Trojan Perbankan BeatBanker

BeatBanker ialah perisian hasad Android yang canggih yang diedarkan melalui laman web palsu yang direka untuk meniru Gedung Google Play. Kempen berniat jahat ini memperdaya pengguna untuk memuat turun aplikasi yang kelihatan sah tetapi sebenarnya menyampaikan Trojan perbankan yang berkuasa yang digabungkan dengan keupayaan perlombongan mata wang kripto. Setelah dipasang, perisian hasad boleh merampas peranti yang dijangkiti, memanipulasi antara muka pengguna dan melakukan transaksi kewangan yang tidak dibenarkan. Penyingkiran segera adalah penting apabila ancaman dikesan, kerana operasi berterusan boleh mengakibatkan kerugian kewangan, pelanggaran privasi dan pencerobohan peranti jangka panjang.

Pelaksanaan Tanpa Fail dan Teknik Anti-Analisis

Setelah pelaksanaan, BeatBanker bermula dengan mengumpul maklumat rangkaian penting, termasuk alamat IP peranti, jenis peranti, status penggunaan VPN dan butiran sambungan yang berkaitan. Daripada menyimpan komponen berniat jahatnya sebagai fail pada storan peranti, perisian hasad memuatkan kodnya terus ke dalam memori. Teknik pelaksanaan tanpa fail ini dengan ketara mengurangkan kemungkinan pengesanan oleh alat keselamatan mudah alih tradisional.

Untuk mengelakkan lagi analisis, BeatBanker menyemak sama ada ia berjalan dalam persekitaran pengujian atau penyelidikan, seperti emulator atau sandbox. Jika keadaan sedemikian dikesan, perisian hasad akan menamatkan operasinya serta-merta. Mekanisme pertahanan ini membantu menghalang penyelidik keselamatan siber dan sistem automatik daripada menganalisis tingkah lakunya.

Kejuruteraan Sosial melalui Halaman Gedung Google Play Palsu

Selepas lulus pemeriksaan persekitarannya, BeatBanker memaparkan antara muka tiruan yang hampir menyerupai halaman Gedung Google Play untuk aplikasi berlabel 'INSS Reembolso', yang mendakwa secara palsu bahawa kemas kini perisian diperlukan. Apabila pengguna memilih pilihan 'Kemas Kini', perisian hasad tersebut meminta kebenaran untuk memasang aplikasi dan memuat turun komponen berniat jahat yang tersembunyi.

Daripada bergantung pada infrastruktur Google Play yang sah, perisian hasad memasang komponen ini secara langsung dengan menyalahgunakan kebenaran pemasangan yang dinaikkan. Untuk mengekalkan kegigihan, perisian hasad menghasilkan pemberitahuan kemas kini sistem yang mengelirukan dan menjalankan perkhidmatan latar depan yang memainkan media secara senyap, menghalang sistem pengendalian daripada menamatkan proses berniat jahat.

Perlombongan Mata Wang Kripto pada Peranti Mangsa

Salah satu muatan tersembunyi BeatBanker ialah pelombong mata wang kripto yang terbenam dalam fail yang dimuat turun. Komponen ini ialah versi XMRig yang diubah suai yang direka untuk mengeksploitasi sumber CPU peranti yang dijangkiti bagi melombong mata wang kripto bagi pihak penyerang.

Perisian hasad ini mengurus aktiviti perlombongan secara bijak dengan memantau parameter sistem seperti tahap bateri, suhu peranti dan aktiviti pengguna. Berdasarkan keadaan ini, pelombong boleh memulakan atau menghentikan operasinya secara automatik untuk mengurangkan syak wasangka dan memanjangkan jangkitan.

Mekanisme Kecurian Trojan dan Mata Wang Kripto Perbankan

Di samping keupayaan perlombongan kripto, BeatBanker menggunakan Trojan perbankan yang cuba mendapatkan kebenaran kebolehcapaian. Pemberian kebenaran ini membolehkan penyerang mengawal antara muka peranti dan memantau interaksi pengguna.

Perisian hasad ini secara aktif menjejaki aplikasi mana yang dibuka dan secara khusus menyasarkan platform mata wang kripto seperti Binance dan Trust Wallet, dengan tumpuan khusus pada transaksi USDT. Apabila mangsa memulakan pemindahan, BeatBanker akan menimpa antara muka transaksi yang sah dengan skrin palsu. Semasa proses ini, perisian hasad tersebut secara senyap menggantikan alamat penerima yang dimaksudkan dengan alamat yang dikawal oleh penyerang, menyebabkan dana dialihkan tanpa kesedaran mangsa.

Modul perbankan juga menilai kehadiran beberapa pelayar mudah alih yang biasa digunakan dan mengumpul maklumat pelayaran. Ia boleh memanipulasi pautan yang disimpan dalam pelayar lalai dengan menambah, mengedit, memadam atau menyenaraikan entri, dan ia boleh membuka URL yang dibekalkan oleh penyerang.

