DroidBot Мобильное вредоносное ПО

Новая и тревожная угроза для Android-банкинга, известная как DroidBot, набирает обороты, атакуя криптовалютные биржи и банковские приложения в Великобритании, Италии, Франции, Испании и Португалии. Впервые обнаруженный исследователями кибербезопасности в июне 2024 года, DroidBot работает как платформа Malware-as-a-Service (MaaS), предлагая свои вредоносные возможности партнерам за солидные 3000 долларов в месяц.

Несмотря на отсутствие новаторских функций, широкое использование и функциональность DroidBot делают его серьезной проблемой. Анализ одного из его ботнетов выявил 776 уникальных заражений в разных европейских странах, включая Турцию и Германию. Вредоносная программа также демонстрирует признаки экспансии в новые регионы, такие как Латинская Америка.

Как DroidBot MaaS расширяет возможности киберпреступников

Разработчики DroidBot, предположительно базирующиеся в Турции, создали платформу MaaS, которая снижает барьеры для киберпреступников, чтобы выполнять сложные атаки. Партнеры получают доступ к комплексному набору инструментов, включая:

• Конструктор вредоносных программ для настройки полезных нагрузок для конкретных целей.
• Серверы командования и управления (C2) для управления операциями.
• Центральная панель администрирования для извлечения собранных данных и выдачи команд.

Исследователи выявили 17 аффилированных групп, использующих DroidBot, все из которых работают на общей инфраструктуре C2 с уникальными идентификаторами для отслеживания активности. Аффилированные лица получают обширную документацию, поддержку и регулярные обновления через канал Telegram, создавая систему с низкими усилиями и высоким вознаграждением для злоумышленников.

Скрытность и обман: маскировка DroidBot

Для проникновения на пользовательские устройства DroidBot часто маскируется под легитимные приложения, включая Google Chrome, Google Play Store или даже службы безопасности Android. После установки он действует как троян, собирая конфиденциальную информацию из целевых приложений.

Его основные функции позволяют злоумышленникам выполнять ряд вредоносных действий, таких как:

• Кейлоггерство : регистрация всех нажатий клавиш на зараженном устройстве.
• Атаки с наложением данных : отображение поддельных экранов входа в систему поверх интерфейсов легитимных приложений для сбора учетных данных.
• Перехват SMS : перехват SMS-сообщений, особенно содержащих одноразовые пароли для входа в банковские системы.
• Удаленное управление устройствами : используя модуль виртуальных сетевых вычислений (VNC), партнеры могут удаленно просматривать и контролировать зараженные устройства, выполнять команды и скрывать свои действия, затемняя экран.

Использование служб доступности

DroidBot в значительной степени полагается на службы доступности Android, функцию, разработанную для помощи пользователям с ограниченными возможностями в отслеживании действий и имитации смахиваний или нажатий. Это злоупотребление подчеркивает важность тщательного изучения приложений, которые запрашивают необычные разрешения во время установки. Если приложение запрашивает доступ к службам доступности без четкой цели, пользователи должны немедленно отклонить запрос и удалить приложение, если это необходимо.

Особо ценные цели: банковские и криптографические приложения

Охват DroidBot распространяется на 77 известных криптовалютных и банковских приложений. Некоторые заметные цели включают:

• Криптовалютные биржи: Binance, KuCoin и Kraken.
• Банковские приложения: BBVA, Unicredit, Santander, BNP Paribas и Credit Agricole.
• Цифровые кошельки: Metamask.

Эти приложения хранят конфиденциальные финансовые данные, что делает их излюбленными целями киберпреступников.

Как оставаться защищенным

Для устранения таких угроз, как DroidBot, необходим проактивный подход:

• Придерживайтесь официальных источников : загружайте приложения только из Google Play Store.
• Проверьте разрешения : будьте бдительны в отношении необычных запросов на разрешения, особенно тех, которые связаны со службами специальных возможностей.
• Активируйте Play Protect : убедитесь, что эта функция безопасности включена на вашем устройстве Android.

Используя эти практики, пользователи могут значительно снизить свою подверженность таким угрозам, как DroidBot, и сохранить контроль над своими конфиденциальными данными. Поскольку DroidBot продолжает развиваться и расширять свое присутствие, оставаться информированным и осторожным по-прежнему важно для защиты от его обманных тактик.