HOOK Android-malwarevariant

Forskere på nettsikkerhet har identifisert en ny variant av Android-banktrojaneren kjent som HOOK, som nå har overlegg i ransomware-stil designet for å presse ofre. Dette markerer en betydelig utvikling i dens muligheter, og tar den utover tradisjonell bankskadevare.

Utpressing av løsepengeviruslignende overlegg

Et av de mest slående tilleggene i den nyeste varianten er muligheten til å distribuere et fullskjerms ransomware-overlegg. Dette overlegget viser en truende «ADVARSEL»-melding, ledsaget av en dynamisk hentet lommebokadresse og løsepengebeløp fra kommando-og-kontroll-serveren (C2).

Utpressingsskjermen utløses eksternt når C2-serveren sender kommandoen «ransome», og kan lukkes når angriperen utsteder instruksjonen «delete_ransome».

Røtter i ERMAC Banking Trojan

HOOK regnes som en direkte avlegger av ERMAC-banktrojaneren, hvis kildekode tidligere ble lekket på nettet. I likhet med ERMAC er HOOK i stor grad avhengig av Androids tilgjengelighetstjenester og falske overleggsskjermer for å stjele legitimasjon, automatisere økonomisk svindel og ta kontroll over infiserte enheter.

Avanserte spionasje- og utnyttelsesfunksjoner

Utover legitimasjonstyveri, kan HOOK skryte av en rekke påtrengende funksjoner. Den kan:

• Send SMS-meldinger til angriperkontrollerte numre.
• Strøm en direktesendt feed av offerets skjerm.
• Ta bilder med frontkameraet.
• Stjel informasjonskapsler og gjenopprettingsfraser knyttet til kryptovaluta-lommebøker.

Disse funksjonene fremhever HOOKs konvergens med spionprogrammer, noe som gir angripere brede overvåkings- og tyverialternativer.

Utvidelse av fjernkommandoer

Den nyeste versjonen av HOOK støtter 107 eksterne kommandoer, med 38 nye funksjoner. Disse forbedrer dens evne til å lure brukere og samle inn sensitive data.

Noen av de mest bemerkelsesverdige nye kommandoene inkluderer:

• løsepenge – Viser et overlegg i løsepengevirusstil på enheten
• delete_ransome – Fjerner ransomware-overlegget

Storskala distribusjonskanaler

Forskere har sporet HOOKs distribusjon til phishing-nettsteder og falske GitHub-lagre som er vert for ondsinnede APK-filer. Bruken av GitHub til distribusjon av skadelig programvare er ikke ny, familier som ERMAC og Brokewell har også blitt spredt via plattformen, noe som demonstrerer dens økende popularitet blant trusselaktører.

Visker ut linjen mellom skadevarekategorier

Den raske utviklingen av HOOK gjenspeiler en urovekkende trend innen mobile trusler: konvergensen av banktrojanere, spionprogrammer og løsepengevirusteknikker. Ved å stadig utvide funksjonene sine og spre seg gjennom storskala kampanjer, utgjør HOOK en økende risiko for finansinstitusjoner, bedrifter og vanlige Android-brukere.