Crocodilus Banking Trojan
ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์ได้ค้นพบมัลแวร์สำหรับระบบธนาคารบนระบบปฏิบัติการแอนดรอยด์ตัวใหม่ชื่อ Crocodilus ซึ่งมุ่งเป้าไปที่ผู้ใช้ในสเปนและตุรกีเป็นหลัก ซึ่งแตกต่างจากภัยคุกคามใหม่ๆ ที่เกิดขึ้นใหม่ซึ่งเริ่มต้นจากมัลแวร์ที่มีอยู่เดิมในรูปแบบพื้นฐาน Crocodilus เข้ามาในวงการอาชญากรรมทางไซเบอร์ในรูปแบบของโทรจันสำหรับระบบธนาคารที่พัฒนาอย่างเต็มรูปแบบและซับซ้อน
สารบัญ
เทคนิคขั้นสูงเพื่อความเสียหายสูงสุด
Crocodilus ใช้เทคนิคสมัยใหม่ เช่น:
- ความสามารถการควบคุมระยะไกล
- ซ้อนหน้าจอสีดำเพื่อซ่อนการมีอยู่ของมัน
- การรวบรวมข้อมูลขั้นสูงผ่านการบันทึกการเข้าถึง
เช่นเดียวกับโทรจันสำหรับธนาคารอื่นๆ มันมุ่งหมายที่จะเข้ายึดครองอุปกรณ์ (DTO) และอนุญาตให้ผู้ก่ออาชญากรรมทางไซเบอร์ทำธุรกรรมฉ้อโกง การวิเคราะห์โค้ดต้นฉบับและข้อความดีบักอย่างละเอียดแสดงให้เห็นว่าผู้สร้างมัลแวร์เป็นคนตุรกี
ปลอมตัวเป็น Google Chrome เพื่อหลีกเลี่ยงการตรวจจับ
Crocodilus ถูกออกแบบมาเพื่อหลีกเลี่ยงข้อจำกัดด้านความปลอดภัยของ Android 13+ โดยแอบอ้างว่าเป็น Google Chrome (ชื่อแพ็คเกจ: 'quizzical.washbowl.calamity') เมื่อติดตั้งแล้ว แอปพลิเคชันปลอมจะขออนุญาตบริการการเข้าถึง ซึ่งจะทำให้สามารถควบคุมอุปกรณ์ได้อย่างสมบูรณ์
เมื่อเปิดใช้งานแล้ว จะเชื่อมต่อกับเซิร์ฟเวอร์ Command-and-Control (C2) ระยะไกลเพื่อ:
- รับคำแนะนำเพิ่มเติม
- ดึงรายการแอปพลิเคชันทางการเงินเป้าหมาย
- ใช้งานโอเวอร์เลย์ HTML เพื่อขโมยข้อมูลประจำตัวผู้ใช้
กระเป๋าเงิน Cryptocurrency ใน Crosshairs
Crocodilus ไม่เพียงแต่หยุดอยู่ที่แอปพลิเคชันธนาคารเท่านั้น แต่ยังกำหนดเป้าหมายไปที่กระเป๋าเงินสกุลเงินดิจิทัลอีกด้วย แทนที่จะใช้หน้าล็อกอินปลอม มันจะหลอกเหยื่อด้วยการแจ้งเตือนการสำรองข้อมูลปลอม โดยเตือนให้บันทึกวลีเมล็ดพันธุ์ภายใน 12 ชั่วโมง มิฉะนั้นอาจเสี่ยงต่อการสูญเสียทรัพย์สิน
กลวิธีทางวิศวกรรมสังคมนี้ใช้กลวิธีหลอกล่อเหยื่อให้เข้าไปที่วลีเริ่มต้นของพวกเขา จากนั้นจึงเก็บเกี่ยววลีเหล่านี้ผ่านการใช้บริการการเข้าถึงในทางที่ผิด ด้วยข้อมูลนี้ ผู้โจมตีจะสามารถควบคุมกระเป๋าสตางค์และถอนเงินออกไปได้
การติดตามอย่างต่อเนื่องและการโจรกรรมข้อมูลประจำตัว
Crocodilus ได้รับการออกแบบมาให้ทำงานอย่างต่อเนื่องในเบื้องหลัง โดยคอยจับตาดูการเปิดแอปพลิเคชันและเรียกใช้โอเวอร์เลย์เพื่อสกัดกั้นข้อมูลรับรอง มันสามารถ:
- ตรวจสอบเหตุการณ์การเข้าถึงทั้งหมด
