Банковский троян Crocodilus

Эксперты по кибербезопасности обнаружили новую банковскую вредоносную программу для Android под названием Crocodilus, которая в первую очередь нацелена на пользователей в Испании и Турции. В отличие от многих новых угроз, которые начинаются как элементарные версии существующих вредоносных программ, Crocodilus выходит на киберпреступный ландшафт как полностью разработанный, сложный банковский троян.

Продвинутые методы для максимального урона

Crocodilus использует современные технологии, такие как:

• Возможности удаленного управления
• Черный экран накладывается, чтобы скрыть его присутствие
• Расширенный сбор данных посредством регистрации доступности

Как и другие банковские трояны, он нацелен на захват устройства (DTO) и позволяет киберпреступникам проводить мошеннические транзакции. Более глубокий анализ его исходного кода и отладочных сообщений позволяет предположить, что автор вредоносного ПО является турецкоязычным.

Маскируется под Google Chrome, чтобы избежать обнаружения

Crocodilus разработан для обхода ограничений безопасности Android 13+ путем маскировки под Google Chrome (имя пакета: 'quizzical.washbowl.calamity'). После установки поддельное приложение запрашивает разрешения службы специальных возможностей, что дает ему полный контроль над устройством.

После активации он подключается к удаленному серверу командования и управления (C2) для:

• Получить дальнейшие инструкции
• Получить список целевых финансовых приложений
• Развертывание HTML-наложений для кражи учетных данных пользователей

Криптовалютные кошельки под прицелом

Crocodilus не останавливается только на банковских приложениях — он также нацелен на криптовалютные кошельки. Вместо того, чтобы использовать поддельную страницу входа, он обманывает жертв с помощью мошеннического оповещения о резервном копировании, предупреждая их о необходимости сохранить свою сид-фразу в течение 12 часов или рисковать потерей своих активов.

Эта тактика социальной инженерии заставляет жертв переходить к своим исходным фразам, которые затем собираются с помощью злоупотребления службой доступности. Используя эту информацию, злоумышленники могут захватить контроль над кошельком и слить его средства.

Постоянный мониторинг и кража учетных данных

Crocodilus предназначен для постоянной работы в фоновом режиме, внимательно следя за запусками приложений и активируя оверлеи для перехвата учетных данных. Он может:

• Мониторинг всех событий доступности
• Захватите все элементы, отображаемые на экране
• Сделайте скриншоты Google Authenticator, чтобы обойти двухфакторную аутентификацию

Таким образом, Crocodilus гарантирует, что его операторы не заметят никаких действий по входу в систему.

Скрытый режим: сокрытие вредоносных действий

Чтобы оставаться незамеченным, Крокодилус применяет различные тактики скрытности, в том числе:

• Отображение черного экрана для сокрытия несанкционированных действий
• Отключение звуков, чтобы жертвы не слышали подозрительных сигналов

Из-за этих мер жертвам становится гораздо сложнее осознать, что их устройства были взломаны.

Мощный арсенал разрушительных функций

Crocodilus разработан с рядом угрожающих возможностей, которые позволяют ему полностью контролировать зараженное устройство. Он может запускать определенные приложения, удалять себя с устройства, чтобы избежать обнаружения, и отправлять push-уведомления для манипулирования поведением пользователя. Вредоносная программа также может отправлять SMS-сообщения выбранным или всем контактам, извлекать списки контактов и список установленных приложений, предоставляя злоумышленникам полное представление о цифровом следе жертвы.

Кроме того, Crocodilus может читать SMS-сообщения, запрашивать привилегии администратора устройства для получения более глубокого контроля и активировать режим черного наложения, чтобы скрыть свои небезопасные действия. Он регулярно обновляет настройки сервера Command-and-Control (C2), гарантируя, что он может адаптироваться и реагировать на новые инструкции от своих операторов. Для дальнейшего скрытия своих операций он может включать или отключать звук, переключать кейлоггер для захвата вводимых пользователем данных и даже делать себя менеджером SMS по умолчанию, что позволяет ему перехватывать и манипулировать сообщениями незамеченным.

Crocodilus: новая угроза мобильному банкингу

Появление Crocodilus знаменует собой небезопасную эскалацию сложности вредоносного ПО для мобильного банкинга. В отличие от многих недавно обнаруженных угроз, Crocodilus изначально является зрелым, используя передовые методы захвата устройств, функции удаленного управления и атаки черного наложения для компрометации пользователей.

Благодаря скрытному выполнению и надежному набору функций эта вредоносная программа создает новый прецедент для банковских угроз на Android, доказывая, что киберпреступники постоянно совершенствуют свою тактику, чтобы опережать меры безопасности.