BankBot RAT

BankBot je výkonný trójsky kôň pre vzdialený prístup v systéme Android, ktorý po nainštalovaní dokáže získať rozsiahlu kontrolu nad zariadením. Využíva funkcie prístupnosti systému Android na zvyšovanie privilégií, automatizáciu akcií v používateľskom rozhraní, zhromažďovanie citlivých informácií a vykonávanie neoprávnených operácií, ktoré môžu viesť k finančným podvodom, krádeži identity a nasadeniu škodlivého softvéru. Akákoľvek potvrdená infekcia si vyžaduje okamžitú nápravu.

Stealth a profilovanie zariadení

BankBot sa aktívne vyhýba analýze a zameriava sa iba na vybrané prostredia. Vykonáva kontroly emulátora a sandboxu, kontroluje atribúty zariadení (značka, model, ROM) a upravuje svoje správanie tak, aby bežal na vybraných reálnych zariadeniach, zatiaľ čo v laboratórnych prostrediach zostáva neaktívny alebo vyhýbavý. Malvér tiež zhromažďuje a zaznamenáva telemetriu zariadení – verziu a zostavenie systému Android, značku a model, výrobcu, hardvér a ID zostavy a názov produktu – aby profiloval ciele a preskočil nepodporované zariadenia.

Získanie kontroly: Zneužívanie prístupnosti a tiché vytrvalosť

Hlavnou taktikou je zneužívanie služieb prístupnosti. BankBot dokáže otvoriť Nastavenia prístupnosti a sociálnym inžinierstvom prinútiť používateľa povoliť škodlivú službu prístupnosti. S týmto povolením môže automatizovať kliknutia, zadávať text, povoliť ďalšie povolenia a vykonávať akcie bez súhlasu používateľa. Dokáže tiež získať práva správcu zariadenia. Aby malvér prežil reštartovanie a udržal si dlhodobý prístup, naplánuje opakujúcu sa úlohu (približne každých 30 sekúnd), ktorá vyžaduje sieťové pripojenie a pretrváva aj po reštartovaní zariadenia.

Možnosti — Čo dokáže BankBot

Sada funkcií BankBotu mu poskytuje takmer úplnú kontrolu nad infikovaným telefónom. Medzi kľúčové schopnosti patrí: stlmenie systémového zvuku na potlačenie upozornení (zvonenia, oznámenia, médiá), zobrazovanie falošných výziev na celej obrazovke (napríklad „Overenie osobných údajov“) na odvádzanie pozornosti obetí počas aktivácie povolení a tiché povoľovanie služieb a stavu správcu. Dokáže programovo otvárať alebo zatvárať aplikácie, obnovovať obrazovky, simulovať dotyky a potiahnutia, odomykať obrazovku, ovládať presmerovanie hovorov, odosielať SMS správy, inštalovať alebo odinštalovať súbory APK, sťahovať súbory, robiť fotografie a snímky obrazovky, skrývať okná a vkladať text do vstupných polí. Malvér dokáže tiež čítať schránku systému Android a získať jej obsah – odhaliť heslá, kľúčové frázy a ďalšie tajomstvá – a zachytáva kontakty, SMS správy, zoznamy nainštalovaných aplikácií, stav zariadenia a geolokáciu.

Zameranie sa na bankovníctvo a kryptomeny – ktoré aplikácie sú ohrozené

BankBot prijíma pokyny z riadiaceho servera, ktorý poskytuje zoznam finančných a bankových aplikácií, na ktoré sa má zamerať pri krádeži poverení alebo podvodných transakciách. Taktiež sa cielene zameriava na mnoho kryptomenových peňaženiek automatizáciou používateľských rozhraní aplikácií peňaženiek prostredníctvom funkcie Prístupnosť na čítanie citlivých artefaktov, ako sú napríklad počiatočné frázy, súkromné kľúče alebo podrobnosti o transakciách. Medzi príklady pozorovaných cieľov peňaženiek patria:

• AUTOS, Bitcoin, BitKeep, Blockchainová peňaženka, Coin98 Super Wallet, Coinomi, Exodus, imToken, Krystal, MetaMask, MeWallet, SafePal, Status (krypto peňaženka Ethereum), TokenPocket, Trust Wallet, Valor.

Techniky klamania a maskovanie aplikácií

Aby sa znížilo podozrenie, BankBot môže zmeniť svoju ikonu a názov tak, aby sa vydával za legitímne služby (napríklad sa prezentoval ako Google News) a potom otvoril dôveryhodne vyzerajúci webový obsah vo WebView. Tieto kozmetické zmeny v kombinácii s falošnými výzvami podobnými reCAPTCHA alebo overovacími dialógovými oknami na celú obrazovku sa používajú na oklamanie používateľov, aby udelili povolenia alebo interagovali s aplikáciou, zatiaľ čo na pozadí prebiehajú škodlivé akcie.

Ako sa používatelia zvyčajne dostanú na BankBot

V mnohých prípadoch si obete nainštalujú BankBot samy po tom, čo boli oklamané. Medzi bežné cesty infekcie patria:

• Sťahovanie súborov APK z webových stránok kontrolovaných útočníkom alebo z obchodov tretích strán.
• Falošné alebo škodlivé aplikácie distribuované prostredníctvom nedôveryhodných úložísk aplikácií.
• Inštalácie alebo sťahovania z klamlivých reklám a vyskakovacích okien na pochybných stránkach.
• Odkazy v SMS správach, aplikáciách na odosielanie správ alebo phishingových e-mailoch.

Sociálne inžinierstvo je ústredným prvkom distribúcie: zločinci vytvárajú presvedčivé návnady, aby presvedčili používateľov, aby si stiahli a spustili malvér.

Riziká a očakávaný vplyv

Infikované zariadenie môže trpieť prevzatím kontroly nad účtom, neoprávnenými finančnými transakciami, odcudzením identity a stratou súkromia. Kombinácia zneužívania prístupnosti, tichého pretrvávania, profilovania zariadení a cielených útokov na bankové a krypto aplikácie robí BankBot obzvlášť nebezpečným pre používateľov s finančnými aplikáciami alebo krypto peňaženkami v telefónoch.

Okamžité kroky na obmedzenie šírenia a obnovu

Prevencia

Udržiavajte operačný systém a aplikácie zariadenia aktuálne, vyhýbajte sa sťahovaniu súborov APK z iných zdrojov alebo inštalácii aplikácií z nedôveryhodných zdrojov, vypnite automatickú inštaláciu z neznámych zdrojov, buďte podozrievaví k výzvam, ktoré vás žiadajú o povolenie funkcií prístupnosti alebo správy zariadenia, a používajte dôveryhodný produkt mobilného zabezpečenia, ktorý dokáže odhaliť a odstrániť trójske kone a adware. Vzdelávajte používateľov a zamestnancov o taktikách sociálneho inžinierstva, ktoré uľahčujú sťahovanie z iných zdrojov a udeľovanie povolení.

Zhrnutie – Zaobchádzajte s BankBot ako s vysoko rizikovým nástrojom

BankBot je nenápadný, funkčne bohatý antivírusový program pre Android, ktorý kombinuje zneužívanie prístupnosti, kontroly prostredia, pretrvávajúce plánované úlohy, automatizáciu používateľského rozhrania a cielenú krádež bankových a krypto aktív. Vzhľadom na potenciál vážneho finančného poškodenia a poškodenia súkromia by sa akákoľvek podozrivá infekcia mala považovať za urgentnú: odstráňte malvér, zabezpečte účty z čistého zariadenia a podniknite vyššie uvedené preventívne kroky na zníženie budúceho vystavenia sa škodlivým programom.