Банківський троян Crocodilus

Експерти з кібербезпеки виявили нову банківську шкідливу програму для Android під назвою Crocodilus, яка в основному націлена на користувачів в Іспанії та Туреччині. На відміну від багатьох нових загроз, які починаються як рудиментарні версії існуючого зловмисного програмного забезпечення, Crocodilus входить у середу кіберзлочинності як повністю розроблений, складний банківський троян.

Передові методи для максимального збитку

Crocodilus використовує сучасні методики, такі як:

• Можливості дистанційного керування
• Чорний екран накладається, щоб приховати його присутність
• Розширений збір даних через журнал доступності

Як і інші банківські трояни, він має на меті заволодіти пристроєм (DTO) і дозволити кіберзлочинцям проводити шахрайські операції. Більш глибокий аналіз його вихідного коду та повідомлень про налагодження дозволяє припустити, що автор шкідливого програмного забезпечення є турецькомовним.

Замаскований під Google Chrome, щоб уникнути виявлення

Crocodilus створено для обходу обмежень безпеки Android 13+, маскуючись під Google Chrome (назва пакета: 'quizzical.washbowl.calamity'). Після встановлення підроблений додаток запитує дозволи служби доступності, що надає йому повний контроль над пристроєм.

Після активації він підключається до віддаленого сервера командування та керування (C2), щоб:

• Отримайте подальші інструкції
• Отримайте список цільових фінансових програм
• Розгортайте накладення HTML, щоб викрасти облікові дані користувача

Криптовалютні гаманці під прицілом

Crocodilus не зупиняється лише на банківських програмах — він також націлений на криптовалютні гаманці. Замість того, щоб використовувати підроблену сторінку входу, він обманює жертв за допомогою шахрайського резервного сповіщення, попереджаючи їх зберегти початкову фразу протягом 12 годин, інакше вони ризикують втратити свої активи.

Ця тактика соціальної інженерії маніпулює жертвами, змушуючи їх переходити до їхніх початкових фраз, які потім збираються через зловживання сервісом доступності. Маючи цю інформацію, зловмисники можуть захопити контроль над гаманцем і викачати з нього кошти.

Безперервний моніторинг і викрадення облікових даних

Crocodilus розроблено для постійної роботи у фоновому режимі, уважно відстежуючи запуски програм і запускаючи накладення для перехоплення облікових даних. Він може:

• Відстежуйте всі події доступності
• Знімайте всі елементи, що відображаються на екрані
• Зробіть знімки екрана Google Authenticator, щоб обійти двофакторну автентифікацію

Роблячи це, Crocodilus гарантує, що його оператори не помітять жодної активності входу.

Схований режим: приховування шкідливих дій

Щоб залишитися непоміченим, Crocodilus використовує різні тактики скритності, зокрема:

• Відображення чорного екрана, щоб приховати несанкціоновані дії
• Вимкнення звуків, щоб жертви не чули підозрілих сповіщень

Ці заходи значно ускладнюють жертвам усвідомлення того, що їхні пристрої зламано.

Потужний арсенал шкідливих функцій

Crocodilus розроблено з рядом загрозливих можливостей, які дозволяють йому отримати повний контроль над зараженим пристроєм. Він може запускати певні програми, видалятися з пристрою, щоб уникнути виявлення, і надсилати push-сповіщення, щоб маніпулювати поведінкою користувача. Зловмисне програмне забезпечення також має можливість надсилати SMS-повідомлення вибраним або всім контактам, отримувати списки контактів і отримувати список встановлених програм, надаючи зловмисникам повне уявлення про цифровий слід жертви.

Крім того, Crocodilus може читати SMS-повідомлення, запитувати привілеї адміністратора пристрою, щоб отримати більш глибокий контроль, і активувати режим чорного накладання, щоб приховати свою небезпечну діяльність. Він регулярно оновлює налаштування свого сервера командування та керування (C2), гарантуючи, що він може адаптуватися та реагувати на нові інструкції своїх операторів. Щоб покращити свої стелс-операції, він може вмикати або вимикати звук, перемикати клавіатурні журнали для захоплення введених користувачем даних і навіть робити себе менеджером SMS за замовчуванням, дозволяючи перехоплювати та маніпулювати повідомленнями непоміченими.

Crocodilus: нова загроза мобільного банкінгу

Поява Crocodilus знаменує собою небезпечну ескалацію складності зловмисного програмного забезпечення мобільного банкінгу. На відміну від багатьох нещодавно виявлених загроз, Crocodilus є зрілим із самого початку, використовуючи передові методи Device Takeover, функції дистанційного керування та атаки чорного накладення для компрометації користувачів.

Завдяки непомітному виконанню та надійному набору функцій це зловмисне програмне забезпечення створює новий прецедент для банківських загроз Android, доводячи, що кіберзлочинці постійно вдосконалюють свою тактику, щоб випереджати заходи безпеки.