.NET MAUI Pekeng Android Apps

Natuklasan ng mga eksperto sa cybersecurity ang isang bagong Android malware campaign na nagsasamantala sa .NET Multi-platform App UI (.NET MAUI) framework ng Microsoft. Itinago bilang mga application sa pagbabangko at social media, ang mga nagbabantang application na ito ay pangunahing nagta-target ng mga user na nagsasalita ng Indian at Chinese at naglalayong kumuha ng sensitibong impormasyon.

Ano ang .NET MAUI at Bakit Ito Ginagamit?

Ang .NET MAUI ay cross-platform framework ng Microsoft para sa pagbuo ng mga katutubong application gamit ang C# at XAML. Nag-evolve ito mula sa Xamarin, na nag-aalok sa mga developer ng streamline na paraan upang lumikha ng mga multi-platform na application na may iisang proyekto habang pinapayagan ang code na tukoy sa platform kung kinakailangan.

Kapansin-pansin, opisyal na tinapos ng Microsoft ang suporta para sa Xamarin noong Mayo 1, 2024, na naghihikayat sa mga developer na lumipat sa .NET MAUI. Mabilis na umangkop ang mga aktor ng pagbabanta, na ginagamit ang balangkas na ito upang bumuo ng bagong Android malware, na ipagpatuloy ang kanilang trend ng pagpino at pag-unlad ng mga paraan ng pag-atake.

Paano Nakakatulong ang .NET MAUI sa Pag-iwas sa Detection ng Malware

Hindi tulad ng mga tradisyunal na Android application, na umaasa sa mga DEX file at native na library, ang .NET MAUI-based na malware ay nag-iimbak ng mga pangunahing functionality nito sa C# blob binary. Ginagawa nitong mas mahirap ang pagtuklas, dahil gumaganap ang framework bilang isang packer na tumutulong sa malware na magpatuloy nang hindi natukoy sa mga device ng biktima.

Sa pamamagitan ng paggamit sa .NET MAUI, nakakakuha ang mga cybercriminal ng ilang mga pakinabang:

• Stealth Mode : Ang sirang code ay nakatago sa loob ng C# binaries, na nagpapahirap sa pag-analisa.
• Pinahabang Pananatili : Ang malware ay nananatili sa mga nahawaang device nang mas matagal nang hindi nagti-trigger ng mga alerto sa seguridad.
• Mga Taktika sa Pag-iwas : Ang hindi kinaugalian na arkitektura ay nagbibigay-daan para sa pag-bypass sa mga tradisyonal na pag-scan sa seguridad.

Natukoy ang Mga Pekeng Aplikasyon sa Pagbabangko at Social Media

Natukoy ng mga mananaliksik ang maraming mapanlinlang na app gamit ang .NET MAUI, na pinagsama-samang tinutukoy bilang FakeApp. Ang ilan sa mga kilalang pekeng application ay kinabibilangan ng:

Mga Pekeng Aplikasyon sa Pagbabangko:

Indus Credit Card (indus.credit.card)

Indusind Card (com.rewardz.card)

Mga Pekeng Social Media at Utility Application:

Kupido (pommNC.csTgAT)

X•GDN (pgkhe9.ckJo4P)

迷城 (Míchéng) (pCDhCg.cEOngl)

私密相册 (Pribadong Album) (pBOnCi.cUVNXz)

小宇宙 (Little Universe) (p9Z2Ej.cplkQv)

Nililinlang ng mga application na ito ang mga user na i-install ang mga ito, pagkatapos ay tahimik na i-extract at ipadala ang kanilang personal na data sa isang server na kinokontrol ng attacker.

Paano Niloloko ang Mga User

Hindi tulad ng mga lehitimong application na ipinamahagi sa pamamagitan ng Google Play, umaasa ang mga pekeng application na ito sa mga mapanlinlang na taktika para sa pamamahagi. Nagpapadala ang mga attacker ng mga mapanlinlang na link sa pamamagitan ng mga application sa pagmemensahe, na humahantong sa mga user sa hindi opisyal na mga app store kung saan hindi nila namamalayan na nagda-download ng malware.

Halimbawa:

• Ang isang pekeng banking application ay nagpapanggap bilang isang institusyong pampinansyal ng India upang magnakaw ng mga buong pangalan ng mga user, mga numero ng mobile, mga detalye ng credit card at mga ID na ibinigay ng pamahalaan.
• Ang isang mapanlinlang na social media app na gumagaya sa "X" (dating Twitter) ay umaani ng mga contact, SMS message, at larawan, na nagta-target ng mga user na nagsasalita ng Chinese.

Ang Mga Advanced na Teknik sa Pag-iwas na Ginamit

Upang maiwasan ang pagtuklas, gumagamit ang malware ng maraming sopistikadong pamamaraan:

• Naka-encrypt na Paghahatid ng Data : Ang na-harvest na data ay ipinapadala sa isang Command-and-Control (C2) server gamit ang naka-encrypt na socket na komunikasyon.
• Mga Pekeng Pahintulot : Ang malware ay naglalagay ng mga walang kabuluhang pahintulot (hal., 'android.permission.LhSSzIw6q') sa AndroidManifest.xml file upang malito ang mga tool sa pagsusuri.
• Multi-Stage Dynamic Loading : Gumagamit ito ng XOR-encrypted loader upang maglunsad ng AES-encrypted na payload, na pagkatapos ay nilo-load ang .NET MAUI assemblies na naglalaman ng aktwal na malware.
• Ang Pakikipag-ugnayan ng User ay Nag-trigger ng Mga Nakakahamak na Pagkilos : Ang pangunahing payload ay nananatiling nakatago sa C# code, nag-a-activate lamang kapag nakipag-ugnayan ang user sa app (hal., pagpindot sa isang button). Sa puntong iyon, tahimik itong nagnanakaw ng data at ipinapadala ito sa C2 server.

Paano Manatiling Ligtas

Dahil sa dumaraming pagiging sopistikado ng mga pag-atakeng ito, ang mga user ay dapat gumawa ng mga proactive na hakbang upang protektahan ang kanilang sarili:

• Iwasan ang Third-Party App Stores – Mag-download lang ng mga application mula sa Google Play o mga pinagkakatiwalaang source.
• I-verify ang Mga Pahintulot sa Application – Maging maingat sa mga application na humihiling ng mga hindi kinakailangang pahintulot.
• Manatiling Alerto para sa Mga Link ng Phishing – Huwag mag-click sa mga kahina-hinalang link sa mga mensahe.
• Gumamit ng Anti-Malware Software – Mag-install ng maaasahang solusyon sa seguridad sa mobile para matukoy at maalis ang mga potensyal na banta.

Sa patuloy na pag-unlad ng mga cybercriminal sa kanilang mga taktika, ang pananatiling may kaalaman at maingat ay ang pinakamahusay na depensa laban sa mga umuusbong na banta na ito.