Pokud používáte telefon s Androidem denně online bankovnictví, sociální sítě nebo kryptocurrenciesMěli byste brát to, co se chystáte číst, velmi vážně. V posledních měsících se objevilo několik extrémně pokročilých rodin malwaru – FvncBot, SeedSnatcher a vylepšená verze ClayRat – které posouvají mobilní útoky na novou úroveň kombinací sociálního inženýrství, vzdáleného ovládání zařízení a masivních krádeží citlivých dat.
Na rozdíl od virů, které zobrazovaly pouze otravné reklamy, jsou tito trojští koni schopni převzít téměř úplnou kontrolu nad telefonem, vyprázdnit krypto peněženky, ukrást bankovní přihlašovací údaje a špehovat oběť se sofistikovaností srovnatelnou (nebo dokonce vyšší než) mnoho útoků na počítače. Jasně, ale podrobně si ukážeme, jak fungují, jaké mají společné techniky a co můžete udělat, abyste zabránili tomu, aby se váš mobilní telefon stal nástrojem útočníků.
Stále agresivnější prostředí mobilních hrozeb
Ekosystém Androidu je gigantický a spravuje miliardy zařízení. platby, 2FA ověřování, soukromá komunikace a přístup k firemním systémůmTato všudypřítomnost udělala z Androidu oblíbený cíl zločineckých gangů, finančních podvodníků a APT skupin s možnou podporou státu.
Bezpečnostní laboratoře jako Intel 471, CYFIRMA a Zimperium zdokumentovaly zrychlený vývoj malwaru pro Androidkde se již pozornost neklade pouze na domácí uživatele. Kampaně se stále častěji zaměřují na zaměstnance firem, profily s privilegovaným přístupem nebo uživatele, kteří manipulují s velkými částkami peněz v bankovnictví a kryptoměnách.
V této souvislosti se vyzdvihly tři specifické rodiny: FvncBot, SeedSnatcher a ClayRatKaždá z nich se specializuje na určitou oblast (tradiční bankovnictví, kryptoměny nebo perzistentní špionáž), ale sdílejí společný přístup: aby zůstaly nepozorovány, zneužívají legitimní funkce Androidu – zejména přístupnost a překryvné vrstvy obrazovky – a zmocnit se co nejvíce informací a zároveň si zachovat kontrolu nad zařízením.
Útočníci zdokonalili používání zatemněné aplikace pro zavádění, šifrovací služby jako apk0day, komunikační kanály jako Telegram a vysoce propracované phishingové domény které dokonale napodobují populární webové stránky a aplikace (YouTube, WhatsApp, aplikace pro taxi, krypto peněženky atd.). Pro průměrného uživatele je stále obtížnější rozlišit legitimní aplikaci od zmanipulované.
FvncBot: bankovní trojan s dálkovým ovládáním typu VNC
FvncBot je Bankovní trojan a RAT pro Android vyvinuty od nulybez recyklace kódu uniklého z jiného malwaru, jako je ERMAC. Jeho hlavní veřejná kampaň se zaměřuje na uživatele mobilního bankovnictví mBank v Polsku, kde se vydává za údajnou oficiální bezpečnostní aplikaci spojenou s bankou.
Podvodná aplikace funguje jako Dropper je chráněn šifrovací/zatemňovací službou s názvem apk0day, kterou nabízí Golden Crypt.Tato služba balí kód způsobem, který značně ztěžuje statickou analýzu a detekci podpisů. Po otevření aplikace se zobrazí oznámení, které uživatele vyzve k instalaci zdánlivé „komponenty Google Play“, která má zlepšit stabilitu nebo zabezpečení systému.
Ve skutečnosti je to ta složka Užitečná zátěž FvncBotMalware využívá přístup založený na relacích k obcházení omezení, která Android 13 a novější verze ukládají pro používání služeb přístupnosti aplikacemi staženými mimo Google Play. Tímto způsobem se mu i v novějších verzích systému daří aktivovat oprávnění, která potřebuje k zobrazení a ovládání téměř všeho v zařízení.
