AntiDot Android Malware

Penyelidik keselamatan siber telah menarik balik tirai pada AntiDot, sekeping perisian hasad Android yang canggih yang telah menjangkiti beribu-ribu peranti merentas ratusan kempen berniat jahat. Dipautkan kepada pelakon ancaman yang dikenali sebagai LARVA-398, perisian hasad ini menggambarkan bahaya yang semakin meningkat yang ditimbulkan oleh tawaran Malware-as-a-Service (MaaS) mudah alih di web gelap.

Ancaman yang semakin meningkat: Skala dan Skop Serangan

AntiDot telah dikaitkan dengan 273 kempen yang berbeza, menjejaskan lebih 3,775 peranti Android. Kempen sangat disasarkan, selalunya berdasarkan bahasa dan lokasi geografi, mencadangkan pemprofilan mangsa terpilih. Malware ini diedarkan terutamanya melalui rangkaian pengiklanan berniat jahat dan kempen pancingan data, termasuk kemas kini Google Play palsu.

MaaS untuk Mudah Alih: Model Perniagaan LARVA-398

Dipasarkan sebagai penyelesaian 'tiga dalam satu', AntiDot dijual di forum bawah tanah, menyediakan pelakon ancaman dengan kit alat yang berkuasa untuk:

• Rakaman skrin melalui penyalahgunaan kebolehaksesan
• pintasan SMS
• Pengekstrakan data daripada apl pihak ketiga

Pengkomersilan ini telah menjadikannya boleh diakses oleh pelbagai penjenayah siber yang lebih luas, mengurangkan halangan untuk melancarkan serangan mudah alih lanjutan.

Keupayaan Lanjutan: Apa yang AntiDot Boleh Lakukan

AntiDot dilengkapi dengan pelbagai keupayaan berniat jahat yang membolehkan penyerang mengekalkan kawalan berterusan dan senyap ke atas peranti yang dijangkiti. Ia menjalankan serangan tindanan dengan memaparkan skrin log masuk palsu yang meniru aplikasi yang sah secara meyakinkan, sekali gus mencuri bukti kelayakan pengguna. Malware juga mencatatkan ketukan kekunci dan memantau kandungan skrin untuk menangkap maklumat sensitif. Menggunakan API MediaProjection Android, ia boleh mengawal peranti dari jauh, sambil mengekalkan komunikasi masa nyata dengan pelayan arahan dan kawalannya melalui sambungan WebSocket.

AntiDot menyalahgunakan perkhidmatan kebolehaksesan untuk mengumpulkan data yang luas daripada peranti dan menetapkan dirinya sebagai apl SMS lalai untuk memintas mesej masuk dan keluar. Selain itu, ia memanipulasi panggilan telefon dengan menyekat atau mengubah halanya dan menyekat pemberitahuan untuk mengelak daripada memaklumkan pengguna kepada sebarang aktiviti yang mencurigakan. Bersama-sama, ciri ini memberikan penyerang akses dan kawalan menyeluruh ke atas peranti mangsa.

Rantaian Penghantaran: Proses Jangkitan Tiga Peringkat

Malware dihantar dalam format berbilang peringkat:

Fail APK Permulaan – Diedarkan sebagai sebahagian daripada pancingan data atau kemas kini palsu.

Pemuatan Kelas Dinamik – Kelas yang dikelirukan yang tidak terdapat dalam APK dimuatkan semasa pemasangan.

Pelaksanaan Fail DEX – Selepas mendapat kebenaran kebolehaksesan, perisian hasad membongkar dan memuatkan fail DEX berniat jahat yang mengandungi kod botnet.

Penggunaan AntiDot pembungkus komersial dan muatan yang disulitkan dengan ketara menghalang pengesanan dan kejuruteraan terbalik.

Antara Muka Bogus dan Kecurian Kredensial

Taktik AntiDot utama melibatkan persembahan skrin log masuk palsu apabila pengguna membuka mata wang kripto atau aplikasi kewangan. Skrin ini diambil dalam masa nyata daripada pelayan Command-and-Control (C2), membenarkan penyerang menangkap bukti kelayakan sensitif tanpa menimbulkan syak wasangka pengguna.

Infrastruktur C2 AntiDot: Dibina untuk Kecekapan

Panel kawalan jauh perisian hasad dibina pada MeteorJS, membenarkan interaksi masa nyata yang lancar dengan peranti yang dijangkiti. Panel ini merangkumi enam bahagian yang berbeza:

• Bot: Memaparkan peranti yang dijangkiti dan metadatanya
• Suntikan: Menyenaraikan apl sasaran untuk serangan tindanan dan templat
• Analitik: Menjejaki apl yang dipasang untuk mengenal pasti arah aliran dan sasaran masa hadapan
• Tetapan: Mengawal parameter suntikan dan tingkah laku perisian hasad
• Gates: Mengurus titik akhir komunikasi bot
• Bantuan: Menyediakan sokongan pengguna untuk pengendali perisian hasad

Setempat dan Berterusan: Bahaya Sebenar AntiDot

AntiDot adalah lebih daripada sekadar trojan Android yang lain, ia adalah platform MaaS yang boleh skala dan mengelak yang memfokuskan pada penipuan kewangan melalui penyasaran setempat. Dengan teknik seperti suntikan WebView, kecurian kelayakan berasaskan tindanan dan komunikasi C2 masa nyata, ia menimbulkan ancaman serius kepada privasi pengguna dan keselamatan mudah alih.

Penyelidik memberi amaran bahawa penggunaan AntiDot yang semakin meningkat dan taktik yang berkembang menyerlahkan keperluan mendesak untuk meningkatkan amalan keselamatan Android, kemas kini tetap dan kesedaran pengguna untuk memerangi ancaman yang semakin tersembunyi seperti ini.