Različica zlonamerne programske opreme HOOK za Android

Raziskovalci kibernetske varnosti so odkrili novo različico trojanskega konja za Android, znanega kot HOOK, ki zdaj vsebuje prekrivne sloje, podobne izsiljevalski programski opremi, namenjene izsiljevanju žrtev. To pomeni pomemben razvoj njegovih zmogljivosti in ga premika onkraj tradicionalne bančne zlonamerne programske opreme.

Izsiljevanje v slogu izsiljevalske programske opreme

Ena najbolj presenetljivih novosti v najnovejši različici je možnost namestitve celozaslonskega prekrivnega sloja z izsiljevalsko programsko opremo. Ta prekrivni sloj prikaže grozeče sporočilo »OPOZORILO«, ki ga spremlja dinamično pridobljen naslov denarnice in znesek odkupnine s strežnika za upravljanje in nadzor (C2).

Zaslon za izsiljevanje se sproži na daljavo, ko strežnik C2 pošlje ukaz »ransome«, in ga je mogoče zapreti, ko napadalec izda ukaz »delete_ransome«.

Korenine v bančnem trojancu ERMAC

HOOK velja za neposredno vejo bančnega trojanca ERMAC, katerega izvorna koda je bila že prej razkrita na spletu. Podobno kot ERMAC se tudi HOOK močno zanaša na storitve dostopnosti Androida in goljufive prekrivne zaslone za krajo poverilnic, avtomatizacijo finančnih goljufij in prevzem nadzora nad okuženimi napravami.

Napredne funkcije vohunjenja in izkoriščanja

Poleg kraje poverilnic se HOOK ponaša z vrsto vsiljivih funkcij. Zmore:

• Pošljite SMS sporočila na številke, ki jih nadzoruje napadalec.
• Predvajajte posnetek zaslona žrtve v živo.
• Zajemajte slike s sprednjo kamero.
• Ukradite piškotke in obnovitvene fraze, povezane s kriptovalutnimi denarnicami.

Te funkcije poudarjajo HOOK-ovo konvergenco z zmogljivostmi vohunske programske opreme, kar napadalcem daje široke možnosti nadzora in kraje.

Razširitev oddaljenih ukazov

Najnovejša različica programa HOOK podpira 107 oddaljenih ukazov z 38 novimi funkcijami. Te izboljšujejo njegovo sposobnost zavajanja uporabnikov in zbiranja občutljivih podatkov.

Nekateri najbolj opazni novi ukazi vključujejo:

• ransome – Na napravi prikaže prekrivno folijo v slogu izsiljevalske programske opreme
• delete_ransome – Odstrani prekrivno plast izsiljevalske programske opreme
• takenfc – Prikaže lažen zaslon NFC skeniranja za zajemanje podatkov kartice

• unlock_pin – Predstavlja ponarejen zaslon za odklepanje za krajo PIN-ov ali vzorcev naprave

• takencard – posnema Google Pay za lažno pridobivanje podatkov o kreditni kartici

• start_record_gesture – Uporablja prozorno prekrivanje za snemanje uporabniških gest

Obsežni distribucijski kanali

Raziskovalci so izsledili distribucijo HOOK-a do spletnih mest za lažno predstavljanje in goljufivih repozitorijev GitHub, ki gostijo zlonamerne datoteke APK. Uporaba GitHub-a za distribucijo zlonamerne programske opreme ni nova, saj so se prek platforme razširile tudi družine, kot sta ERMAC in Brokewell, kar kaže na njeno naraščajočo priljubljenost med akterji groženj.

Zabrisovanje meje med kategorijami zlonamerne programske opreme

Hiter razvoj virusa HOOK odraža zaskrbljujoč trend mobilnih groženj: združevanje bančnih trojancev, vohunske programske opreme in tehnik izsiljevanja. Z nenehnim širjenjem svojih funkcij in prek obsežnih kampanj HOOK predstavlja vse večje tveganje za finančne institucije, podjetja in vsakodnevne uporabnike Androida.