Po nasazení FvncBot vyzve uživatele k udělení oprávnění služby přístupnostiPokud oběť souhlasí, trojský kůň získá velmi vysoká oprávnění: dokáže číst, co se zobrazuje na obrazovce, detekovat otevřené aplikace, simulovat dotyky a gesta, zobrazovat okna přes jiné aplikace a zaznamenávat stisky kláves v citlivých formách, jako jsou přihlašovací údaje do banky nebo platebních služeb.
Během svého spuštění malware odesílá události protokolu do vzdálený server pod doménou naleymilva.it.comAnalyzované vzorky vykazovaly identifikátor sestavení „call_pl“, který odkazuje na Polsko jako cílovou zemi, a verzi nakonfigurovanou jako „1.0-P“, což naznačuje, že se jedná o rodinu produktů, která je stále v raných fázích vývoje, a proto má prostor pro další přidávání funkcí.
Po registraci zařízení se FvncBot připojí ke své velitelské a řídicí infrastruktuře pomocí HTTP a služba Firebase Cloud Messaging (FCM)Prostřednictvím těchto kanálů přijímá příkazy v reálném čase a může za chodu upravovat své chování, aktivovat nebo deaktivovat moduly v závislosti na typu oběti nebo konkrétní kampani.
Mezi možnosti Byly zdokumentovány následující:
- Kapacita pro Zahájit nebo zastavit připojení WebSocket, která umožňují vzdálené ovládání zařízení., přejetím prstem, klepnutím, posouváním nebo otevíráním aplikací, jako by útočník měl v ruce mobilní telefon.
- Exfiltrace události přístupnosti, seznam nainstalovaných aplikací a informace o zařízení (model, verze Androidu, konfigurace bota atd.).
- Příjem specifických konfigurací pro zobrazovat škodlivé překryvné vrstvy na celou obrazovku ve vybraných aplikacíchobecně bankovní nebo platební aplikace.
- Skrývání těchto překrývání v příhodnou chvíli, aby oběť sotva vnímala podivné chování.
- Zneužívání služeb přístupnosti pro zaznamenávat stisky kláves a data zadaná do důležitých formulářů.
- Využití API MediaProjection pro přenos obsahu obrazovky v reálném časeTo umožňuje útočníkům přesně vidět, co uživatel dělá, a to i v aplikacích, které blokují snímky obrazovky pomocí příznaku FLAG_SECURE.
Kromě toho má FvncBot „textový režim“, který mu umožňuje analyzovat design a viditelný obsah rozhraní, i když nelze pořídit konvenční snímkyTo vám umožňuje kontrolovat vstupní pole, tlačítka a bezpečnostní zprávy ve speciálně chráněných aplikacích.
V současné době neexistuje žádné veřejné potvrzení jeho primární distribuční metody, ale vzhledem k podobnostem s jinými rodinami bankovních trojských koní je vysoce pravděpodobné, že se spoléhá na smishingové kampaně (phishingové SMS), odkazy odesílané prostřednictvím rychlých zpráv a obchody s aplikacemi třetích stran kde jsou nahrávány škodlivé klony známých aplikací nebo falešné bezpečnostní nástroje.
Přestože je současná konfigurace zaměřena na Polský uživatel mBankModulární design FvncBotu usnadňuje útočníkům přizpůsobování jazyka, log, překryvných šablon a dokonce i bez námahy cílení na banky. Nebylo by překvapením, kdyby se v krátké době rozvinul do kampaní v jiných zemích nebo proti jiným bankám.
SeedSnatcher: nástroj pro krádež seed frází a 2FA kódu
Pokud FvncBot zaměří svou pozornost na tradiční bankovnictví, SeedSnatcher se přímo zaměřuje na krypto ekosystém.Toto je program pro krádež informací pro Android, který je určen k krádeži frází peněženek, soukromých klíčů a jakýchkoli informací, které umožňují převzetí kontroly nad kryptoměnovými peněženkami, a také dalších citlivých dat ze zařízení.
