Godfather Mobile Malware
גרסה משופרת חדשה של הנוזקה הידועה לשמצה של אנדרואיד, Godfather, עושה גלים בעולם אבטחת הסייבר. על ידי פריסת סביבות וירטואליות מבודדות על מכשירים נגועים, נוזקה חשאית זו מאפשרת כעת ריגול בזמן אמת, גניבת אישורים והונאה פיננסית, והכל תוך שהיא נשארת מוסתרת תחת מסווה של אפליקציות בנקאיות לגיטימיות.
תוכן העניינים
עולמות וירטואליים לגניבה אמיתית
נוזקת Godfather המשודרגת משתמשת במסגרת וירטואליזציה המוטמעת בתוך קובץ APK לכאורה תמים. לאחר ההתקנה, היא בודקת נוכחות של למעלה מ-500 אפליקציות יעד פוטנציאליות, כולל פלטפורמות בנקאיות, מטבעות קריפטוגרפיים ומסחר אלקטרוני, ומעבירה אותן לסביבה וירטואלית. הגדרה זו מחקה טקטיקה בה השתמשה FjordPhantom בשנת 2023 אך חורגת בהרבה בהיקפה ובתחכום.
בניגוד לתוכנות זדוניות סטנדרטיות לאנדרואיד, Godfather ממנפת וירטואליזציה כדי להריץ אפליקציות יעד בתוך מכולות מבוקרות, מה שמאפשר:
- גניבת אישורים בזמן אמת ויירוט תגובה של backend
- חיקוי ויזואלי חלק של אפליקציות לגיטימיות
- התחמקות ממנגנוני האבטחה המובנים של אנדרואיד
השתלטות בלתי נראית דרך StubActivity
חלק קריטי בהונאה זו הוא השימוש ב-StubActivity, מיקום בתוך הנוזקה שמפעיל אפליקציות וירטואליות מבלי לחשוף ממשק משתמש או לוגיקה אמיתיים משלה. כאשר הקורבן מנסה לגשת לאפליקציית הבנקאות הלגיטימית שלו, Godfather מיירט את הפעולה באמצעות הרשאות שירות הנגישות שלו ומפנה אותה למכולה הווירטואלית, תוך הצגת ממשק האפליקציה האמיתי תוך קבלת שליטה מלאה על אינטראקציות המשתמש.
הטריק הזה גורם לאנדרואיד לחשוב שהוא מפעיל אפליקציה בטוחה, בעוד שכל הפעולות הרגישות, החל מהקלדת קוד סודי ועד לאישור עסקאות, מנוטרות ונגנבות.
מתחת למכסה המנוע: כלים וטכניקות
כדי לבצע את פעולותיה המורכבות, Godfather מסתמכת על שילוב של טכנולוגיות קוד פתוח והנדסה חכמה:
מנוע VirtualApp – מניע את יצירתן של מכולות מבודדות.
Xposed Framework – מתחבר ל-API של אנדרואיד כדי להקליט קלט ותגובות.
זיוף מכוון – חוטף פקודות המיועדות לאפליקציות לגיטימיות ונותב אותן מחדש.
מערכת קבצים וירטואלית ומזהי תהליכים – תומכת בשכפול סביבה חלק.
ברגעים מרכזיים, הנוזקה מכסה מסכי נעילה או מסכי עדכון מזויפים כדי לבקש ממשתמשים להזין אישורים רגישים, אשר לאחר מכן מועברים לתוקפים.
מבט לאחור: האבולוציה של הסנדק
הסנדק הופיע לראשונה במרץ 2021 ומאז התפתח באופן משמעותי. בגרסה מדצמבר 2022, הנוזקה כיוונה ל-400 אפליקציות ב-16 מדינות באמצעות התקפות HTML. הגרסה הנוכחית, לעומת זאת, משתמשת בווירטואליזציה מלאה, ומרחיבה את טווח ההגעה שלה ליותר מ-500 אפליקציות ברחבי העולם. בעוד שהקמפיין האחרון נראה כמתמקד בתריסר בנקים טורקיים, התשתית קיימת כדי להסתובב ברחבי העולם.
איך להישאר מוגנים
כדי להפחית את הסיכון ליפול קורבן לאיומים מתקדמים כמו Godfather, על המשתמשים לפעול לפי שיטות העבודה המומלצות הבאות בתחום אבטחת הסייבר:
- הורד בבטחה
- התקן אפליקציות רק מ-Google Play או ממקורות מהימנים.
- הימנעו מטעינה צדדית של קבצי APK אלא אם כן המפיץ הוא בעל מוניטין ומאומת.
- תרגול ערנות באפליקציות
- השאר את Google Play Protect מופעל.
- ניטור הרשאות אפליקציות, במיוחד בקשות לשירותי נגישות.
- היו חשדניים לגבי מסכי נעילה או הנחיות עדכון בלתי צפויות.
הגרסה האחרונה של Godfather מאותתת על מעבר לאיומי מובייל מתוחכמים יותר, אשר מטשטשים את הגבול בין פעילות זדונית להתנהגות אפליקציות לגיטימית. שמירה על מידע וזהירות היא קו ההגנה הראשון.
