Crocodilus Banking Trojan

Natuklasan ng mga eksperto sa cybersecurity ang isang bagong Android banking malware na pinangalanang Crocodilus, na pangunahing nagta-target ng mga user sa Spain at Turkey. Hindi tulad ng maraming umuusbong na mga banta na nagsisimula bilang mga panimulang bersyon ng umiiral na malware, ang Crocodilus ay pumapasok sa cybercrime landscape bilang isang ganap na binuo, sopistikadong Trojan sa pagbabangko.

Mga Advanced na Teknik para sa Pinakamataas na Pinsala

Gumagamit ang Crocodilus ng mga modernong pamamaraan tulad ng:

• Mga kakayahan sa remote control
• Itim na mga overlay ng screen upang itago ang presensya nito
• Advanced na pag-aani ng data sa pamamagitan ng pag-log ng accessibility

Tulad ng ibang mga Trojan sa pagbabangko, nilalayon nitong kunin ang isang Device (DTO) at payagan ang mga cybercriminal na magsagawa ng mga mapanlinlang na transaksyon. Ang mas malalim na pagsusuri sa source code nito at mga mensahe sa pag-debug ay nagpapahiwatig na ang may-akda ng malware ay nagsasalita ng Turkish.

Itinago bilang Google Chrome para makaiwas sa Detection

Idinisenyo ang Crocodilus na i-bypass ang mga paghihigpit sa seguridad ng Android 13+ sa pamamagitan ng pagbabalatkayo bilang Google Chrome (pangalan ng package: 'quizzical.washbowl.calamity'). Kapag na-install na, humihiling ang pekeng application ng mga pahintulot sa serbisyo sa pagiging naa-access, na nagbibigay dito ng kumpletong kontrol sa device.

Sa pag-activate, kumokonekta ito sa isang remote na Command-and-Control (C2) server sa:

• Tumanggap ng karagdagang mga tagubilin
• Kunin ang listahan ng mga naka-target na aplikasyon sa pananalapi
• I-deploy ang mga HTML na overlay para magnakaw ng mga kredensyal ng user

Mga Wallet ng Cryptocurrency sa Crosshairs

Ang Crocodilus ay hindi lamang humihinto sa mga aplikasyon sa pagbabangko—tina-target din nito ang mga wallet ng cryptocurrency. Sa halip na gumamit ng pekeng pahina sa pag-log in, nililinlang nito ang mga biktima gamit ang isang mapanlinlang na backup na alerto, na nagbabala sa kanila na i-save ang kanilang seed na parirala sa loob ng 12 oras o panganib na mawala ang kanilang mga asset.

Ang taktika ng social engineering na ito ay minamanipula ang mga biktima sa pag-navigate sa kanilang mga seed na parirala, na pagkatapos ay aanihin sa pamamagitan ng pag-abuso sa serbisyo ng accessibility. Gamit ang impormasyong ito, maaaring kunin ng mga umaatake ang kontrol sa pitaka at maubos ang mga pondo nito.

Patuloy na Pagsubaybay at Pagnanakaw ng Kredensyal

Ang Crocodilus ay idinisenyo upang patuloy na tumakbo sa background, na patuloy na nagbabantay sa mga paglulunsad ng application at nagti-trigger ng mga overlay upang maharang ang mga kredensyal. Maaari itong:

• Subaybayan ang lahat ng kaganapan sa pagiging naa-access
• Kunin ang lahat ng mga elemento na ipinapakita sa screen
• Kumuha ng mga screenshot ng Google Authenticator upang i-bypass ang two-factor authentication

Sa paggawa nito, tinitiyak ng Crocodilus na hindi mapapansin ng mga operator nito ang anumang aktibidad sa pag-login.

Stealth Mode: Pagtatago ng Masasamang Aktibidad

Upang manatiling hindi natukoy, gumagamit si Crocodilus ng iba't ibang taktika sa pagnanakaw, kabilang ang:

• Pagpapakita ng itim na overlay ng screen upang itago ang mga hindi awtorisadong aktibidad
• Pag-mute ng mga tunog upang maiwasan ang mga biktima na makarinig ng mga kahina-hinalang alerto

Ang mga hakbang na ito ay ginagawang mas mahirap para sa mga biktima na matanto na ang kanilang mga device ay nakompromiso.

Isang Napakahusay na Arsenal ng Nakakapinsalang Mga Tampok

Idinisenyo ang Crocodilus na may iba't ibang kakayahan na nagbabanta na nagbibigay-daan dito na ganap na makontrol ang isang nahawaang device. Maaari itong maglunsad ng mga partikular na application, alisin ang sarili nito sa device upang maiwasan ang pagtuklas at magpadala ng mga push notification upang manipulahin ang gawi ng user. Ang malware ay mayroon ding kakayahang magpadala ng mga mensaheng SMS sa pinili o lahat ng mga contact, kunin ang mga listahan ng contact, at kumuha ng listahan ng mga naka-install na application, na nagbibigay sa mga umaatake ng komprehensibong pagtingin sa digital footprint ng biktima.

Bilang karagdagan, maaaring basahin ng Crocodilus ang mga mensaheng SMS, humiling ng mga pribilehiyo ng Admin ng Device upang makakuha ng mas malalim na kontrol at mag-activate ng black overlay mode upang itago ang mga hindi ligtas na aktibidad nito. Regular nitong ina-update ang mga setting ng server ng Command-and-Control (C2), tinitiyak na makakaangkop at makakatugon ito sa mga bagong tagubilin mula sa mga operator nito. Upang palawakin ang mga stealth na operasyon nito, maaari nitong paganahin o huwag paganahin ang tunog, i-toggle ang keylogging upang makuha ang mga input ng user, at maging ang sarili nito ay ang default na SMS manager, na nagbibigay-daan dito na maharang at manipulahin ang mga komunikasyon nang hindi natukoy.

Crocodilus: Isang Bagong Banta sa Mobile Banking

Ang paglitaw ng Crocodilus ay nagmamarka ng isang hindi ligtas na pagdami sa pagiging sopistikado ng malware sa mobile banking. Hindi tulad ng maraming bagong natuklasang pagbabanta, ang Crocodilus ay nasa hustong gulang na sa simula, na gumagamit ng mga advanced na diskarte sa Pagkuha ng Device, mga feature ng remote control, at mga pag-atake ng black overlay upang ikompromiso ang mga user.

Sa pamamagitan ng palihim na pagpapatupad nito at matatag na hanay ng mga feature, ang malware na ito ay nagtatakda ng bagong precedent para sa mga banta sa pagbabangko ng Android, na nagpapatunay na ang mga cybercriminal ay patuloy na pinapahusay ang kanilang mga taktika upang manatiling nangunguna sa mga hakbang sa seguridad.