SeedSnatcher je primárně distribuován prostřednictvím Telegram a další sociální kanály, maskované pod názvem „Coin“ nebo jiné názvy, které naznačují investiční nástroje, aplikace pro správu kryptoměn nebo přístup k exkluzivním propagačním akcím. Útočníci šíří odkazy na údajně legitimní APK soubory ve veřejných i soukromých skupinách souvisejících s obchodováním, NFT nebo novinkami o blockchainu.
Škodlivá aplikace je navržena tak, aby po vstupu nevzbuzovala podezření: obvykle Při instalaci vyžaduje jen velmi málo oprávnění, zejména přístup k SMS nebo zdánlivě neškodným možnostem.Tento přístup pomáhá obcházet bezpečnostní řešení, která upozorňují na masivní požadavky na oprávnění již od prvního spuštění.
V zákulisí však SeedSnatcher začíná nasazovat svůj arzenál. Jeho vývojáři do něj začlenili techniky, jako například dynamické načítání tříd a skryté vkládání obsahu do WebViewTo umožňuje aplikaci stahovat další moduly z velitelského a řídicího serveru, upravovat se za chodu a aktivovat funkce pouze tehdy, když zjistí, že oběť otevře určité aplikace související s kryptoměnami.
Jednou z jeho nejnebezpečnějších schopností je generování extrémně přesvědčivé phishingové překryvy Tyto podvody napodobují vzhled známých krypto peněženek, burz nebo obrazovek pro obnovení účtu. Uživatel se domnívá, že obnovuje svou peněženku nebo ověřuje svou identitu, ale ve skutečnosti útočníkům předává svou seed frázi nebo soukromý klíč.
Kromě regeneračních semen dokáže SeedSnatcher zachycovat příchozí SMS zprávy za účelem zachycení kódů dvoufaktorového ověřování (2FA)To usnadňuje únos účtů na burzovních službách, obchodních platformách nebo dokonce jiných službách, které stále používají SMS jako druhý faktor.
Malware je také připraven na Získejte ze zařízení rozsáhlé informace: kontakty, protokoly hovorů, lokální soubory a další zajímavá data které lze znovu použít v budoucích podvodných, vydíracích nebo prodejních kampaních na podzemních fórech.
Vyšetřování připisovaná organizaci CYFIRMA naznačují, že provozovatelé SeedSnatcheru by byli skupiny se sídlem v Číně nebo čínsky mluvící, na základě pokynů a dokumentace v daném jazyce, které jsou přítomny jak v ovládacím panelu zloděje, tak ve zprávách sdílených prostřednictvím Telegramu.
Vzor eskalace privilegií v SeedSnatcheru je velmi promyšlený: začíná s minimální povolení Aby zůstal nedetekován, později požaduje povolení k přístupu ke správci souborů, zobrazení překryvných obrázků, čtení kontaktů, prohlížení protokolů hovorů a dalším důležitým zdrojům. Každý požadavek je maskován, jako by byl nezbytný pro legitimní funkci, což snižuje pravděpodobnost podezření uživatele.
Kombinace vizuálního klamu, krádeže SMS zpráv, potenciálního monitorování schránky a tichého vykrádání dat dělá ze SeedSnatcheru... Kritická hrozba pro každého, kdo spravuje kryptoměny ze svého mobilního zařízenízejména neúschovní peněženky založené na seed frázích, které po kompromitaci umožňují útočníkovi vyčerpat finanční prostředky bez možnosti jejich získání.
ClayRat: modulární spyware a téměř úplná kontrola nad zařízeními
ClayRat je Modulární spyware pro Android, který se rychle vyvíjel dokud se nestal jedním z nejnebezpečnějších nástrojů mobilního sledování na současné scéně. Zpočátku byl zaměřen na specifické trhy (zejména ruské uživatele), ale nedávné varianty vykazují kvalitativní skok ve schopnostech, vytrvalosti a geografickém dosahu.
Jeho distribuce je založena na směsi kampaně v Telegram a pečlivě navržené phishingové webové stránky Tyto webové stránky se vydávají za známé služby. Propagují populární aplikace – jako WhatsApp, Fotky Google, TikTok nebo YouTube – a zobrazují falešné recenze, pozitivní hodnocení a nadsazené počty stažení, aby posílily pocit legitimity.
