Oprogramowanie mobilne Godfather Malware

Nowo ulepszona wersja niesławnego złośliwego oprogramowania na Androida Godfather wywołuje poruszenie w świecie cyberbezpieczeństwa. Wdrażając odizolowane środowiska wirtualne na zainfekowanych urządzeniach, to ukryte złośliwe oprogramowanie umożliwia teraz szpiegowanie w czasie rzeczywistym, kradzież danych uwierzytelniających i oszustwa finansowe, a wszystko to pozostaje ukryte pod przykrywką legalnych aplikacji bankowych.

Wirtualne światy dla prawdziwych kradzieży

Ulepszone oprogramowanie Godfather korzysta z ram wirtualizacji osadzonych w pozornie niegroźnym pliku APK. Po zainstalowaniu sprawdza obecność ponad 500 potencjalnych aplikacji docelowych, w tym platform bankowych, kryptowalutowych i e-commerce, i przenosi je do środowiska wirtualnego. Ta konfiguracja naśladuje taktykę stosowaną przez FjordPhantom w 2023 r., ale wykracza daleko poza zakres i wyrafinowanie.

W przeciwieństwie do standardowego złośliwego oprogramowania na Androida, Godfather wykorzystuje wirtualizację do uruchamiania docelowych aplikacji wewnątrz kontrolowanych kontenerów, umożliwiając:

• Kradzież danych uwierzytelniających w czasie rzeczywistym i przechwytywanie odpowiedzi zaplecza
• Bezproblemowa wizualna imitacja legalnych aplikacji
• Omijanie wbudowanych mechanizmów bezpieczeństwa Androida

Niewidoczne przejęcie za pośrednictwem StubActivity

Krytyczną częścią tego oszustwa jest użycie StubActivity, zastępczego elementu w złośliwym oprogramowaniu, który uruchamia zwirtualizowane aplikacje bez ujawniania jakiegokolwiek prawdziwego interfejsu użytkownika lub własnej logiki. Gdy ofiara próbuje uzyskać dostęp do swojej legalnej aplikacji bankowej, Godfather przechwytuje działanie, korzystając z uprawnień usługi ułatwień dostępu i przekierowuje je do wirtualnego kontenera, pokazując prawdziwy interfejs aplikacji, jednocześnie uzyskując pełną kontrolę nad interakcjami użytkownika.

Ta sztuczka oszukuje system Android, sprawiając, że myśli, że uruchamia bezpieczną aplikację, podczas gdy wszystkie poufne działania, od wpisywania kodu PIN po potwierdzanie transakcji, są monitorowane i przechwytywane.

Pod maską: narzędzia i techniki

Aby realizować swoje złożone operacje, Godfather opiera się na połączeniu technologii open source i inteligentnej inżynierii:

Silnik VirtualApp – umożliwia tworzenie izolowanych kontenerów.

Xposed Framework – łączy się z interfejsami API systemu Android w celu rejestrowania danych wejściowych i odpowiedzi.

Podszywanie się pod inne osoby – przechwytuje polecenia przeznaczone dla legalnych aplikacji i przekierowuje je.

Wirtualny system plików i identyfikatory procesów – obsługuje bezproblemową replikację środowiska.

W kluczowych momentach złośliwe oprogramowanie nakłada się na fałszywe ekrany blokady lub aktualizacje, aby nakłonić użytkowników do podania poufnych danych logowania, które następnie są przekazywane atakującym.

Retrospekcja: Ewolucja Ojca Chrzestnego

Godfather pojawił się po raz pierwszy w marcu 2021 r. i od tego czasu znacznie ewoluował. W wersji z grudnia 2022 r. złośliwe oprogramowanie atakowało 400 aplikacji w 16 krajach, wykorzystując ataki nakładkowe HTML. Obecna wersja wykorzystuje jednak pełną wirtualizację, rozszerzając zasięg na ponad 500 aplikacji na całym świecie. Podczas gdy najnowsza kampania wydaje się koncentrować na kilkunastu tureckich bankach, infrastruktura jest gotowa do globalnego obrotu.

Jak zachować ochronę

Aby ograniczyć ryzyko stania się ofiarą zaawansowanych zagrożeń, takich jak Ojciec Chrzestny, użytkownicy powinni stosować się do poniższych najlepszych praktyk w zakresie cyberbezpieczeństwa:

• Pobierz bezpiecznie
• Instaluj aplikacje wyłącznie z Google Play lub zaufanych źródeł.
• Unikaj pobierania plików APK z innych źródeł, chyba że wydawca jest sprawdzony i ma dobrą reputację.
• Ćwicz czujność aplikacji
• Pozostaw usługę Google Play Protect włączoną.
• Monitoruj uprawnienia aplikacji, zwłaszcza żądania dotyczące usług ułatwień dostępu.
• Zachowaj ostrożność, gdy na ekranie blokady lub ekranie powiadomień o aktualizacji pojawią się nieoczekiwane komunikaty.

Najnowsza wersja Godfather sygnalizuje zmianę w kierunku bardziej wyrafinowanych zagrożeń mobilnych, które zacierają granicę między złośliwą aktywnością a legalnym zachowaniem aplikacji. Pozostawanie poinformowanym i ostrożnym to pierwsza linia obrony.