BankBot PODGANA

BankBot je zmogljiv trojanski konj za oddaljeni dostop do sistema Android, ki lahko po namestitvi prevzame obsežen nadzor nad napravo. Izkorišča funkcije dostopnosti sistema Android za povečanje privilegijev, avtomatizacijo dejanj uporabniškega vmesnika, zbiranje občutljivih informacij in izvajanje nepooblaščenih operacij, ki lahko vodijo do finančnih goljufij, kraje identitete in namestitve zlonamerne programske opreme. Vsaka potrjena okužba zahteva takojšnjo sanacijo.

Prikritost in profiliranje naprav

BankBot se aktivno izogiba analizi in cilja le na izbrana okolja. Izvaja preverjanja emulatorja in peskovnika, pregleduje atribute naprav (znamka, model, ROM) in prilagaja svoje vedenje tako, da deluje na izbranih dejanskih napravah, medtem ko v laboratorijskih okoljih ostaja neaktiven ali se izogiba. Zlonamerna programska oprema zbira in beleži tudi telemetrijo naprav – različico in gradnjo Androida, znamko in model, proizvajalca, ID-je strojne opreme in gradnje ter ime izdelka – za profiliranje tarč in preskakovanje nepodprtih naprav.

Pridobivanje nadzora: Zloraba dostopnosti in tiha vztrajnost

Osrednja taktika je zloraba storitev dostopnosti. BankBot lahko odpre nastavitve dostopnosti in s socialnim inženiringom prepriča uporabnika, da omogoči zlonamerno storitev dostopnosti; s tem dovoljenjem lahko avtomatizira klike, vnaša besedilo, omogoča druga dovoljenja in izvaja dejanja brez uporabnikovega soglasja. Pridobi lahko tudi skrbniške pravice naprave. Da bi preživela ponovne zagone in ohranila dolgoročen dostop, zlonamerna programska oprema načrtuje ponavljajočo se nalogo (približno vsakih 30 sekund), ki zahteva omrežno povezljivost in se nadaljuje po ponovnih zagonih naprave.

Zmogljivosti — Kaj zmore BankBot

BankBot s svojimi funkcijami omogoča skoraj popoln nadzor nad okuženim telefonom. Ključne zmogljivosti vključujejo: utišanje sistemskega zvoka za zatiranje opozoril (melodij zvonjenja, obvestil, medijev), prikazovanje lažnih pozivov na celotnem zaslonu (na primer »Preverjanje osebnih podatkov«) za motenje žrtev med aktiviranjem dovoljenj ter tiho omogočanje storitev in statusa skrbnika. Programsko lahko odpira ali zapira aplikacije, osvežuje zaslone, simulira dotike in potege, odklepa zaslon, nadzoruje preusmerjanje klicev, pošilja SMS sporočila, namešča ali odstranjuje APK-je, prenaša datoteke, fotografira in posname posnetke zaslona, skriva okna in nastavlja besedilo v vnosna polja. Zlonamerna programska oprema lahko tudi bere odložišče Android in izvleče njegovo vsebino – razkrije gesla, ključne besede in druge skrivnosti – ter zajame stike, SMS-e, sezname nameščenih aplikacij, stanje naprave in geolokacijo.

Ciljanje bančništva in kriptovalut – katere aplikacije so ogrožene

BankBot prejema navodila od strežnika za upravljanje in nadzor, ki posreduje seznam finančnih in bančnih aplikacij, ki jih je treba ciljati za krajo poverilnic ali goljufive transakcije. Prav tako posebej cilja na številne denarnice s kriptovalutami, tako da avtomatizira uporabniške vmesnike aplikacij denarnic prek dostopnosti za branje občutljivih artefaktov, kot so semenske fraze, zasebni ključi ali podrobnosti transakcij. Primeri opaženih ciljev denarnic vključujejo:

• AUTOS, Bitcoin, BitKeep, denarnica Blockchain, super denarnica Coin98, Coinomi, Exodus, imToken, Krystal, MetaMask, MeWallet, SafePal, Status (kripto denarnica Ethereum), TokenPocket, denarnica Trust, Valor.

