Aplicații Android false .NET MAUI

Experții în securitate cibernetică au descoperit o nouă campanie de malware pentru Android care exploatează cadrul Microsoft .NET Multi-platform App UI (.NET MAUI). Deghizate în aplicații bancare și de social media, aceste aplicații amenințătoare vizează în primul rând utilizatorii indieni și vorbitori de chineză și urmăresc să colecteze informații sensibile.

Ce este .NET MAUI și de ce este utilizat?

.NET MAUI este cadrul multiplatformă Microsoft pentru dezvoltarea de aplicații native folosind C# și XAML. A evoluat de la Xamarin, oferind dezvoltatorilor o modalitate simplificată de a crea aplicații multi-platformă cu un singur proiect, permițând în același timp cod specific platformei acolo unde este necesar.

În special, Microsoft a încheiat oficial suportul pentru Xamarin la 1 mai 2024, încurajând dezvoltatorii să facă tranziția la .NET MAUI. Actorii amenințărilor s-au adaptat rapid, valorificând acest cadru pentru a dezvolta noi programe malware Android, continuându-și tendința de a rafina și a evolua metodele de atac.

Cum .NET MAUI ajută programele malware să evite detectarea

Spre deosebire de aplicațiile Android tradiționale, care se bazează pe fișiere DEX și biblioteci native, malware-ul bazat pe .NET MAUI își stochează funcționalitățile de bază în binare blob C#. Acest lucru face ca detectarea să fie mai dificilă, deoarece cadrul acționează ca un packer care ajută malware-ul să rămână nedetectat pe dispozitivele victime.

Prin utilizarea .NET MAUI, criminalii cibernetici obțin mai multe avantaje:

• Modul Stealth : Codul corupt este ascuns în fișierele binare C#, ceea ce face mai greu de analizat.
• Persistență extinsă : malware-ul rămâne pe dispozitivele infectate mai mult timp fără a declanșa alerte de securitate.
• Tactici de evaziune : Arhitectura neconvențională permite ocolirea scanărilor de securitate tradiționale.

Identificate aplicații false bancare și rețele sociale

Cercetătorii au identificat mai multe aplicații frauduloase folosind .NET MAUI, denumită în mod colectiv FakeApp. Unele dintre aplicațiile false notabile includ:

Aplicații bancare false:

Card de credit Indus (indus.credit.card)

Card Indusind (com.rewardz.card)

Aplicații false de rețele sociale și utilitare:

Cupidon (pommNC.csTgAT)

X•GDN (pgkhe9.ckJo4P)

迷城 (Míchéng) (pCDhCg.cEOngl)

私密相册 (album privat) (pBOnCi.cUVNXz)

小宇宙 (Micul Univers) (p9Z2Ej.cplkQv)

Aceste aplicații păcălesc utilizatorii să le instaleze, apoi extrag și transmit în tăcere datele lor personale către un server controlat de atacator.

Cum sunt păcăliți utilizatorii

Spre deosebire de aplicațiile legitime distribuite prin Google Play, aceste aplicații false se bazează pe tactici înșelătoare pentru distribuire. Atacatorii trimit linkuri frauduloase prin intermediul aplicațiilor de mesagerie, conducând utilizatorii către magazine de aplicații neoficiale de unde descarcă fără să știe malware-ul.

De exemplu:

• O aplicație bancară falsă uzurpă identitatea unei instituții financiare indiene pentru a fura numele complete ale utilizatorilor, numerele de telefon mobil, detaliile cărților de credit și actele de identitate emise de guvern.
• O aplicație frauduloasă de socializare care imită „X” (fostul Twitter) recoltează contacte, mesaje SMS și fotografii, vizând utilizatorii vorbitori de chineză.

Tehnicile avansate de evaziune utilizate

Pentru a evita detectarea, malware-ul folosește mai multe tehnici sofisticate:

• Transmiterea datelor criptate : Datele culese sunt trimise la un server de comandă și control (C2) utilizând comunicarea socket criptată.
• Permisiuni false : programul malware injectează permisiuni lipsite de sens (de exemplu, „android.permission.LhSSzIw6q”) în fișierul AndroidManifest.xml pentru a încurca instrumentele de analiză.
• Încărcare dinamică în mai multe etape : utilizează un încărcător criptat XOR pentru a lansa o sarcină utilă criptată AES, care apoi încarcă ansamblurile .NET MAUI care conțin malware-ul real.
• Interacțiunea utilizatorului declanșează acțiuni rău intenționate : sarcina utilă de bază rămâne ascunsă în codul C#, activând numai atunci când utilizatorul interacționează cu aplicația (de exemplu, apăsând un buton). În acel moment, fură în tăcere datele și le transmite către serverul C2.

Cum să fii în siguranță

Având în vedere sofisticarea crescândă a acestor atacuri, utilizatorii ar trebui să ia măsuri proactive pentru a se proteja:

• Evitați magazinele de aplicații terțe – descărcați numai aplicații din Google Play sau surse de încredere.
• Verificați permisiunile aplicației – Fiți atenți la aplicațiile care solicită permisiuni inutile.
• Rămâneți alert pentru link-uri de phishing – Nu faceți clic pe linkuri suspecte din mesaje.
• Utilizați software anti-malware – Instalați o soluție de securitate mobilă de încredere pentru a detecta și elimina potențialele amenințări.

Cu infractorii cibernetici care își dezvoltă în mod continuu tacticile, a rămâne informat și precaut este cea mai bună apărare împotriva acestor amenințări emergente.