Новые кампании троянов атакуют сотни криптокошельков и банковских приложений

Исследователи кибербезопасности обнаружили четыре активных семейства вредоносного ПО для Android, которые нацелены на более чем 800 приложений, включая криптокошельки и банковские приложения. Эти вредоносные программы используют методы, которые большинство традиционных инструментов безопасности не могут обнаружить.

Команда zLabs компании Zimperium опубликовала результаты отслеживания троянов, известных как RecruitRat, SaferRat, Astrinox и Massiv.

Согласно исследованиям компании, каждое семейство имеет свою собственную сеть команд и управления, которую они используют для кражи информации для входа в систему, захвата финансовых транзакций и получения пользовательских данных с зараженных устройств.

Крипто- и банковские приложения сталкиваются с новыми угрозами со стороны нескольких видов вредоносного ПО

Семейства вредоносных программ представляют прямую угрозу для всех, кто управляет криптовалютой на Android.

После установки трояны могут накладывать фальшивые экраны входа поверх настоящих крипто- и банковских приложений, крадя пароли и другую конфиденциальную информацию в реальном времени. Затем вредоносная программа помещает фальшивую HTML-страницу поверх реального интерфейса приложения, создавая то, что компания называет «высокоубедительным обманным фасадом».

"Используя службы доступности для мониторинга переднего плана, вредоносная программа определяет точный момент, когда жертва запускает финансовое приложение", — написали исследователи безопасности из Zimperium.

Согласно отчету, трояны могут не только красть учетные данные. Они также могут перехватывать одноразовые коды доступа, транслировать экран устройства злоумышленникам, скрывать свои собственные значки приложений и предотвращать их удаление пользователями.

Каждая кампания использует разные приманки, чтобы заставить людей попасться на удочку.

SaferRat распространялся с помощью фальшивых веб-сайтов, обещавших бесплатный доступ к премиальным стриминговым сервисам. RecruitRat маскировал свой полезный код в процессе подачи заявки на работу, направляя цели на фишинговые сайты, где их просили загрузить вредоносный APK-файл.

Astrinox использовал тот же тип рекрутингового метода, используя домен xhire[.]cc. В зависимости от устройства, с которого посещался этот сайт, отображался разный контент.

Пользователям Android было предложено загрузить APK-файл, а пользователи iOS увидели страницу, похожую на App Store компании Apple. Однако исследователи безопасности не нашли доказательств того, что iOS была взломана.

Не удалось подтвердить, как распространялся Massiv в течение цикла исследований.

Все четыре трояна использовали фишинговую инфраструктуру, мошенничество через SMS и социальную инженерию, эксплуатируя потребность людей действовать быстро или их любопытство, чтобы заставить их устанавливать вредоносные приложения.

Крипто-вредоносное ПО избегает обнаружения

Кампании направлены на обход средств защиты.

Исследователи обнаружили, что семейства вредоносного ПО используют передовые методы антианализа и структурные изменения в пакетах приложений Android (APK), чтобы поддерживать то, что компания называет «почти нулевым уровнем обнаружения традиционными сигнатурными механизмами безопасности».

Сетевые коммуникации также маскируются под обычный трафик. Трояны используют соединения HTTPS и WebSocket для связи со своими серверами команд. Некоторые версии добавляют дополнительные уровни шифрования поверх этих соединений.

Еще один важный аспект — устойчивость. Современные Android-трояны для банков больше не используют простые одноэтапные заражения. Вместо этого они применяют многоэтапные процессы установки, предназначенные для обхода меняющейся модели разрешений Android, которая усложнила возможность выполнения приложений действий без явного разрешения пользователя.

В отчете не были названы конкретные криптокошельки или биржи среди более чем 800 целевых приложений. Однако из-за оверлей-атак, перехвата кодов доступа и потоковой передачи экрана любое криптоприложение на базе Android может быть под угрозой, если пользователь установит вредоносный APK-файл извне Google Play Store.

Загрузка приложений по ссылкам из SMS, вакансий или рекламных сайтов по-прежнему является одним из гарантированных способов проникновения мобильного вредоносного ПО на смартфон.

Пользователям, управляющим криптовалютой на устройствах Android, следует использовать только официальные магазины приложений и проявлять осторожность при всплывающих сообщениях, предлагающих что-либо скачать.