וריאנט תוכנה זדונית של Coyote
טרויאן הבנקאות של Windows, המכונה Coyote, צץ כזן הזדוני הראשון שנצפה כשהוא מנצל לרעה את מסגרת הנגישות של Windows, UI Automation (UIA), כדי לגנוב נתוני משתמשים רגישים. Coyote, שנחשף לראשונה על ידי חוקרי אבטחת סייבר בשנת 2024, מכוון בעיקר למשתמשים ברזילאים והתפתח לשילוב טכניקה חדשה הממנפת את UIA כדי לאסוף אישורים הקשורים למגוון רחב של פלטפורמות בנקאיות ומטבעות קריפטוגרפיים.
תוכן העניינים
כלים לגיטימיים הפכו זדוניים
UIA הוא חלק מ-Microsoft .NET Framework ותוכנן במקור כדי לסייע לטכנולוגיות מסייעות, כגון קוראי מסך, לקיים אינטראקציה עם רכיבי ממשק משתמש ביישומי שולחן עבודה. עם זאת, יכולותיו הוכחו כחרב פיפיות. בדצמבר 2024, מומחי אבטחה הציגו הוכחת היתכנות המדגימה כי UIA עלול להיות מנוצל לגניבת נתונים וביצוע קוד בלתי מורשה.
כעת, Coyote יישם את התיאוריה הלכה למעשה. בדומה לטרויאנים של בנקאות אנדרואיד המשתמשים לרעה בשירותי נגישות כדי ללכוד מידע רגיש, Coyote מבצע מניפולציות ב-UIA כדי לנווט באלמנטים של האפליקציה ולחלץ אישורים יקרי ערך.
איך קויוטי צד נתונים
הטרויאן מתחיל את תהליך איסוף הנתונים שלו באמצעות ממשק ה-API של Windows GetForegroundWindow() כדי לקבוע איזה חלון פעיל כעת. לאחר מכן הוא משווה את כותרת החלון לרשימה מקודדת המכילה את כתובות האינטרנט של 75 בנקים ובורסות מטבעות קריפטוגרפיים ממוקדים, מספר שגדל מ-73 מטרות בתחילת 2025.
אם כותרת החלון אינה תואמת אף ערך ברשימה, Coyote משנה טקטיקה. הוא משתמש ב-UIA כדי לנתח את רכיבי הצאצא של ממשק החלון הפעיל, בניסיון לאתר כרטיסיות דפדפן או סרגלי כתובת. תוכן רכיבי ממשק המשתמש הללו נבדק שוב מול אותה רשימת יעד.
הרחבת יכולות ותכונות התגנבות
קויוטה מצוידת בפונקציות מעקב נוספות, כולל:
- רישום הקשות מקשים ליירוט אישורים שהוקלדו
- צילום מסך לתיעוד חזותי של פעילות המשתמש
- התקפות שכבת-על המחקות דפי כניסה לגיטימיים לבנקים
יתר על כן, הנוזקה מתפקדת ביעילות הן במצב מקוון והן במצב לא מקוון, ומבטיחה שמנגנוני איסוף האישורים שלה יישארו פעילים ללא קשר לקישוריות. גמישות זו משפרת את עמידותה ומרחיבה את משטח התקיפה שלה.
מדוע UIA משנה את כללי המשחק עבור מפתחי תוכנות זדוניות
בדרך כלל, גישה לתת-אלמנטים בתוך יישום אחר היא מורכבת, ודורשת הבנה מעמיקה של אופן המבנה של תוכנת היעד. על ידי ניצול UIA, Coyote עוקפת את המכשול הזה, ומקבלת נראות עמוקה לתוך רכיבי ממשק המשתמש הפנימיים של היישומים במאמץ מינימלי. יכולת זו מגדילה משמעותית את שיעור ההצלחה של גניבת אישורים.
האיום הגובר על נתונים פיננסיים
אימוץ אוטומציה של ממשק משתמש על ידי תוכנות זדוניות כמו Coyote מסמן התפתחות מטרידה באופן שבו תכונות מערכת לגיטימיות הופכות לנשק. עם 75 מוסדות פיננסיים שכבר נמצאים על הכוונת שלה ומתודולוגיית תקיפה מתקדמת בהתמדה, Coyote מדגישה את הצורך הדחוף בשיפור מנגנוני ניטור והגנה מפני ניצול לרעה של מסגרות נגישות.
