Crocodilus Banking trójai
Kiberbiztonsági szakértők egy új, Crocodilus névre keresztelt androidos banki kártevőt fedeztek fel, amely elsősorban a spanyol és törökországi felhasználókat célozza meg. Ellentétben sok új fenyegetéssel, amelyek a meglévő rosszindulatú programok kezdetleges változataiból indulnak ki, a Crocodilus teljesen fejlett, kifinomult banki trójaiként lép be a kiberbűnözés világába.
Tartalomjegyzék
Speciális technikák a maximális károkért
A Crocodilus olyan modern technikákat alkalmaz, mint:
- Távirányító képességek
- Fekete képernyőfedések a jelenlét elrejtésére
- Speciális adatgyűjtés a kisegítő lehetőségek naplózásával
A többi banki trójaihoz hasonlóan ennek is az a célja, hogy átvegyen egy eszközt (DTO), és lehetővé tegye a kiberbűnözők számára, hogy csalárd tranzakciókat hajtsanak végre. A forráskód és a hibakeresési üzenetek mélyebb elemzése arra utal, hogy a rosszindulatú program szerzője törökül beszél.
Google Chrome-nak álcázva, hogy elkerülje az észlelést
A Crocodilus úgy lett kialakítva, hogy megkerülje az Android 13+ biztonsági korlátozásait azáltal, hogy Google Chrome-nak álcázza magát (a csomag neve: „quizzical.washbowl.calamity”). A telepítést követően az álalkalmazás kisegítő lehetőségek szolgáltatási engedélyeket kér, ami teljes irányítást biztosít az eszköz felett.
Aktiváláskor csatlakozik egy távoli Command-and-Control (C2) szerverhez, hogy:
- További utasításokat kap
- Töltse le a célzott pénzügyi alkalmazások listáját
- Telepítsen HTML-fedvényeket a felhasználói hitelesítő adatok ellopásához
A kriptovaluta pénztárcák a célkeresztben
A Crocodilus nem csak a banki alkalmazásoknál áll meg, hanem a kriptovaluta pénztárcákat is megcélozza. Ahelyett, hogy hamis bejelentkezési oldalt használna, csalárd biztonsági riasztással csalja meg az áldozatokat, figyelmeztetve őket, hogy 12 órán belül mentsék el a kezdőmondatukat, ellenkező esetben vagyonuk elvesztését kockáztatja.
Ez a szociális tervezési taktika arra készteti az áldozatokat, hogy eligazodjanak a magmondataikhoz, amelyeket aztán az akadálymentesítési szolgáltatással való visszaélés révén betakarítanak. Ezen információk birtokában a támadók átvehetik az irányítást a pénztárca felett, és lemeríthetik a pénzeszközöket.
Folyamatos megfigyelés és hitelesítő adatok ellopása
A Crocodilus úgy lett kialakítva, hogy folyamatosan a háttérben futjon, szorosan figyelemmel kísérve az alkalmazások indítását, és átfedéseket indítva el a hitelesítő adatok elfogására. Lehetséges:
- Kövesse nyomon az összes akadálymentesítési eseményt
- Rögzítse a képernyőn megjelenő összes elemet
- Készítsen képernyőképeket a Google Authenticatorról a kéttényezős hitelesítés megkerüléséhez
Ezzel a Crocodilus biztosítja, hogy kezelői ne vegyenek észre semmilyen bejelentkezési tevékenységet.
Lopakodó mód: ártalmas tevékenységek elrejtése
Hogy észrevétlen maradjon, a Crocodilus különféle lopakodó taktikákat alkalmaz, többek között:
- Fekete képernyőfedő megjelenítése a jogosulatlan tevékenységek elrejtésére
- Hangok elnémítása, hogy az áldozatok ne hallják a gyanús figyelmeztetéseket
Ezek az intézkedések megnehezítik az áldozatok számára, hogy felismerjék, hogy eszközeiket feltörték.
A káros tulajdonságok erőteljes arzenálja
A Crocodilus számos fenyegető képességgel rendelkezik, amelyek lehetővé teszik, hogy teljes mértékben átvegye az irányítást a fertőzött eszköz felett. Indíthat bizonyos alkalmazásokat, eltávolíthatja magát az eszközről az észlelés elkerülése érdekében, és push értesítéseket küldhet a felhasználói viselkedés manipulálására. A rosszindulatú program emellett képes SMS-eket küldeni a kiválasztott vagy az összes névjegynek, lekérni a névjegylistákat, és lekérni a telepített alkalmazások listáját, így a támadók átfogó képet kapnak az áldozat digitális lábnyomáról.
Ezenkívül a Crocodilus képes SMS-üzeneteket olvasni, eszközadminisztrátori jogosultságokat kérni, hogy mélyrehatóbb irányítást szerezzen, és aktiválja a fekete átfedési módot, hogy elrejtse a nem biztonságos tevékenységeit. Rendszeresen frissíti a Command-and-Control (C2) kiszolgáló beállításait, biztosítva, hogy alkalmazkodni tudjon a kezelőitől kapott új utasításokra, és reagálni tudjon azokra. A lopakodó műveletek előmozdítása érdekében engedélyezheti vagy letilthatja a hangot, be- és kikapcsolhatja a billentyűnaplózást a felhasználói bemenetek rögzítéséhez, és még az alapértelmezett SMS-kezelővé is válhat, így észrevétlenül elfoghatja és manipulálhatja a kommunikációt.
Crocodilus: Új mobilbanki veszély
A Crocodilus megjelenése a mobilbanki rosszindulatú programok kifinomultságának nem biztonságos eszkalációját jelzi. Sok újonnan felfedezett fenyegetéssel ellentétben a Crocodilus kezdettől fogva kiforrott, fejlett Device-Takeover technikákat, távvezérlő funkciókat és fekete átfedő támadásokat használ a felhasználók kompromittálására.
Lopakodó végrehajtásával és robusztus szolgáltatáskészletével ez a rosszindulatú program új precedenst teremt az Android banki fenyegetésekkel szemben, bizonyítva, hogy a kiberbűnözők folyamatosan fejlesztik taktikájukat, hogy megelőzzék a biztonsági intézkedéseket.
