Исследователи в области кибербезопасности раскрыли подробности о новом банковском трояне для Android под названием Hirudo, который работает путем замены легитимных банковских приложений специально созданными пропатченными версиями, предназначенными для обхода проверок безопасности изнутри самого приложения, что знаменует собой новую эскалацию финансового мошенничества. Голландская компания по мобильной безопасности ThreatFabric сообщила, что она выявила замены для восьми индонезийских банковских приложений, в то время как вредоносное ПО нацелено на учетные данные в Индонезии, Китае, Индии, Мексике, Марокко и Таиланде.
«Операция сочетает кражу учетных данных, захват устройства, захват экрана и камеры, а также кражу SMS в сочетании с довольно зрелым бэкэндом», — заявил в своем заявлении, опубликованном The Hacker News, Эдвард Дрейс, вице-президент по инжинирингу мошенничества в ThreatFabric.
Hirudo облегчает кражу учетных данных на устройстве и удаленное управление в реальном времени. Вредоносное ПО распространяется через дропперы (приложения-загрузчики) для покупок, видео для взрослых и развлечений, которые содержат троян как отдельный установочный пакет, который затем предоставляется в виде обновления внутри приложения.
Некоторые из дропперов перечислены ниже:
«Приманка функциональна, загружает реальный контент в WebView — витрину магазина, каталог видео или короткие драмы, поэтому взаимодействие выглядит легитимным», — объяснили в ThreatFabric. «За этим контентом дроппер выполняет фиксированную начальную процедуру: он собирает данные для отслеживания рекламных кампаний, получает конфигурацию своей кампании и проверяет, установлен ли уже полезный груз, Hirudo RAT, с включенными службами доступности и доступом к уведомлениям».
Если он отсутствует, отображается поддельный запрос на обновление внутри приложения, чтобы инициировать установку вредоносного ПО. Стоит подчеркнуть, что Hirudo устанавливается как второе приложение, и ему должны быть предоставлены собственные разрешения, прежде чем оно сможет выполнять вредоносные действия.
Как наблюдалось в случае с StreamRat, вредоносное ПО реализует технику обнаружения путем блокировки доступа в Интернет путем настройки заведомо нефункционального VPN-соединения перед установкой полезной нагрузки. Это рассматривается как попытка предотвратить облачные проверки полезной нагрузки другими приложениями и службами, такими как Google Play Protect.
«Однако Play Protect также обеспечивает автономное обнаружение известных потенциально вредоносных приложений, что означает, что механизм не полностью отключает свою защиту», — отметили в прошлом месяце в ThreatFabric. «Поэтому мы считаем, что эта техника, скорее всего, предназначена для снижения эффективности механизмов онлайн-репутации и анализа кода, а не для полного обхода Play Protect».
В зависимости от характера используемого приложения-приманки, дроппер также предназначен для отображения поддельных экранов для захвата PIN-кодов платежей, отображения поддельных экранов с запросом учетных данных для входа в банковские приложения и приложения кошельков, отображения поддельных наложений шаблонов и PIN-кодов экрана блокировки, а также для обеспечения полного удаленного управления устройством.
Хотя такое поведение является обычным для банковских троянов Android, именно их попытки заменить целевое банковское приложение подделанной копией выделяются. В частности, специально созданные замены встраивают движок перехвата (hooking engine) для обхода проверок подписи, доступности, захвата экрана и целостности Play Integrity изнутри приложения. Замена нацелена на восемь индонезийских приложений.
«Для них RAT обнаруживает установленное банковское приложение через службу доступности, проверяет его сертификат подписи по сохраненному эталону, [а затем] отображает поддельный запрос на «обновление»», — объяснили в ThreatFabric. «Он открывает деинсталлятор Android для подлинного приложения, не дожидаясь нажатия пользователем, и параллельно загружает специфичную для банка замену».
Хотя необходимость удаления приложения перед установкой его почти идентичной вредоносной копии является «реальным ограничением», механизм позволяет обойти собственные проверки безопасности банковского приложения, возвращая ответы, предоставленные злоумышленником заранее.
Это включает возврат сертификата подписи подлинного приложения, возврат пустого списка при запросе включенных служб доступности и удаление флага FLAG_SECURE, чтобы экраны приложения могли просматриваться и записываться удаленно.
«Сертификаты проверки ключей повторно подписываются с помощью прилагаемого набора ключей (keybox), а запросы Play Integrity передаются по обычному HTTP на управляемый оператором сервер, который возвращает вердикт для принятия приложением», — сообщила компания по мобильной безопасности.
«Две детали стоит подчеркнуть для защитников. Во-первых, набор ключей проверки (attestation keybox), который поставляется с движком, не принадлежит операторам: это общедоступный утечка набора ключей. Во-вторых, поскольку запрос целостности передается, а не генерируется подлинно, действительный ответ целостности сам по себе не является доказательством неповрежденного приложения».
Данные свидетельствуют о том, что вредоносное ПО распространяется через поддельные веб-страницы, маскирующиеся под страницы магазина Google Play для приложений для покупок, коротких драм и футбольных приложений. Предполагается, что ничего не подозревающие пользователи направляются на эти веб-сайты через рекламу на платформах социальных сетей, принадлежащих *Meta.
Вся операция опирается на бэкэнд, который сочетает управление устройствами с возможностью управления различными кампаниями и украденными данными, включая записи об устройствах, историю экранов блокировки и финансовые профили, содержащие поля ежемесячного дохода и оценки риска.
«Hirudo знаменует собой преднамеренную эскалацию в подходе Android-банкиров к защищенным приложениям», — заявили в ThreatFabric. «Перемещая свои манипуляции внутрь целевого приложения, операция переносит соревнование с устройства на собственные проверки целостности приложения, а с индивидуального патча на многоразовый движок, который может быть перенаправлен на другие приложения и регионы».
«Как только приложение может быть заменено, его локально сгенерированные сигналы, подпись, список доступности и вердикт целостности должны рассматриваться как подверженные влиянию злоумышленника и проверяться на стороне сервера», — заявили в ThreatFabric.
В прошлом месяце эти выводы появились чуть более чем через месяц после того, как фирма по кибербезопасности раскрыла нацеливание StreamRat на испаноязычных пользователей через рекламу *Meta и TikTok, выдававшую себя за бесплатный сервис потокового видео под названием Streamtv Esp, чтобы обеспечить контроль над зараженными устройствами Android.
«StreamRat злоупотребляет службами доступности и MediaProjection, чтобы предоставить операторам почти полный контроль над зараженными устройствами, сочетая VNC и скрытый контроль экрана, сбор дерева пользовательского интерфейса, кейлоггинг, оверлеи для кражи учетных данных, возможности блокировки Интернета и экрана», — заявили в ThreatFabric.
*Facebook, *Instagram и *WhatsApp принадлежат компании *Meta Platforms Inc., деятельность которой признана экстремистской и запрещена на территории Российской Федерации.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Ravie Lakshmanan
