورهایش متوجه هیچ گونه فعالیت ورود نمی شوند.
حالت مخفی کاری: پنهان کردن فعالیت های مضر
برای شناسایی نشدن، کروکودیل از تاکتیک های مخفی کاری مختلفی استفاده می کند، از جمله:
- نمایش یک پوشش صفحه سیاه برای پنهان کردن فعالیت های غیرمجاز
- بی صدا کردن صداها برای جلوگیری از شنیدن هشدارهای مشکوک توسط قربانیان
این اقدامات درک این موضوع را برای قربانیان سختتر میکند که دستگاههایشان به خطر افتاده است.
یک آرسنال قدرتمند از ویژگی های مخرب
کروکودیلوس با طیف وسیعی از قابلیتهای تهدیدآمیز طراحی شده است که به آن اجازه میدهد کنترل کامل یک دستگاه آلوده را در دست بگیرد. میتواند برنامههای خاصی را راهاندازی کند، خود را از دستگاه حذف کند تا از شناسایی جلوگیری کند و اعلانهای فشاری برای دستکاری رفتار کاربر ارسال کند. این بدافزار همچنین توانایی ارسال پیامک به مخاطبین انتخاب شده یا همه مخاطبین، بازیابی لیست مخاطبین و واکشی لیستی از برنامه های نصب شده را دارد که به مهاجمان دید جامعی از ردپای دیجیتال قربانی می دهد.
علاوه بر این، Crocodilus میتواند پیامهای SMS را بخواند، امتیازات Device Admin را برای به دست آوردن کنترل عمیقتر درخواست کند و حالت پوشش سیاه را برای پنهان کردن فعالیتهای ناامن خود فعال کند. این به طور منظم تنظیمات سرور فرمان و کنترل (C2) خود را به روز می کند و اطمینان می دهد که می تواند دستورالعمل های جدید اپراتورهای خود را تطبیق دهد و به آن پاسخ دهد. برای پیشبرد عملیات مخفیانهاش، میتواند صدا را فعال یا غیرفعال کند، keylogging را برای گرفتن ورودیهای کاربر تغییر دهد، و حتی خود را به مدیر پیشفرض SMS تبدیل کند، و به آن اجازه میدهد تا ارتباطات را بدون شناسایی رهگیری و دستکاری کند.
تمساح: تهدید جدید بانکداری تلفن همراه
ظهور کروکودیلوس یک تشدید ناامن در پیچیدگی بدافزار بانکداری تلفن همراه را نشان میدهد. برخلاف بسیاری از تهدیدات تازه کشف شده، کروکودیلوس از همان ابتدا بالغ است و از تکنیک های پیشرفته Device-Takeover، ویژگی های کنترل از راه دور و حملات پوشش سیاه برای به خطر انداختن کاربران استفاده می کند.
این بدافزار با اجرای مخفیانه و مجموعه ای از ویژگی های قوی خود، سابقه جدیدی را برای تهدیدات بانکی اندروید ایجاد می کند و ثابت می کند که مجرمان سایبری به طور مداوم تاکتیک های خود را بهبود می بخشند تا از اقدامات امنیتی جلوتر بمانند.