- จับภาพองค์ประกอบทั้งหมดที่ปรากฏบนหน้าจอ
- จับภาพหน้าจอของ Google Authenticator เพื่อข้ามการตรวจสอบสิทธิ์แบบสองขั้นตอน
ด้วยการทำเช่นนี้ Crocodilus จะรับประกันว่าผู้ดำเนินการจะไม่สังเกตเห็นกิจกรรมการเข้าสู่ระบบใดๆ
โหมดล่องหน: ซ่อนกิจกรรมที่เป็นอันตราย
เพื่อไม่ให้ถูกตรวจพบ Crocodilus จึงใช้กลวิธีแอบแฝงต่างๆ รวมถึง:
- การแสดงหน้าจอสีดำทับเพื่อซ่อนกิจกรรมที่ไม่ได้รับอนุญาต
- ปิดเสียงเพื่อป้องกันไม่ให้เหยื่อได้ยินการแจ้งเตือนที่น่าสงสัย
มาตรการเหล่านี้ทำให้เหยื่อตระหนักได้ยากขึ้นมากว่าอุปกรณ์ของตนถูกบุกรุก
คลังอาวุธทรงพลังแห่งคุณสมบัติอันทรงคุณค่า
Crocodilus ได้รับการออกแบบมาพร้อมความสามารถคุกคามหลากหลายรูปแบบ ซึ่งช่วยให้สามารถควบคุมอุปกรณ์ที่ติดไวรัสได้อย่างสมบูรณ์ มันสามารถเปิดแอปพลิเคชันเฉพาะ ลบตัวเองออกจากอุปกรณ์เพื่อหลีกเลี่ยงการตรวจจับ และส่งการแจ้งเตือนแบบพุชเพื่อควบคุมพฤติกรรมของผู้ใช้ นอกจากนี้ มัลแวร์ยังสามารถส่งข้อความ SMS ไปยังผู้ติดต่อที่เลือกหรือทั้งหมด ดึงรายชื่อผู้ติดต่อ และดึงรายชื่อแอปพลิเคชันที่ติดตั้งไว้ ทำให้ผู้โจมตีสามารถดูรอยเท้าดิจิทัลของเหยื่อได้อย่างครอบคลุม
นอกจากนี้ Crocodilus ยังสามารถอ่านข้อความ SMS ขอสิทธิ์ผู้ดูแลอุปกรณ์เพื่อให้ควบคุมได้ลึกซึ้งยิ่งขึ้น และเปิดใช้งานโหมดซ้อนสีดำเพื่อปกปิดกิจกรรมที่ไม่ปลอดภัยได้ โดยจะอัปเดตการตั้งค่าเซิร์ฟเวอร์ Command-and-Control (C2) เป็นประจำ เพื่อให้แน่ใจว่าสามารถปรับตัวและตอบสนองต่อคำสั่งใหม่จากผู้ควบคุมได้ นอกจากนี้ เพื่อให้สามารถปฏิบัติการอย่างลับๆ ได้ ยังสามารถเปิดหรือปิดเสียง เปิด/ปิดการบันทึกแป้นพิมพ์เพื่อบันทึกข้อมูลอินพุตของผู้ใช้ และแม้แต่ทำให้ตัวเองเป็นผู้จัดการ SMS เริ่มต้น ซึ่งช่วยให้สามารถดักจับและจัดการการสื่อสารโดยไม่ถูกตรวจพบได้
Crocodilus: ภัยคุกคามใหม่ของระบบธนาคารบนมือถือ
การเกิดขึ้นของ Crocodilus ถือเป็นการเพิ่มระดับมัลแวร์ในการทำธุรกรรมทางการเงินผ่านมือถืออย่างไม่ปลอดภัย ซึ่งต่างจากภัยคุกคามใหม่ๆ มากมายที่ค้นพบ Crocodilus นั้นมีการพัฒนามาอย่างยาวนานตั้งแต่เริ่มต้น โดยใช้เทคนิค Device-Takeover ขั้นสูง คุณสมบัติการควบคุมระยะไกล และการโจมตีแบบ black overlay เพื่อโจมตีผู้ใช้
ด้วยการทำงานที่ซ่อนเร้นและชุดคุณสมบัติที่แข็งแกร่ง มัลแวร์นี้จึงสร้างบรรทัดฐานใหม่สำหรับภัยคุกคามการธนาคารในระบบ Android พิสูจน์ให้เห็นว่าผู้ก่ออาชญากรรมทางไซเบอร์ปรับปรุงกลยุทธ์ของตนอย่างต่อเนื่องเพื่อให้ก้าวล้ำหน้ามาตรการรักษาความปลอดภัย