Uživatel si obvykle nestáhne samotný spyware, ale lehký dropper obsahující skrytý a šifrovaný malwareTento dropper se může maskovat jako jednoduchá video aplikace, údajně vylepšený klient nebo užitečný nástroj. Po instalaci dešifruje a uvolní škodlivé zatížení, čímž obchází některé bezpečnostní kontroly systému.
Výzkum provedený společností Zimperium zLabs a dalšími týmy odhalil, že ClayRat Dvojitě zneužívá služby přístupnosti a výchozí oprávnění pro SMS.Tím, že se stala výchozí SMS aplikací, může číst, psát a odesílat zprávy bez vědomí uživatele, zachycovat kódy 2FA, manipulovat s konverzacemi a používat je jako vektor k šíření infekce.
Nejnovější verze zahrnují širokou škálu funkcí. repertoár pokročilých funkcí:
- Keylogging, snímky obrazovky a nahrávání celé obrazovky, což umožňuje rekonstrukci prakticky všeho, co oběť dělá.
- Přístup do hovory, oznámení, historie, fotografie z předního fotoaparátu a další soukromá data, s možností jejich nahrání na velitelský a řídicí server.
- Kapacita pro pořizovat snímky předním fotoaparátem a tiše je vyfotit, což je obzvláště invazivní, protože míří přímo na obličej oběti.
- Nasazení překryvy, které simulují aktualizace systému, černé obrazovky nebo zprávy o údržbě, používaný k maskování škodlivých aktivit, zatímco útočníci ovládají zařízení na pozadí.
- Generování falešná interaktivní oznámení které vypadají, jako by pocházely ze systému nebo legitimních aplikací a které slouží ke shromažďování odpovědí, kódů a stisků kláves.
Jedním obzvláště znepokojivým aspektem je ClayRatova schopnost Zařízení se automaticky odemkne, i když použijete PIN, heslo nebo vzorec.Kombinací přístupnosti, rozpoznávání rozvržení obrazovky a automatizace gest se malwaru daří obejít zamykací obrazovku a ovládat mobilní telefon bez zásahu uživatele.
Kromě špehování ClayRat promění každý infikovaný počítač v automatizovaný distribuční uzelMůžete odesílat SMS zprávy se škodlivými odkazy na kontakty uložené v telefonu a zneužívat tak důvěru vkládanou do zpráv přijatých ze známého čísla. To usnadňuje rychlé a rozsáhlé šíření, aniž by útočníci museli mít rozsáhlou dodatečnou infrastrukturu.
Použití alespoň 25 phishingových domén, které napodobují legitimní služby, jako je YouTubenabízející údajnou „Pro“ verzi s přehráváním na pozadí a podporou 4K HDR. Byly také detekovány aplikace typu dropper, které se za tuto aplikaci vydávají. Ruské aplikace pro taxi a parkování, kopírování názvů, ikon a popisů za účelem klamání místních uživatelů.
Rozšíření možností ClayRatu – od jednoduchého odběru dat až po úplné převzetí kontroly nad zařízením s trvalými překryvy a automatickým odemykáním— činí tuto nejnovější variantu ještě nebezpečnější než ty předchozí, u kterých alespoň existovala určitá možnost, že oběť odhalí podivnou aktivitu, odinstaluje aplikaci nebo včas vypne mobilní telefon.
Běžné techniky: přístupnost, překryvy a pokročilé úniky
Ačkoli FvncBot, SeedSnatcher a ClayRat sledují poněkud odlišné cíle, spoléhají se na soubor sdílené taktiky a techniky, které vysvětlují, proč mají tolik úspěchů v reálných kampaních.
Zaprvé zdůrazňuje systematické zneužívání služeb přístupnosti pro AndroidTato funkce byla navržena tak, aby pomohla uživatelům se zdravotním postižením interagovat se zařízením, ale pokud je zneužita, dává útočníkům možnost číst, co se zobrazuje na obrazovce, detekovat změny v rozhraní, automatizovat gesta a v praxi ovládat mobilní telefon téměř jako by byl jejich vlastní.
