Perseus-pankkihaittaohjelma

Kyberturvallisuusanalyytikot ovat tunnistaneet uuden Android-haittaohjelmaperheen, joka tunnetaan nimellä Perseus Android -haittaohjelma. Näitä käytetään aktiivisesti laitteiden haltuunottoon (DTO) ja taloudellisten petosten toteuttamiseen. Tämä uhka edustaa merkittävää mobiilihaittaohjelmien kehitysaskelta, jossa vakiintuneet tekniikat yhdistyvät parempaan operatiiviseen joustavuuteen.

Evoluutio todistetuista haittaohjelmalinjoista

Perseus on rakennettu Cerberus-haittaohjelmien ja Phoenix Android -haittaohjelmien pohjalle, jotka molemmat ovat tunnettuja Android-pankkitroijalaisia. Ensimmäisen kerran elokuussa 2019 dokumentoitu Cerberus väärinkäytti Androidin esteettömyyspalveluita laajentaakseen käyttöoikeuksia, kerätäkseen arkaluonteisia tietoja ja käyttääkseen päällekkäishyökkäyksiä tunnistetietojen varastamiseksi. Sen lähdekoodin vuotamisen jälkeen vuonna 2020 siitä syntyi useita johdannaisia, kuten Alien, ERMAC ja Phoenix.

Perseus laajentaa Phoenix-koodikantaa ja kehittyy mukautuvammaksi ja tehokkaammaksi alustaksi. Laaja sovelluksen sisäinen lokikirjaus ja epätavalliset koodivirheet viittaavat siihen, että uhkatoimijat ovat saattaneet hyödyntää laajojen kielimallien (LLM) apua kehitysvaiheessa.

Tartuntavektori: Sosiaalinen manipulointi IPTV-sovellusten kautta

Jakelustrategia perustuu vahvasti sosiaaliseen manipulointiin. Perseus-haittaohjelmia levitetään tietojenkalastelusivustoilla isännöityjen dropper-sovellusten kautta, jotka on usein naamioitu IPTV-palveluiksi. Tämä lähestymistapa heijastaa Massiv Android -haittaohjelmaan liittyviä kampanjoita, jotka kohdistuvat käyttäjiin, jotka haluavat luvattomasti käyttää premium-suoratoistosisältöä.

Upottamalla haitallisia hyötykuormia näennäisesti laillisiin IPTV-sovelluksiin hyökkääjät vähentävät käyttäjien epäilyksiä ja lisäävät merkittävästi tartuntojen onnistumisastetta. Kampanja on kohdistettu pääasiassa käyttäjiin useilla alueilla, kuten Turkissa, Italiassa, Puolassa, Saksassa, Ranskassa, Yhdistyneissä arabiemiirikunnissa ja Portugalissa.

Haittaohjelmien käyttöönottoketju ja tunnetut artefaktit

Perseus-jakautumisekosysteemin osaksi on tunnistettu useita sovelluksia:

• Roja App Directa (com.xcvuc.ocnsxn) – tiputussovellus
• TvTApp (com.tvtapps.live) – Perseuksen ensisijainen hyötykuorma
• PolBox Tv (com.streamview.players) – Toissijainen hyötykuormavariantti

Nämä sovellukset toimivat haittaohjelmien asentamisreiteinä vaarantuneille laitteille.

Edistyneet laitteen haltuunottoominaisuudet

Perseus hyödyntää Androidin esteettömyyspalveluita etäistuntojen muodostamiseen, mikä mahdollistaa reaaliaikaisen valvonnan ja tarkan vuorovaikutuksen tartunnan saaneiden laitteiden kanssa. Tämä toiminto mahdollistaa laitteen täyden haltuunoton ja antaa hyökkääjille laajan hallinnan käyttäjien toiminnasta.

