BankBot RAT

BankBot on tehokas Android-etäkäyttötroijalainen, joka asennuksen jälkeen voi ottaa laajan hallinnan laitteesta. Se hyödyntää Androidin esteettömyysominaisuuksia oikeuksien laajentamiseen, käyttöliittymätoimintojen automatisointiin, arkaluonteisten tietojen keräämiseen ja luvattomien toimintojen suorittamiseen, jotka voivat johtaa talouspetoksiin, identiteettivarkauksiin ja haittaohjelmien käyttöönottoon. Kaikki vahvistetut tartunnat vaativat välitöntä korjausta.

Stealth ja laiteprofilointi

BankBot välttää aktiivisesti analyysia ja kohdistaa toimintansa vain valittuihin ympäristöihin. Se suorittaa emulaattori- ja hiekkalaatikkotarkistuksia, tutkii laitteen ominaisuuksia (merkki, malli, ROM) ja säätää toimintaansa niin, että se toimii valituilla oikeilla laitteilla, mutta pysyy passiivisena tai välttelevänä laboratorioympäristöissä. Haittaohjelma kerää ja kirjaa myös laitteen telemetriatietoja – Android-version ja -koontiversion, tuotemerkin ja mallin, valmistajan, laitteisto- ja koontiversiotunnukset sekä tuotenimen – profiloidakseen kohteita ja ohittaakseen ei-tuetut laitteet.

Hallinnan saaminen: Esteettömyysongelmien väärinkäyttö ja hiljainen itsepintaisuus

Keskeinen taktiikka on esteettömyyspalveluiden väärinkäyttö. BankBot voi avata esteettömyysasetukset ja manipuloida käyttäjää sosiaalisesti ottamaan käyttöön haitallisen esteettömyyspalvelun. Tällä luvalla se voi automatisoida klikkauksia, kirjoittaa tekstiä, ottaa käyttöön muita käyttöoikeuksia ja suorittaa toimintoja ilman käyttäjän suostumusta. Se voi myös hankkia laitteen järjestelmänvalvojan oikeudet. Selviytyäkseen uudelleenkäynnistyksissä ja ylläpitääkseen pitkäaikaista pääsyä haittaohjelma ajoittaa toistuvan tehtävän (noin 30 sekunnin välein), joka vaatii verkkoyhteyttä ja jatkuu laitteen uudelleenkäynnistyksen jälkeen.

Ominaisuudet — Mitä BankBotin toiminnot

BankBotin ominaisuuksiin kuuluu lähes täydellinen hallinta tartunnan saaneesta puhelimesta. Tärkeimpiä ominaisuuksia ovat: järjestelmän äänen mykistäminen hälytysten (soittoäänet, ilmoitukset, media) estämiseksi, tekaistujen kehotteiden näyttäminen koko näytön kokoisina (esimerkiksi "Henkilökohtaisten tietojen vahvistus") uhrien häiritsemiseksi käyttöoikeuksien aktivoinnin aikana sekä palveluiden ja järjestelmänvalvojan tilan hiljainen käyttöönotto. Se voi ohjelmallisesti avata tai sulkea sovelluksia, päivittää näyttöjä, simuloida kosketuksia ja pyyhkäisyjä, avata näytön lukituksen, hallita puheluiden siirtoa, lähettää tekstiviestejä, asentaa tai poistaa APK-tiedostoja, ladata tiedostoja, ottaa valokuvia ja kuvakaappauksia, piilottaa ikkunoita ja asettaa tekstiä syöttökenttiin. Haittaohjelma voi myös lukea Androidin leikepöytää ja purkaa sen sisällön – paljastaen salasanoja, avainsanoja ja muita salaisuuksia – ja se tallentaa yhteystietoja, tekstiviestejä, asennettujen sovellusten luetteloita, laitteen tilan ja maantieteellisen sijainnin.

Pankki- ja kryptovaluuttojen kohdentaminen – mitkä sovellukset ovat vaarassa

BankBot vastaanottaa ohjeita komento- ja ohjauspalvelimelta, joka toimittaa luettelon talous- ja pankkisovelluksista, joita voidaan kohdistaa tunnistetietojen varkauksien tai vilpillisten tapahtumien varalta. Se kohdistaa hyökkäyksensä myös erityisesti moniin kryptovaluuttalompakoihin automatisoimalla lompakkosovellusten käyttöliittymiä Accessibilityn kautta lukemaan arkaluonteisia esineitä, kuten siemenlausekkeita, yksityisiä avaimia tai tapahtumatietoja. Esimerkkejä havaituista lompakkokohteista ovat:

• AUTOS, Bitcoin, BitKeep, Blockchain-lompakko, Coin98 Super Wallet, Coinomi, Exodus, imToken, Krystal, MetaMask, MeWallet, SafePal, Status (Ethereum-kryptolompakko), TokenPocket, Trust Wallet, Valor.