Druhým pilířem je překryvy, které nahrazují legitimní celoobrazovková nebo částečná rozhraníUmístěním falešné vrstvy na skutečnou aplikaci – ať už se jedná o banku, krypto peněženku nebo oblíbenou službu – útočníci zachytí přihlašovací údaje, osobní údaje, čísla karet nebo klíčová slova, aniž by museli ohrozit původní aplikaci. Uživatel se domnívá, že interaguje s obvyklou aplikací, ale ve skutečnosti píše na obrazovce ovládané malwarem.
Za třetí, tyto rodiny se uchylují k vysoce vyvinuté techniky úniku: zmatkování a šifrování kódu pomocí služeb jako apk0day, dynamické načítání tříd, které se stahují pouze v případě potřeby, tiché vkládání obsahu do WebView a použití instrukcí založených na celočíselných číslech, aby se provoz jevil monitorovacím systémům méně zřejmý.
Komunikace s velitelskými a řídicími servery se také stala sofistikovanější. Mnoho z těchto trojských koní využívá Firebase Cloud Messaging pro příjem objednávek, připojení WebSocket pro řízení v reálném čase a exfiltrace dat přes HTTP nebo HTTPS... a mísí svůj škodlivý provoz s legitimním provozem jiných aplikací, což komplikuje jeho detekci v podnikových a domácích sítích.
Vše výše uvedené je doplněno o velmi pečlivá práce v oblasti sociálního inženýrstvíÚtočníci vytvářejí aplikace, které napodobují komponenty Google Play, bezpečnostní nástroje, oficiální bankovní aplikace, „Pro“ verze známých platforem nebo oblíbené služby, jako jsou taxi, parkování a digitální peněženky. Cílem je snížit ostražitost uživatelů, aby přijímali kritické instalace a oprávnění téměř bez jejich čtení.
Jak může být vaše zařízení Android infikováno a jaké jsou známky možného napadení?
Navzdory veškeré technologii, která za nimi stojí, je výchozí bod obvykle vždy stejný: přesvědčit uživatele k ruční instalaci APK nebo udělení nebezpečných oprávněníK tomu se spoléhají na smilingové zprávy, kampaně na sociálních sítích, fóra, telegramové skupiny nebo stránky, které slibují neodolatelné výhody (placené aplikace zdarma, verze bez reklam, investiční příležitosti atd.).
Jakmile oběť nechá být oklamána slibem, Stáhněte si APK z neoficiálního zdrojestiskněte „Instalovat“ a poté Přijímá oprávnění přístupnosti, přístup přes SMS, překryvy a výchozí roli aplikace pro určité služby (například zasílání zpráv). Odtud velká část kontroly přechází do rukou malwaru, který se bude snažit fungovat potichu, aby nevzbudil podezření.
I tak existuje řada ukazatele závazku, které by měly být sledovány:
- Abnormální spotřeba baterie a přehřívání mobilního telefonu bez zjevného intenzivního používání.
- Významný nárůst mobilního nebo Wi-Fi datového provozu bez jasného vysvětlení.
- Vzhled aplikace, které si nepamatujete, že jste nainstalovali nebo změny výchozích aplikací pro SMS, bankovnictví nebo zasílání zpráv.
- Neočekávané vypnutí, pády nebo podivné chování v klíčových aplikacích, jako je bankovnictví, peněženky, sociální média nebo zasílání zpráv.
- Neobvyklá dialogová okna s oprávněními, zejména ta, která se týkají přístupnosti, SMS zpráv nebo správy zařízení.
- Upozornění na podezřelé přihlášení nebo neobvyklé změny polohy na vašich cloudových účtech, krypto službách nebo online bankovnictví.
Pokud si všimnete několika z těchto příznaků, je rozumné nechat se vyšetřit. úplné skenování s důvěryhodné řešení mobilní bezpečnostiRučně zkontrolujte seznam nainstalovaných aplikací (včetně těch s obecnými ikonami nebo podivnými názvy) a pokud je situace vážná, zvažte obnovení továrního nastavení po zálohování pouze těch nejnutnějších.
