Varijanta zlonamjernog softvera Coyote
Trojanac za Windows bankarstvo poznat kao Coyote pojavio se kao prvi soj zlonamjernog softvera koji zloupotrebljava Windowsov okvir za pristupačnost, UI Automation (UIA), za krađu osjetljivih korisničkih podataka. Coyote, koji su izvorno otkrili istraživači kibernetičke sigurnosti 2024. godine, prvenstveno cilja brazilske korisnike i evoluirao je kako bi integrirao novu tehniku koja koristi UIA za prikupljanje vjerodajnica povezanih sa širokim rasponom bankarskih i kripto platformi.
Sadržaj
Legitimni alati postali su zlonamjerni
UIA je dio Microsoft .NET Frameworka i izvorno je dizajniran kako bi pomogao pomoćnim tehnologijama, poput čitača zaslona, u interakciji s elementima korisničkog sučelja u desktop aplikacijama. Međutim, njegove su se mogućnosti pokazale kao mač s dvije oštrice. U prosincu 2024. sigurnosni stručnjaci predstavili su dokaz koncepta koji pokazuje da se UIA potencijalno može iskoristiti za krađu podataka i neovlašteno izvršavanje koda.
Coyote je sada teoriju primijenio u praksi. Slično Android bankarskim trojancima koji zloupotrebljavaju usluge pristupačnosti za prikupljanje osjetljivih informacija, Coyote manipulira UIA-om kako bi se kretao kroz elemente aplikacije i izvlačio vrijedne vjerodajnice.
Kako Kojot lovi podatke
Trojanac započinje proces prikupljanja podataka korištenjem GetForegroundWindow() Windows API-ja kako bi utvrdio koji je prozor trenutno aktivan. Zatim uspoređuje naslov tog prozora s fiksno kodiranim popisom koji sadrži web adrese 75 ciljanih banaka i mjenjačnica kriptovaluta, broj koji je porastao sa 73 cilja početkom 2025.
Ako naslov prozora ne odgovara nijednom unosu na popisu, Coyote mijenja taktiku. Koristi UIA za analizu podređenih elemenata sučelja aktivnog prozora, pokušavajući pronaći kartice preglednika ili adresne trake. Sadržaj tih elemenata korisničkog sučelja ponovno se provjerava u odnosu na isti ciljni popis.
Proširenje mogućnosti i značajki prikrivenosti
Coyote je opremljen dodatnim nadzornim funkcijama, uključujući:
- Zapisivanje pritisaka tipki za presretanje unesenih vjerodajnica
- Snimanje zaslona za vizualno bilježenje aktivnosti korisnika
- Prekrivajući napadi koji oponašaju legitimne stranice za prijavu u banku
Štoviše, zlonamjerni softver učinkovito funkcionira i u online i u offline načinu rada, osiguravajući da njegovi mehanizmi za prikupljanje vjerodajnica ostanu operativni bez obzira na povezanost. Ova fleksibilnost povećava njegovu postojanost i proširuje površinu napada.
Zašto UIA mijenja pravila igre za razvojne programere zlonamjernog softvera
Obično je pristup podelementima unutar druge aplikacije složen i zahtijeva dubinsko razumijevanje strukture ciljnog softvera. Iskorištavanjem UIA-e, Coyote zaobilazi ovu barijeru, dobivajući dubok uvid u unutarnje UI komponente aplikacija uz minimalan napor. Ova sposobnost značajno povećava stopu uspješnosti krađe vjerodajnica.
Rastuća prijetnja financijskim podacima
Usvajanje automatizacije korisničkog sučelja od strane zlonamjernog softvera poput Coyotea označava zabrinjavajuću evoluciju u načinu na koji se legitimne značajke sustava pretvaraju u oružje. S 75 financijskih institucija koje su već na meti i stalno napredujućom metodologijom napada, Coyote ističe hitnu potrebu za poboljšanim nadzorom i obrambenim mehanizmima protiv zlouporabe okvira za pristupačnost.
