Troianul Crocodilus Banking

Experții în securitate cibernetică au descoperit un nou program malware bancar Android numit Crocodilus, care vizează în principal utilizatorii din Spania și Turcia. Spre deosebire de multe amenințări emergente care încep ca versiuni rudimentare ale programelor malware existente, Crocodilus intră în peisajul criminalității cibernetice ca un troian bancar complet dezvoltat și sofisticat.

Tehnici avansate pentru daune maxime

Crocodilus folosește tehnici moderne precum:

• Capabilitati de control de la distanta
• Ecran negru suprapuneri pentru a-i ascunde prezența
• Recoltarea avansată a datelor prin înregistrarea accesibilității

Ca și alți troieni bancari, acesta își propune să preia un dispozitiv (DTO) și să permită infractorilor cibernetici să efectueze tranzacții frauduloase. O analiză mai profundă a codului sursă și a mesajelor de depanare sugerează că autorul malware-ului este vorbitor de turcă.

Deghizat în Google Chrome pentru a evita detectarea

Crocodilus este proiectat pentru a ocoli restricțiile de securitate Android 13+, mascandu-se drept Google Chrome (numele pachetului: „quizzical.washbowl.calamity”). Odată instalată, aplicația falsă solicită permisiuni de serviciu de accesibilitate, ceea ce îi oferă control complet asupra dispozitivului.

La activare, se conectează la un server de comandă și control de la distanță (C2) la:

• Primiți instrucțiuni suplimentare
• Preluați lista aplicațiilor financiare vizate
• Implementați suprapuneri HTML pentru a fura acreditările utilizatorului

Portofele cu criptomonede în punctul de vedere

Crocodilus nu se oprește doar la aplicațiile bancare, ci vizează și portofelele criptomonede. În loc să folosească o pagină de autentificare falsă, păcălește victimele cu o alertă de rezervă frauduloasă, avertizându-le să-și salveze fraza de bază în 12 ore sau riscă să-și piardă activele.

Această tactică de inginerie socială manipulează victimele pentru a naviga la frazele lor de bază, care sunt apoi recoltate prin abuzul serviciului de accesibilitate. Cu aceste informații, atacatorii pot prelua controlul asupra portofelului și pot scurge fondurile acestuia.

Monitorizare continuă și furt de acreditări

Crocodilus este conceput să ruleze în mod persistent în fundal, urmărind îndeaproape lansările aplicațiilor și declanșând suprapuneri pentru a intercepta acreditările. Se poate:

• Monitorizați toate evenimentele de accesibilitate
• Capturați toate elementele afișate pe ecran
• Faceți capturi de ecran cu Google Authenticator pentru a ocoli autentificarea cu doi factori

Procedând astfel, Crocodilus se asigură că operatorii săi nu observă nicio activitate de conectare.

Modul Stealth: ascunderea activităților dăunătoare

Pentru a rămâne nedetectat, Crocodilus folosește diverse tactici furtive, inclusiv:

• Afișarea unei suprapuneri de ecran negru pentru a ascunde activitățile neautorizate
• Dezactivarea sunetelor pentru a împiedica victimele să audă alerte suspecte

Aceste măsuri îngreunează mult mai mult victimele să realizeze că dispozitivele lor au fost compromise.

Un arsenal puternic de caracteristici dăunătoare

Crocodilus este proiectat cu o serie de capabilități amenințătoare care îi permit să preia controlul complet asupra unui dispozitiv infectat. Poate lansa anumite aplicații, se poate elimina de pe dispozitiv pentru a evita detectarea și poate trimite notificări push pentru a manipula comportamentul utilizatorului. Malware-ul are, de asemenea, capacitatea de a trimite mesaje SMS către anumite persoane sau către toate persoanele de contact, de a prelua liste de contacte și de a prelua o listă de aplicații instalate, oferind atacatorilor o imagine cuprinzătoare asupra amprentei digitale a victimei.

În plus, Crocodilus poate citi mesaje SMS, poate solicita privilegii de administrator al dispozitivului pentru a obține un control mai profund și poate activa un mod de suprapunere neagră pentru a-și ascunde activitățile nesigure. Își actualizează în mod regulat setările serverului Command-and-Control (C2), asigurându-se că se poate adapta și răspunde la noile instrucțiuni de la operatorii săi. Pentru a-și continua operațiunile ascunse, poate activa sau dezactiva sunetul, poate comuta înregistrarea tastelor pentru a capta intrările utilizatorilor și chiar poate deveni managerul implicit de SMS-uri, permițându-i să intercepteze și să manipuleze comunicațiile nedetectate.

Crocodilus: o nouă amenințare pentru serviciile bancare mobile

Apariția lui Crocodilus marchează o escaladare nesigură în sofisticarea software-ului malware bancar mobil. Spre deosebire de multe amenințări recent descoperite, Crocodilus este matur încă de la început, utilizând tehnici avansate de preluare a dispozitivului, funcții de control de la distanță și atacuri de suprapunere neagră pentru a compromite utilizatorii.

Cu execuția sa furioasă și setul robust de funcții, acest malware creează un nou precedent pentru amenințările bancare Android, demonstrând că infractorii cibernetici își îmbunătățesc în mod constant tacticile pentru a fi în fața măsurilor de securitate.