Keupayaan Perintah dan Kawalan dan Manipulasi Peranti

BeatBanker berkomunikasi dengan pelayan arahan dan kawalan (C2), membolehkan penyerang mengurus peranti yang dijangkiti dari jauh dan mengeluarkan arahan. Melalui infrastruktur ini, perisian hasad boleh melaksanakan pelbagai tindakan berniat jahat termasuk memaparkan kemas kini sistem palsu, mengunci skrin peranti, mengekstrak kandungan papan klip dan menghantar rakaman audio kepada pelaku ancaman.

Keupayaan tambahan termasuk keupayaan untuk menghantar mesej SMS, membuka pautan yang dikawal penyerang dalam pelayar, mengemas kini kelayakan yang disimpan dan menyenaraikan fail yang disimpan pada peranti. Perisian hasad ini juga boleh melakukan tindakan merosakkan seperti memadam fail, memulakan tetapan semula kilang atau menyahpasang dirinya sendiri untuk mengalih keluar jejak selepas menyelesaikan operasi.

Ciri Pengawasan dan Penyingkiran Data

Selain daripada kecurian kewangan, BeatBanker berfungsi sebagai alat pengawasan yang meluas. Ia mampu merakam ketukan kekunci, mengekstrak teks yang dipaparkan pada skrin, menangkap tangkapan skrin dan menstrim skrin peranti dalam masa nyata. Pemantauan berterusan terhadap aplikasi yang sedang berjalan membolehkan penyerang memerhatikan tingkah laku pengguna dan mengumpul maklumat sensitif.

Perisian hasad ini juga mengandungi mekanisme kawalan peranti tambahan, termasuk pemantauan aplikasi, tembok api terbina dalam yang boleh menyekat atau membenarkan aplikasi terpilih, penciptaan pemberitahuan berterusan dan keupayaan untuk mengurus sambungan VPN.

Penyalahgunaan Kebenaran dan Mekanisme Kegigihan

BeatBanker sangat bergantung pada kebenaran Android berisiko tinggi yang meluaskan kawalannya ke atas peranti dengan ketara. Kebenaran ini membolehkan perisian hasad mengekalkan kegigihan, mengautomasikan tindakan dan melaksanakan arahan tanpa kesedaran pengguna.

Keupayaan utama yang didayakan oleh kebenaran ini termasuk:

• Akses kebolehcapaian, membolehkan ketukan, leretan dan manipulasi antara muka automatik
• Kebenaran tindanan yang membolehkan skrin palsu muncul di atas aplikasi yang sah
• Kebenaran untuk memasang aplikasi daripada sumber yang tidak diketahui, membolehkan pemasangan senyap komponen berniat jahat tambahan
• Keupayaan untuk membuka pautan, melaksanakan kod USSD dan menggunakan pakej perisian hasad selanjutnya

Keistimewaan ini mengubah peranti yang dijangkiti menjadi platform yang dikawal dari jauh yang mampu melaksanakan operasi berniat jahat yang kompleks.

Varian Baru Muncul Menyamar sebagai Aplikasi StarLink

Penyelidik keselamatan telah mengenal pasti varian BeatBanker yang lebih baharu yang menyamar sebagai aplikasi StarLink palsu yang menyasarkan pengguna Android. Tidak seperti versi terdahulu, varian ini tidak memasang komponen Trojan perbankan tradisional.

Sebaliknya, ia menggunakan Trojan pentadbiran jauh BTMOB (RAT). BTMOB memberikan penyerang akses jauh penuh ke peranti yang diceroboh dan diedarkan sebagai Malware-as-a-Service (MaaS), yang membolehkan penjenayah siber membeli dan menggunakan alat tersebut tanpa membangunkan infrastruktur malware mereka sendiri.

Vektor Jangkitan dan Impak Operasi

Jangkitan BeatBanker biasanya bermula dengan kempen pancingan data yang mengarahkan mangsa ke laman web penipuan yang direka bentuk menyerupai Gedung Google Play rasmi. Pengguna dipujuk untuk memuat turun aplikasi berniat jahat yang menyamar sebagai perkhidmatan berkaitan kerajaan seperti 'INSS Reembolso' atau aplikasi utiliti palsu yang serupa.

Peranti akan diceroboh sebaik sahaja mangsa memasang aplikasi palsu tersebut. Selepas pengaktifan, BeatBanker akan mengambil komponen tambahan, termasuk pelombong mata wang kripto dan mewujudkan akses berterusan kepada peranti tersebut.

Keupayaan gabungan perisian hasad ini membolehkan penyerang melombong mata wang kripto, mencuri data kewangan, memanipulasi transaksi dan mengekalkan kawalan jauh ke atas peranti yang dijangkiti. Sesetengah varian juga menggunakan perisian hasad tambahan seperti BTMOB, memberikan musuh akses berpanjangan dan tanpa had kepada sistem yang dikompromi.