.NET MAUI Aplikacione të rreme Android

Ekspertët e sigurisë kibernetike kanë zbuluar një fushatë të re malware Android që shfrytëzon kuadrin e Microsoft .NET Multi-platform App UI (.NET MAUI). Të maskuar si aplikacione bankare dhe të mediave sociale, këto aplikacione kërcënuese synojnë kryesisht përdoruesit indianë dhe kinezishtfolës dhe synojnë të mbledhin informacione të ndjeshme.

Çfarë është .NET MAUI dhe pse po përdoret?

.NET MAUI është korniza ndër-platformë e Microsoft për zhvillimin e aplikacioneve vendase duke përdorur C# dhe XAML. Ai evoluoi nga Xamarin, duke u ofruar zhvilluesve një mënyrë të thjeshtë për të krijuar aplikacione me shumë platforma me një projekt të vetëm duke lejuar kodin specifik të platformës aty ku nevojitet.

Veçanërisht, Microsoft përfundoi zyrtarisht mbështetjen për Xamarin më 1 maj 2024, duke inkurajuar zhvilluesit të kalojnë në .NET MAUI. Aktorët e kërcënimit janë përshtatur shpejt, duke shfrytëzuar këtë kornizë për të zhvilluar malware të ri Android, duke vazhduar trendin e tyre të rafinimit dhe zhvillimit të metodave të sulmit.

Si .NET MAUI ndihmon në zbulimin e shmangies së malware

Ndryshe nga aplikacionet tradicionale Android, të cilat mbështeten në skedarët DEX dhe bibliotekat vendase, malware i bazuar në .NET MAUI ruan funksionalitetet e tij kryesore në binarët e blob C#. Kjo e bën zbulimin më sfidues, pasi korniza vepron si një paketues që ndihmon malware të vazhdojë të pazbuluar në pajisjet e viktimës.

Duke përdorur .NET MAUI, kriminelët kibernetikë fitojnë disa përparësi:

• Modaliteti i fshehtë : Kodi i dëmtuar fshihet brenda binarëve C#, duke e bërë më të vështirë analizimin.
• Qëndrueshmëri e zgjatur : Malware mbetet në pajisjet e infektuara më gjatë pa shkaktuar alarme sigurie.
• Taktikat e Evazionit : Arkitektura jokonvencionale lejon anashkalimin e skanimeve tradicionale të sigurisë.

Identifikohen aplikacione të rreme bankare dhe media sociale

Studiuesit kanë identifikuar aplikacione të shumta mashtruese duke përdorur .NET MAUI, të referuara kolektivisht si FakeApp. Disa nga aplikacionet e rreme të dukshme përfshijnë:

Aplikime të rreme bankare:

Kartë krediti Indus (indus.credit.card)

Karta Indusind (com.rewardz.card)

Aplikacione të rreme të mediave sociale dhe të shërbimeve:

Cupid (pommNC.csTgAT)

X•GDN (pgkhe9.ckJo4P)

迷城 (Míchéng) (pCDhCg.cEOngl)

私密相册 (Album privat) (pBOnCi.cUVNXz)

小宇宙 (Universi i vogël) (p9Z2Ej.cplkQv)

Këto aplikacione mashtrojnë përdoruesit për t'i instaluar ato, pastaj nxjerrin në heshtje dhe transmetojnë të dhënat e tyre personale në një server të kontrolluar nga sulmuesi.

Si mashtrohen përdoruesit

Ndryshe nga aplikacionet legjitime të shpërndara përmes Google Play, këto aplikacione të rreme mbështeten në taktika mashtruese për shpërndarje. Sulmuesit dërgojnë lidhje mashtruese përmes aplikacioneve të mesazheve, duke i çuar përdoruesit në dyqanet jozyrtare të aplikacioneve ku shkarkojnë pa e ditur malware.

Për shembull:

• Një aplikacion bankar i rremë imiton një institucion financiar indian për të vjedhur emrat e plotë të përdoruesve, numrat celularë, detajet e kartës së kreditit dhe ID-të e lëshuara nga qeveria.
• Një aplikacion mashtrues i mediave sociale që imiton "X" (dikur Twitter) mbledh kontakte, mesazhe SMS dhe foto, duke synuar përdoruesit që flasin kinezisht.

Teknikat e avancuara të evazionit të përdorura

Për të shmangur zbulimin, malware përdor teknika të shumta të sofistikuara:

• Transmetimi i koduar i të dhënave : Të dhënat e grumbulluara dërgohen në një server Command-and-Control (C2) duke përdorur komunikim të koduar të prizës.
• Lejet e rreme : Malware injekton leje të pakuptimta (p.sh. 'android.permission.LhSSzIw6q') në skedarin AndroidManifest.xml për të ngatërruar mjetet e analizës.
• Ngarkimi dinamik me shumë faza : Ai përdor një ngarkues të koduar XOR për të nisur një ngarkesë të koduar me AES, e cila më pas ngarkon asambletë .NET MAUI që përmbajnë malware-in aktual.
• Ndërveprimi i përdoruesit shkakton veprime me qëllim të keq : ngarkesa kryesore mbetet e fshehur në kodin C#, duke u aktivizuar vetëm kur përdoruesi ndërvepron me aplikacionin (p.sh., duke shtypur një buton). Në atë pikë, ai vjedh në heshtje të dhënat dhe i transmeton ato në serverin C2.

Si të qëndroni të sigurt

Duke pasur parasysh sofistikimin në rritje të këtyre sulmeve, përdoruesit duhet të ndërmarrin hapa proaktivë për të mbrojtur veten:

• Shmangni dyqanet e aplikacioneve të palëve të treta – shkarkoni aplikacione vetëm nga Google Play ose burime të besuara.
• Verifikoni lejet e aplikacionit – Jini të kujdesshëm ndaj aplikacioneve që kërkojnë leje të panevojshme.
• Qëndroni vigjilent për lidhjet e phishing – Mos klikoni në lidhje të dyshimta në mesazhe.
• Përdorni Softuerin Anti-Malware – Instaloni një zgjidhje të besueshme të sigurisë celulare për të zbuluar dhe hequr kërcënimet e mundshme.

Me kriminelët kibernetikë që evoluojnë vazhdimisht taktikat e tyre, qëndrimi i informuar dhe i kujdesshëm është mbrojtja më e mirë kundër këtyre kërcënimeve në zhvillim.