AntiDot zlonamjerni softver za Android

Istraživači kibernetičke sigurnosti otkrili su AntiDot, sofisticirani zlonamjerni softver za Android koji je zarazio tisuće uređaja u stotinama zlonamjernih kampanja. Povezan s prijetnjom poznatom kao LARVA-398, ovaj zlonamjerni softver ilustrira rastuću opasnost koju predstavljaju ponude mobilnog zlonamjernog softvera kao usluge (MaaS) na dark webu.

Rastuća prijetnja: Razmjeri i opseg napada

AntiDot je povezan s 273 različite kampanje, kompromitirajući preko 3775 Android uređaja. Kampanje su visoko ciljane, često temeljene na jeziku i geografskoj lokaciji, što sugerira selektivno profiliranje žrtava. Zlonamjerni softver se prvenstveno distribuira putem zlonamjernih reklamnih mreža i phishing kampanja, uključujući lažna ažuriranja za Google Play.

MaaS za mobilne uređaje: Poslovni model LARVA-398

AntiDot, reklamiran kao rješenje „tri u jednom“, prodaje se na podzemnim forumima, pružajući prijetnjama moćan skup alata za:

• Snimanje zaslona putem zloupotrebe pristupačnosti
• Presretanje SMS-a
• Izdvajanje podataka iz aplikacija trećih strana

Ova komercijalizacija učinila ga je dostupnim široj skupini kibernetičkih kriminalaca, snižavajući barijeru za pokretanje naprednih mobilnih napada.

Napredne mogućnosti: Što AntiDot može učiniti

AntiDot je opremljen širokim rasponom zlonamjernih mogućnosti koje napadačima omogućuju održavanje trajne i prikrivene kontrole nad zaraženim uređajima. Izvodi napade prikazivanjem lažnih prijavnih zaslona koji uvjerljivo oponašaju legitimne aplikacije, čime krade korisničke vjerodajnice. Zlonamjerni softver također bilježi pritiske tipki i prati sadržaj zaslona kako bi snimio osjetljive informacije. Koristeći Androidov MediaProjection API, može daljinski upravljati uređajem, a istovremeno održavati komunikaciju u stvarnom vremenu sa svojim poslužiteljima za naredbe i kontrolu putem WebSocket veza.

AntiDot zloupotrebljava usluge pristupačnosti kako bi prikupljao opsežne podatke s uređaja i postavlja se kao zadana SMS aplikacija za presretanje dolaznih i odlaznih poruka. Osim toga, manipulira telefonskim pozivima blokirajući ih ili preusmjeravajući te potiskuje obavijesti kako bi izbjegao upozorenje korisnika na bilo kakvu sumnjivu aktivnost. Zajedno, ove značajke daju napadačima sveobuhvatan pristup i kontrolu nad uređajem žrtve.

Lanac dostave: Proces infekcije u tri faze

Zlonamjerni softver se isporučuje u višefaznom formatu:

Početna APK datoteka – Distribuira se kao dio phishinga ili lažnih ažuriranja.

Dinamičko učitavanje klasa – Obfuskirane klase koje nisu prisutne u APK-u učitavaju se tijekom instalacije.

Izvršavanje DEX datoteke – Nakon što dobije dopuštenja za pristup, zlonamjerni softver raspakirava i učitava zlonamjernu DEX datoteku koja sadrži kod botneta.

AntiDotova upotreba komercijalnih paketa i šifriranih korisnih podataka značajno otežava otkrivanje i obrnuti inženjering.

Lažna sučelja i krađa vjerodajnica

Ključna AntiDot taktika uključuje prikazivanje lažnih prijavnih ekrana kada korisnici otvore kriptovalute ili financijske aplikacije. Ti se ekrani dohvaćaju u stvarnom vremenu s Command-and-Control (C2) poslužitelja, što napadačima omogućuje hvatanje osjetljivih vjerodajnica bez izazivanja sumnje kod korisnika.

AntiDotova C2 infrastruktura: Izgrađena za učinkovitost

Daljinska upravljačka ploča zlonamjernog softvera izgrađena je na MeteorJS-u, što omogućuje besprijekornu interakciju u stvarnom vremenu sa zaraženim uređajima. Ploča uključuje šest različitih odjeljaka:

• Botovi: Prikazuje zaražene uređaje i njihove metapodatke
• Ubrizgava: Navodi ciljne aplikacije za napade i predloške preklapanja
• Analitički: Prati instalirane aplikacije kako bi identificirao trendove i buduće ciljeve
• Postavke: Kontrolira parametre ubrizgavanja i ponašanje zlonamjernog softvera
• Vrata: Upravlja krajnjim točkama komunikacije s botovima
• Pomoć: Pruža korisničku podršku za operatere zlonamjernog softvera

Lokalizirano i uporno: Prava opasnost od AntiDota

AntiDot je više od samo još jednog Android trojanca, to je skalabilna, izbjegavajuća MaaS platforma koja se fokusira na financijske prijevare putem lokaliziranog ciljanja. Tehnikama poput WebView injekcije, krađe vjerodajnica temeljene na prekrivanju i komunikacije C2 u stvarnom vremenu predstavlja ozbiljnu prijetnju privatnosti korisnika i mobilnoj sigurnosti.

Istraživači upozoravaju da sve veća prihvaćenost i razvoj taktika AntiDota naglašavaju hitnu potrebu za poboljšanim sigurnosnim praksama Androida, redovitim ažuriranjima i svjesnošću korisnika kako bi se borili protiv sve prikrivenijih prijetnji poput ove.