Copybara Mobile Malware
Copybara là một nhóm các mối đe dọa di động được thiết kế đặc biệt để lây nhiễm các thiết bị Android. Người ta tin rằng các phiên bản đầu tiên của Copybara bắt đầu hoạt động vào nửa cuối năm 2021, với hầu hết các cuộc tấn công liên quan đến mối đe dọa diễn ra vào năm 2022. Tội phạm mạng đằng sau mối đe dọa dựa vào các chiến thuật kỹ thuật xã hội được điều chỉnh rất phù hợp để lừa người dùng tải xuống và cài đặt Copybara trên thiết bị của họ. Những đặc điểm này có thể dẫn đến tăng tỷ lệ lây nhiễm, nhưng giới hạn phạm vi của các chiến dịch tấn công. Tội phạm mạng không chỉ nhắm mục tiêu cụ thể đến thị trường Ý, mà chúng còn tập trung vào việc lây nhiễm cho người dùng của các tổ chức đơn lẻ.
Các đặc điểm không điển hình có thể được giải thích bằng cách bổ sung bước lừa đảo bằng giọng nói hoặc TOAD (Phân phối tấn công định hướng qua điện thoại) trong chuỗi lây nhiễm. Đầu tiên, người dùng sẽ nhận được các tin nhắn SMS hấp dẫn được trình bày như thể đến từ ngân hàng của họ. Các tin nhắn SMSishing này sẽ chứa một liên kết dẫn đến mối đe dọa Copybara được gửi đến thiết bị Android của họ. Tuy nhiên, một nhà điều hành làm việc cho tin tặc sẽ gọi nạn nhân đóng giả là một nhân viên ngân hàng, người được cho là sẽ hướng dẫn những người dùng không nghi ngờ thông qua quá trình tải xuống và cài đặt những gì được trình bày như một ứng dụng bảo mật. Người đại diện không có thật cũng sẽ nhấn mạnh rằng người dùng cấp quyền thiết bị rộng rãi cho ứng dụng.
Các tính năng đe dọa
Sau khi được thiết lập trên thiết bị Android của nạn nhân, Copybara có thể thực hiện vô số hành động xâm nhập cho phép những kẻ tấn công thực hiện Gian lận trên thiết bị. Phần mềm độc hại có thể tạo kết nối từ xa tới máy chủ Command-and-Control (C2, C&C) của hoạt động. Nó cũng được trang bị cơ chế lớp phủ hiển thị một trang giả được thiết kế giống hệt với ứng dụng hợp pháp mà Copybara đang đặt ra. Các nhà nghiên cứu của Infosec đã tuyên bố trong một báo cáo rằng họ đã xác định Copybara giả mạo là một ứng dụng từ nhiều tổ chức khác nhau của Ý.
Các biến thể Copybara gần đây hơn mang theo các mô-đun và APK đe dọa bổ sung để mở rộng hơn nữa các khả năng của mối đe dọa. Phần mềm độc hại có thể triển khai một mô-đun bên ngoài có khả năng ghi nhật ký sự kiện Trợ năng, một bước quan trọng cho phép kẻ tấn công có toàn quyền kiểm soát và khả năng hiển thị các phần tử giao diện người dùng trên thiết bị. Nó cũng làm cho những kẻ tấn công có thể truy cập vào một cơ chế ghi nhật ký cụ thể. Nói chung, mối đe dọa và các mô-đun bổ sung của nó có thể được sử dụng để giám sát liên lạc qua SMS, truy xuất mã thông báo 2FA và hơn thế nữa.