Nejlepší postupy pro ochranu mobilního telefonu před FvncBot, SeedSnatcher a ClayRat
Nejlepší obrana proti těmto hrozbám kombinuje technologii a zdravý rozum. Na uživatelské úrovni existuje řada základní pokyny pro digitální hygienu které drasticky snižují pravděpodobnost infekce viry FvncBot, SeedSnatcher, ClayRat nebo podobnými.
Zlaté pravidlo je jasné: Instalujte aplikace pouze z Google Play nebo oficiálních webových stránek poskytovatelů.Stahování APK souborů z odkazů přijatých prostřednictvím SMS, e-mailu, sociálních médií, telegramových kanálů nebo „zázračných“ stránek pro stahování je v dnešní době jedním z hlavních vstupních bodů pro mobilní malware.
Je také důležité věnovat tomu několik sekund Před přijetím oprávnění, která každá aplikace požaduje, si je zkontrolujte.Pokud aplikace, která údajně umožňuje sledovat videa, poslouchat hudbu nebo kontrolovat počasí, požaduje plný přístup k SMS zprávám, službám usnadnění přístupu, kontaktům nebo správě zařízení, buďte podezřelí. Mnoho útoků se spoléhá na to, že uživatelé kliknou na „Přijmout“, aniž by si cokoli přečetli.
Další základní vrstvou je udržování Android, aplikace a bezpečnostní řešení vždy aktuálníVýrobci a Google často vydávají záplaty, které odstraňují zranitelnosti, jež se tyto trojské koně snaží zneužít. Povolení automatických aktualizací a jejich pravidelná kontrola je minimální časovou investicí s obrovskou návratností investice do zabezpečení.
Pokud jde o účty a přihlašovací údaje, je vhodné použít silná a různá hesla pro každou službuTyto klíče uložte do spolehlivého správce hesel a pokud možno povolte dvoufázové ověřování. Je však vhodnější používat metody 2FA založené na ověřovacích aplikacích nebo fyzických klíčích místo SMS, a to právě proto, že mnoho malwarových programů pro mobilní zařízení se specializuje na zachycování zpráv.
Pro ty, kteří spravují značné množství kryptoměn, je rozumné... Seed fráze a soukromé klíče se negenerují ani neukládají na univerzálním zařízení Android.Používání hardwarových peněženek nebo specializovaných zařízení minimalizuje dopad infostealerů, jako je SeedSnatcher, na hlavní mobilní zařízení.
V korporátním prostředí by se organizace měly spoléhat na řešení pro správu mobilních zařízení (MDM) Chcete-li kontrolovat, které aplikace lze instalovat, vynucujte zásady šifrování, oddělte pracovní a osobní profily a sledujte indikátory kompromitace. Průběžné školení zaměstnanců v oblasti mobilního phishingu, podezřelých odkazů a anomálních obrazovek s oprávněními je stejně důležité jako jakékoli technické řešení.
Vzestup FvncBota, SeedSnatchera a nového ClayRata to dokazuje. Hlavní zaměření kyberkriminality se výrazně přesunulo směrem k mobilním zařízením.Pochopení toho, jak fungují, jaká oprávnění zneužívají a proč jsou jejich kampaně tak přesvědčivé, pomáhá zvýšit povědomí o tom, že chytrý telefon už není relativně bezpečnou „hračkou“, ale nejcennějším článkem v našem digitálním životě.
Osvojení si jednoduchých návyků – používání aplikací pouze z důvěryhodných zdrojů, opatrnost při používání odkazů a oprávnění, udržování systému v aktuálním stavu a používání aktivního mobilního zabezpečení – rozhoduje o tom, zda budete mobilní telefon nadále používat s klidem, nebo zda se stane nástrojem ve službách útočníků. Sdílejte tyto informace, aby se více lidí mohlo dozvědět o různých typech malwaru pro Android, které existují.