Varianta de malware HOOK pentru Android

Cercetătorii în domeniul securității cibernetice au identificat o nouă variantă a trojanului bancar pentru Android, cunoscută sub numele de HOOK, care acum prezintă suprapuneri de tip ransomware, concepute pentru a extorca victimele. Aceasta marchează o evoluție semnificativă a capacităților sale, împingându-l dincolo de malware-ul bancar tradițional.

Extorcare prin suprapunere de tip ransomware

Una dintre cele mai remarcabile completări ale celei mai recente variante este capacitatea sa de a implementa o suprapunere ransomware pe ecran complet. Această suprapunere afișează un mesaj amenințător de „AVERTISMENT”, însoțit de o adresă de portofel recuperată dinamic și de suma recompensei de la serverul de comandă și control (C2).

Ecranul de extorcare este declanșat de la distanță atunci când serverul C2 trimite comanda „ransome” și poate fi închis atunci când atacatorul execută instrucțiunea „delete_ransome”.

Rădăcini în troianul bancar ERMAC

HOOK este considerat o ramură directă a troianului bancar ERMAC, al cărui cod sursă a fost divulgat anterior online. La fel ca ERMAC, HOOK se bazează în mare măsură pe serviciile de accesibilitate ale Android și pe ecranele suprapuse frauduloase pentru a fura acreditări, a automatiza frauda financiară și a prelua controlul asupra dispozitivelor infectate.

Funcții avansate de spionaj și exploatare

Dincolo de furtul de acreditări, HOOK se mândrește cu o varietate de funcții intruzive. Poate:

• Trimite mesaje SMS către numere controlate de atacatori.
• Transmiteți în direct o transmisie de pe ecranul victimei.
• Capturați imagini folosind camera frontală.
• Fură cookie-uri și fraze de recuperare legate de portofelele de criptomonede.

Aceste funcții evidențiază convergența HOOK cu capabilitățile programelor spyware, oferind atacatorilor opțiuni ample de supraveghere și furt.

Extinderea comenzilor la distanță

Cea mai recentă versiune a HOOK acceptă 107 comenzi de la distanță, cu 38 de capabilități nou adăugate. Acestea îi sporesc capacitatea de a înșela utilizatorii și de a colecta date sensibile.

Printre cele mai notabile comenzi noi se numără:

• ransome – Afișează o suprapunere în stil ransomware pe dispozitiv
• delete_ransome – Elimină stratul protector ransomware
• takenfc – Afișează un ecran fals de scanare NFC pentru a captura date despre card

• unlock_pin – Prezintă un ecran de deblocare fals pentru a fura codurile PIN sau modelele dispozitivului

• takencard – Imită Google Pay pentru a obține detalii despre cardul de credit prin phishing

• start_record_gesture – Folosește o suprapunere transparentă pentru a înregistra gesturile utilizatorului

Canale de distribuție la scară largă

Cercetătorii au urmărit distribuția HOOK către site-uri web de phishing și depozite GitHub frauduloase care găzduiesc fișiere APK malițioase. Utilizarea GitHub pentru distribuirea de programe malware nu este o noutate, familii precum ERMAC și Brokewell fiind, de asemenea, răspândite prin intermediul platformei, demonstrând popularitatea sa crescândă în rândul actorilor amenințători.

Estomparea liniei dintre categoriile de programe malware

Evoluția rapidă a HOOK reflectă o tendință îngrijorătoare în ceea ce privește amenințările mobile: convergența troienilor bancari, a programelor spyware și a tehnicilor ransomware. Prin extinderea constantă a funcțiilor sale și răspândirea prin campanii la scară largă, HOOK reprezintă un risc tot mai mare pentru instituțiile financiare, întreprinderi și utilizatorii obișnuiți de Android.