Godfather Mobile Malware

Uudelleen parannettu versio pahamaineisesta Android-haittaohjelmasta Godfather on herättänyt huomiota kyberturvallisuusmaailmassa. Ottamalla käyttöön eristettyjä virtuaaliympäristöjä tartunnan saaneilla laitteilla, tämä huomaamaton haittaohjelma mahdollistaa nyt reaaliaikaisen vakoilun, tunnistetietojen varastamisen ja talouspetokset, kaikki pysyen piilossa laillisten pankkisovellusten varjolla.

Virtuaalimaailmat oikeita varkauksia varten

Päivitetty Godfather-haittaohjelma käyttää virtualisointikehystä, joka on upotettu näennäisesti harmittomaan APK-tiedostoon. Asennuksen jälkeen se tarkistaa yli 500 potentiaalisen kohdesovelluksen olemassaolon, mukaan lukien pankki-, kryptovaluutta- ja verkkokauppa-alustat, ja siirtää ne virtuaaliympäristöön. Tämä järjestely jäljittelee FjordPhantomin vuonna 2023 käyttämää taktiikkaa, mutta menee paljon laajemmalle ja hienostuneemmalle alueelle.

Toisin kuin tavallinen Android-haittaohjelma, Godfather hyödyntää virtualisointia kohdesovellusten suorittamiseen kontrolloiduissa säilöissä, mikä mahdollistaa:

• Reaaliaikainen tunnistetietojen varastaminen ja taustajärjestelmän vastausten sieppaus
• Saumaton visuaalinen matkiminen laillisista sovelluksista
• Androidin sisäänrakennettujen turvamekanismien kiertäminen

Näkymätön valtaus StubActivityn kautta

Tämän harhaanjohtavan menetelmän olennainen osa on StubActivityn käyttö. StubActivity on haittaohjelman sisällä oleva paikkamerkki, joka käynnistää virtualisoituja sovelluksia paljastamatta omaa todellista käyttöliittymäänsä tai logiikkaansa. Kun uhri yrittää käyttää laillista pankkisovellustaan, Godfather sieppaa toiminnon esteettömyyspalvelunsa oikeuksilla ja ohjaa sen virtuaalikonttiin, näyttäen todellisen sovellusliittymän ja saaden täyden hallinnan käyttäjän vuorovaikutuksesta.

Tämä temppu huijaa Androidin luulemaan, että se käyttää turvallista sovellusta, samalla kun kaikkia arkaluontoisia toimintoja PIN-koodin kirjoittamisesta tapahtumien vahvistamiseen valvotaan ja kaapataan.

Konepellin alla: Työkalut ja tekniikat

Monimutkaisten toimintojensa suorittamiseksi Godfather luottaa avoimen lähdekoodin teknologioiden ja älykkään suunnittelun yhdistelmään:

VirtualApp-moottori – mahdollistaa eristettyjen säilöjen luomisen.

Xposed Framework – kytkeytyy Android-rajapintoihin syötteiden ja vastausten tallentamiseksi.

Intent-huijaus – kaappaa laillisille sovelluksille tarkoitetut komennot ja uudelleenreitittää ne.

Virtuaalinen tiedostojärjestelmä ja prosessi-ID:t – tukee saumatonta ympäristön replikointia.

Tärkeillä hetkillä haittaohjelma näyttää väärennettyjä lukitusnäyttöjä tai päivitysnäyttöjä kehottaakseen käyttäjiä antamaan arkaluontoisia tunnistetietoja, jotka sitten päätyvät hyökkääjien tietoon.

Katsaus menneisyyteen: Kummisetän evoluutio

Kummisetä ilmestyi ensimmäisen kerran maaliskuussa 2021 ja on sittemmin kehittynyt merkittävästi. Joulukuun 2022 muunnelmassaan haittaohjelma kohdisti HTML-peittokerroshyökkäyksiä 400 sovellukseen 16 maassa. Nykyinen versio käyttää kuitenkin täyttä virtualisointia, mikä laajentaa sen ulottuvuuden yli 500 sovellukseen maailmanlaajuisesti. Vaikka uusin kampanja näyttää keskittyvän kymmeneen turkkilaiseen pankkiin, infrastruktuuri on valmiina maailmanlaajuiseen käänteeseen.

Kuinka pysyä suojattuna

Vähentääkseen riskiä joutua edistyneiden uhkien, kuten Kummisetä, uhriksi, käyttäjien tulisi noudattaa näitä kyberturvallisuuskäytäntöjä:

• Lataa turvallisesti
• Asenna sovelluksia vain Google Playsta tai luotettavista lähteistä.
• Vältä APK-tiedostojen sivulatausta, ellei julkaisija ole hyvämaineinen ja vahvistettu.
• Harjoittele sovellusten valppautta
• Pidä Google Play Protect käytössä.
• Valvo sovellusten käyttöoikeuksia, erityisesti esteettömyyspalveluiden pyyntöjä.
• Suhtaudu epäluuloisesti odottamattomiin lukitusnäyttöihin tai päivityskehotteisiin.

Godfatherin uusin versio viestii siirtymisestä kohti kehittyneempiä mobiiliuhkia, jotka hämärtävät rajaa haitallisen toiminnan ja laillisen sovellustoiminnan välillä. Ajantasainen ja varovainen pysyminen on ensimmäinen puolustuslinja.