Tehnike prevare in maskiranje aplikacij

Da bi zmanjšal sum, lahko BankBot spremeni svojo ikono in ime, da se izdaja za legitimne storitve (na primer, predstavi se kot Google News) in nato odpre zaupanja vredno spletno vsebino znotraj WebView-a. Te kozmetične spremembe, skupaj s ponarejenimi pozivi, podobnimi reCAPTCHA, ali pogovornimi okni za preverjanje na celotnem zaslonu, se uporabljajo za to, da uporabnike zavedejo, da odobrijo dovoljenja ali komunicirajo z aplikacijo, medtem ko se v ozadju izvajajo zlonamerna dejanja.

Kako uporabniki običajno pristanejo na BankBotu

V mnogih primerih žrtve same namestijo BankBot, potem ko so bile prevarane. Pogoste poti okužbe vključujejo:

• Stransko nalaganje APK-jev s spletnih mest, ki jih nadzorujejo napadalci, ali iz trgovin tretjih oseb.
• Lažne ali zlonamerne aplikacije, ki se distribuirajo prek nezaupanja vrednih repozitorijev aplikacij.
• Nameščanja ali prenosi prek zavajajočih oglasov in pojavnih oken na dvomljivih spletnih mestih.
• Povezave v SMS-ih, aplikacijah za sporočanje ali lažnih e-poštnih sporočilih.

Socialni inženiring je osrednjega pomena za distribucijo: kriminalci ustvarjajo prepričljive vabe, da bi uporabnike prepričali k prenosu in zagonu zlonamerne programske opreme.

Tveganja in pričakovani vpliv

Okužena naprava lahko utrpi prevzem računa, nepooblaščene finančne transakcije, krajo identitet in izgubo zasebnosti. Zaradi kombinacije zlorabe dostopnosti, tihe vztrajnosti, profiliranja naprav in ciljno usmerjenih napadov na bančne in kripto aplikacije je BankBot še posebej nevaren za uporabnike s finančnimi aplikacijami ali kripto denarnicami na telefonih.

Takojšnji ukrepi za zadrževanje in okrevanje

• Preklic sumljivih dovoljenj: odstranite dovoljenja za dostopnost in obvestila za neznane aplikacije ter prekličite pravice skrbnika naprave.

• Odstranite zlonamerne aplikacije in zaženite popolno skeniranje z uglednim izdelkom za mobilno varnost.

• Spremenite gesla in omogočite večfaktorsko preverjanje pristnosti za finančne račune in vse storitve, ki se uporabljajo v napravi – to storite iz čiste naprave.

• Če sumite na goljufivo dejavnost, se obrnite na banke ali ponudnike denarnic in spremljajte račune glede nepooblaščenih transakcij.

• Če so bile izpostavljene semenske fraze ali zasebni ključi, premaknite sredstva na nove naslove denarnic, katerih ključi so bili ustvarjeni na čisti napravi.

Preprečevanje

Poskrbite za posodabljanje operacijskega sistema in aplikacij naprave, izogibajte se nameščanju datotek APK ali aplikacij iz nezanesljivih virov, onemogočite samodejno namestitev iz neznanih virov, bodite nezaupljivi do pozivov, ki vas pozivajo k omogočanju funkcij za dostopnost ali skrbništvo naprave, in uporabljajte zaupanja vreden izdelek za mobilno varnost, ki lahko zazna in odstrani trojanske konje in oglaševalsko programsko opremo. Uporabnike in zaposlene izobrazite o taktikah socialnega inženiringa, ki omogočajo nalaganje in podeljevanje dovoljenj.

Povzetek – BankBot obravnavajte kot visoko tvegano orodje

BankBot je prikrit, z mnogimi funkcijami bogat Android RAT, ki združuje zlorabo dostopnosti, preverjanje okolja, vztrajna načrtovana opravila, avtomatizacijo uporabniškega vmesnika in ciljno usmerjeno krajo bančnih in kripto sredstev. Zaradi potencialne resne finančne in zasebnostne škode je treba vsako domnevno okužbo obravnavati kot nujno: odstranite zlonamerno programsko opremo, zavarujte račune iz čiste naprave in upoštevajte zgoraj navedene preventivne ukrepe za zmanjšanje prihodnje izpostavljenosti.