HOOK varijanta zlonamjernog softvera za Android

Istraživači kibernetičke sigurnosti identificirali su novu varijantu Android bankarskog trojanca poznatog kao HOOK, koji sada sadrži slojeve u stilu ransomwarea osmišljene za iznudu žrtava. To označava značajnu evoluciju njegovih mogućnosti, pomičući ga izvan tradicionalnog bankarskog zlonamjernog softvera.

Iznuda u stilu ransomwarea

Jedan od najupečatljivijih dodataka u najnovijoj varijanti je mogućnost postavljanja prekrivanja ransomwarea preko cijelog zaslona. Ovo prekrivanje prikazuje prijeteću poruku 'UPOZORENJE', popraćenu dinamički dohvaćenom adresom novčanika i iznosom otkupnine s komandno-kontrolnog (C2) poslužitelja.

Zaslon za iznudu se daljinski aktivira kada C2 poslužitelj pošalje naredbu 'ransome' i može se odbaciti kada napadač izda naredbu 'delete_ransome'.

Korijeni u bankarskom trojancu ERMAC

HOOK se smatra izravnim izdankom bankarskog trojanca ERMAC, čiji je izvorni kod prethodno procurio na internet. Poput ERMAC-a, HOOK se uvelike oslanja na Androidove usluge pristupačnosti i lažne prekrivajuće zaslone kako bi ukrao vjerodajnice, automatizirao financijske prijevare i preuzeo kontrolu nad zaraženim uređajima.

Napredne značajke špijunaže i iskorištavanja

Osim krađe vjerodajnica, HOOK se može pohvaliti raznim invazivnim značajkama. Može:

• Slanje SMS poruka na brojeve koje kontrolira napadač.
• Prijenos uživo s ekrana žrtve.
• Snimajte slike pomoću prednje kamere.
• Krađa kolačića i fraza za oporavak povezanih s kriptovalutnim novčanicima.

Ove funkcije ističu HOOK-ovu konvergenciju sa špijunskim softverom, dajući napadačima široke mogućnosti nadzora i krađe.

Proširenje daljinskih naredbi

Najnovija verzija HOOK-a podržava 107 udaljenih naredbi, s 38 novododanih mogućnosti. One poboljšavaju njegovu sposobnost obmanjivanja korisnika i prikupljanja osjetljivih podataka.

Neke od najznačajnijih novih naredbi uključuju:

• ransomware – Prikazuje prekrivač u stilu ransomwarea na uređaju
• delete_ransome – Uklanja sloj ransomwarea
• takenfc – Prikazuje lažni NFC ekran za skeniranje podataka kartice

• unlock_pin – Prikazuje lažni ekran za otključavanje kako bi se ukrali PIN-ovi ili uzorci uređaja

• takencard – Oponaša Google Pay kako bi phishingom dobio podatke o kreditnoj kartici

• start_record_gesture – Koristi prozirni sloj za snimanje korisničkih gesti

Veliki distribucijski kanali

Istraživači su pratili distribuciju HOOK-a do phishing web stranica i lažnih GitHub repozitorija koji hostiraju zlonamjerne APK datoteke. Korištenje GitHuba za distribuciju zlonamjernog softvera nije novost, obitelji poput ERMAC-a i Brokewella također su se proširile putem platforme, što pokazuje njezinu rastuću popularnost među prijetnjama.

Zamagljivanje granice između kategorija zlonamjernog softvera

Brza evolucija HOOK-a odražava zabrinjavajući trend u mobilnim prijetnjama: konvergenciju bankarskih trojanaca, špijunskog softvera i tehnika ransomwarea. Stalnim širenjem svojih značajki i širenjem kroz kampanje velikih razmjera, HOOK predstavlja sve veći rizik za financijske institucije, poduzeća i svakodnevne korisnike Androida.