Huijaustekniikat ja sovellusten naamiointi

Epäilysten vähentämiseksi BankBot voi muuttaa kuvakettaan ja nimeään tekeytyäkseen laillisiksi palveluiksi (esimerkiksi esiintymällä Google Newsina) ja avata sitten luotettavan näköistä verkkosisältöä WebView'n sisällä. Näitä kosmeettisia muutoksia yhdistettynä väärennettyihin reCAPTCHA-tyyppisiin kehotteisiin tai koko näytön vahvistusikkunoihin käytetään huijaamaan käyttäjiä myöntämään käyttöoikeuksia tai olemaan vuorovaikutuksessa sovelluksen kanssa, kun taustalla suoritetaan haitallisia toimintoja.

Miten käyttäjät tyypillisesti päätyvät BankBotiin

Monissa tapauksissa uhrit asentavat BankBotin itse tultuaan huijatuiksi. Yleisiä tartuntareittejä ovat:

• APK-tiedostojen sivulataus hyökkääjän hallitsemilta sivustoilta tai kolmannen osapuolen kaupoista.
• Väärennetyt tai haitalliset sovellukset, joita levitetään epäluotettavien sovellusvarastojen kautta.
• Epäilyttävien sivustojen harhaanjohtavien mainosten ja ponnahdusikkunoiden kautta tapahtuvat asennukset tai lataukset.
• Linkit tekstiviesteissä, viestisovelluksissa tai tietojenkalasteluviesteissä.

Sosiaalinen manipulointi on keskeistä levityksessä: rikolliset laativat vakuuttavia houkuttimia saadakseen käyttäjät lataamaan ja suorittamaan haittaohjelman.

Riskit ja odotettu vaikutus

Tartunnan saanut laite voi kärsiä tilin kaappauksista, luvattomista taloudellisista tapahtumista, identiteettien varastuksista ja yksityisyyden menetyksestä. Esteettömyyshyökkäysten, hiljaisen pysyvyyden, laiteprofiloinnin ja kohdennettujen hyökkäysten yhdistelmä pankki- ja kryptosovelluksiin tekee BankBotista erityisen vaarallisen käyttäjille, joilla on puhelimissaan taloussovelluksia tai kryptolompakoita.

Välittömät eristämis- ja toipumistoimenpiteet

Ennaltaehkäisy

Pidä laitteen käyttöjärjestelmä ja sovellukset ajan tasalla, vältä APK-tiedostojen sivulatausta tai sovellusten asentamista epäluotettavista lähteistä, poista automaattinen asennus käytöstä tuntemattomista lähteistä, suhtaudu epäillen kehotteisiin, jotka pyytävät ottamaan käyttöön esteettömyysominaisuudet tai laitteen hallinnan ominaisuudet, ja käytä luotettavaa mobiilitietoturvatuotetta, joka pystyy havaitsemaan ja poistamaan troijalaisia ja mainosohjelmia. Kouluta käyttäjiä ja työntekijöitä sosiaalisen manipuloinnin taktiikoista, jotka mahdollistavat sivulatauksen ja käyttöoikeuksien myöntämisen.

Yhteenveto – Käsittele BankBotia riskialttiina

BankBot on huomaamaton ja monipuolinen Android-haittaohjelma, joka yhdistää esteettömyysongelmiin liittyvän väärinkäytön, ympäristötarkistukset, pysyvät ajoitetut tehtävät, käyttöliittymän automatisoinnin ja kohdennetun pankki- ja kryptovarojen varkauden. Koska se voi aiheuttaa vakavia taloudellisia ja yksityisyyteen liittyviä haittoja, kaikkia epäiltyjä tartuntoja tulisi käsitellä kiireellisinä: poista haittaohjelma, suojaa tilit puhtaalta laitteelta ja ryhdy yllä mainittuihin ennaltaehkäiseviin toimenpiteisiin tulevien altistusten minimoimiseksi.