טרויאן בנקאי ERMAC V3.0
חוקרי אבטחת סייבר ניתחו את ERMAC 3.0, הגרסה האחרונה של סוס טרויאני בנקאות אנדרואיד, וחשפו הן יכולות מתקדמות והן חולשות קריטיות בתשתית של מפעיליו. תוכנה זדונית זו מייצגת צעד משמעותי קדימה באיומי הבנקאות הסלולרית, ומכוונת למגוון רחב של פלטפורמות פיננסיות ודיגיטליות.
תוכן העניינים
מסרברוס ל-ERMAC 3.0: אבולוציה זדונית
ERMAC, שתועד לראשונה בספטמבר 2021, שורשיו במשפחות הידועות לשמצה של Cerberus ו-BlackRock. הנוזקה מיוחסת לגורם איום המכונה DukeEugene והתפתחה בהתמדה מהתקפות שכבת-על מוקדמות לפעולה מתוחכמת של תוכנות זדוניות כשירות (MaaS).
ERMAC 3.0 מאיים כעת על למעלה מ-700 יישומים, המשתרעים על פני שירותי בנקאות, קניות ומטבעות קריפטוגרפיים. זנים אחרים של תוכנות זדוניות, כגון Hook (ERMAC 2.0), Pegasus ו-Loot, חולקים שושלת עם ERMAC, כשהם שואלים ומשנים רכיבי קוד שעברו מדור לדור בגירסאות עוקבות.
ניתוח ערכת הכלים של תוכנות זדוניות
חוקרים חשפו את קוד המקור המלא של ERMAC 3.0, וחשפו את המבנה המודולרי שלו. ערכת הכלים מורכבת ממספר רכיבים מחוברים, שלכל אחד מהם תפקיד קריטי בניהול קמפיינים גדולים של פשעי סייבר:
שרת C2 Backend – מאפשר לתוקפים לנהל מכשירים נגועים, לאחזר יומני SMS, אישורים גנובים ונתוני מכשירים.
פאנל חזיתי – מספק ממשק מפעיל להוצאת פקודות, פריסת שכבות-על והצגת מידע שנחשף.
שרת Exfiltration – שרת המופעל על ידי Golang המוקדש לגניבת נתונים וניהול מכשירים שנפגעו.
ERMAC Backdoor – שתל אנדרואיד מבוסס קוטלין המסוגל לשלוט מרחוק, לאסוף נתונים ולהתחמק ממכשירים הממוקמים במדינות חבר העמים.
ERMAC Builder – כלי תצורה שמאפשר אוטומציה של יצירת קבצי APK זדוניים על ידי התאמה אישית של פרטי השרת ופרמטרים של דלת אחורית.
תכונות חדשות ב-ERMAC 3.0
הדור השלישי של טרויאן מציג מספר שדרוגים לעומת קודמיו. אלה כוללים:
- טכניקות הזרקת טפסים מורחבות לגניבת אישורים.
- לוח פיקוד ובקרה (C2) שעוצב מחדש להפעלה יעילה יותר.
- דלת אחורית חדשה לאנדרואיד עם תכונות משופרות של מניפולציה במכשיר.
- תקשורת מאובטחת באמצעות הצפנת AES-CBC.
סדקים בתשתית הפלילית
למרות יכולותיו המשופרות, ERMAC 3.0 סובל משגיאות תפעוליות חמורות. חוקרים חשפו פגמים, כולל סוד JWT מקודד, אסימון נושא סטטי של מנהל מערכת, אישורי root ברירת מחדל, ואפילו רישום בלתי מוגבל בלוח הבקרה של המנהל. חולשות אלו מדגישות לא רק את היגיינת האבטחה הירודה של המפעילים, אלא גם מספקות נקודות כניסה חשובות למגינים המבקשים לנטר, לזהות ולשבש את פעילות הטרויאן בקמפיינים בעולם האמיתי.
שמירה על בטיחות מפני איומים ניידים
חשיפת הפעולות הפנימיות של ERMAC 3.0 משמשת כתזכורת לתחכום הגובר של טרויאנים בבנקאות אנדרואיד. בעוד פושעי סייבר ממשיכים לשפר את הכלים שלהם, טעויותיהם עדיין יכולות להיות מנוצלות לטובת צוותי האבטחה. עבור משתמשים יומיומיים, שמירה על ערנות נותרה קו ההגנה היעיל ביותר. התקנת אפליקציות רק ממקורות מהימנים, עדכון מכשירים בתיקוני האבטחה האחרונים והימנעות מקישורים או קבצים מצורפים חשודים הם כולם נהלים קריטיים. על ידי שמירה על זהירות ופרואקטיביות, משתמשים יכולים להפחית משמעותית את הסיכון שלהם ליפול קורבן לאיומים כמו ERMAC 3.0.