Toisin kuin perinteiset pankkitroijalaiset, Perseus menee tunnistetietojen keräämistä pidemmälle valvomalla aktiivisesti muistiinpanosovelluksia. Tämä toiminta osoittaa, että se keskittyy tarkoituksella sellaisten arvokkaiden henkilö- ja taloustietojen keräämiseen, joita ei välttämättä tallenneta perinteisiin tunnistetietokenttiin.

Ydinhyökkäystekniikat: Päällekkäisyys ja syötteen sieppaus

Aktiivisena ollessaan Perseus käyttää vakiintuneita Android-pankkisovellusten haittaohjelmatekniikoita. Se käynnistää päällekkäishyökkäyksiä näyttääkseen petollisia käyttöliittymiä laillisten pankki- ja kryptovaluuttasovellusten päällä ja tallentaakseen käyttäjien tunnistetiedot reaaliajassa. Lisäksi näppäinpainallusten lokitietoja käytetään arkaluonteisten syöttötietojen sieppaamiseen niiden syöttämisen yhteydessä.

Komento- ja ohjausoperaatiot: Etämanipulaatiokehys

Haittaohjelmaa hallitaan komento- ja hallintajärjestelmän (C2) avulla, jonka avulla operaattorit voivat antaa komentoja, manipuloida laitteen toimintaa ja valtuuttaa petollisia tapahtumia. Keskeisiä tuettuja komentoja ovat:

• Tiedonkeruu ja valvonta (esim. muistiinpanojen tallentaminen sovelluksista, kuten Google Keep, Evernote ja Microsoft OneNote)
• Etäistuntojen hallinta VNC:n ja HVNC:n kautta reaaliaikaista tai jäsenneltyä käyttöliittymävuorovaikutusta varten
• Kuvakaappaus esteettömyyspalveluilla
• Sovellusten hallinta, mukaan lukien sovellusten käynnistäminen tai rajoitusten poistaminen
• Käyttäjien harhautustaktiikat, kuten mustan näytön peittokuvat ja äänen mykistys
• Pakotettu asennus tuntemattomista lähteistä ja simuloitu käyttäjän vuorovaikutus

Tämä kattava komentojoukko mahdollistaa hyökkääjien ylläpitää pysyvää ja peiteltyä hallintaa vaarantuneista laitteista.

Väistötaktiikat ja ympäristötietoisuus

Perseus sisältää edistyneitä anti-analyysitekniikoita havaitsemisen välttämiseksi. Se suorittaa laajoja ympäristötarkistuksia, mukaan lukien virheenkorjaustyökalujen tunnistaminen, SIM-kortin olemassaolon tarkistaminen, asennettujen sovellusten määrän analysointi ja akun varaustilastojen validointi varmistaakseen toiminnan oikealla laitteella.

Haittaohjelma kokoaa nämä tiedot "epäilypistemääräksi", joka lähetetään C2-palvelimelle. Tämän pistemäärän perusteella operaattorit päättävät, jatkavatko he hyökkäystä vai pysyvätkö he passiivisina välttääkseen havaitsemisen.

Strategiset vaikutukset: Tehokkuus evoluution kautta

Perseus on esimerkki Android-haittaohjelmien jatkuvasta kehityksestä, jossa uusia uhkia rakennetaan yhä enemmän olemassa olevien kehysten päälle sen sijaan, että niitä kehitettäisiin tyhjästä. Yhdistämällä Cerberuksen ja Phoenixin perimät ominaisuudet kohdennettuihin parannuksiin, kuten muistiinpanojen seurantaan ja parannettuun etähallintaan, Perseus saavuttaa tasapainon tehokkuuden ja innovaatioiden välillä.

Tämä lähestymistapa heijastaa kyberrikollisuuden laajempaa trendiä: sopeutumiskyvyn, skaalautuvuuden ja arvokkaan tiedon louhinnan priorisointia, mikä tekee nykyaikaisista haittaohjelmakampanjoista tehokkaampia ja vaikeampia havaita.