Тројанецот за Android Hirudo користи изменети банкарски апликации за да ги заобиколи нивните вградени безбедносни проверки

Истражувачите за сајбер-безбедност објавија детали за нов банкарски тројанец за Android, наречен Hirudo, кој функционира така што ги заменува легитимните банкарски апликации со специјално изменети верзии, дизајнирани да ги заобиколат безбедносните проверки вградени во самата апликација. Ова претставува ново ниво на ескалација во финансиските измами.

Холандската компанија за мобилна безбедност ThreatFabric соопшти дека идентификувала заменски верзии на осум индонезиски банкарски апликации, додека малициозниот софтвер е насочен кон кражба на податоци за најавување во Индонезија, Кина, Индија, Мексико, Мароко и Тајланд.

„Операцијата комбинира кражба на податоци за најавување, преземање контрола врз уредот, снимање на екранот и камерата, како и кражба на SMS-пораки, а сето тоа е поддржано од релативно развиена серверска инфраструктура“, изјави Евард Дрихајс (Eward Driehuis), потпретседател за инженерство за спречување измами во ThreatFabric, во соопштение споделено со The Hacker News.

Hirudo овозможува кражба на податоци за најавување директно на уредот и далечинско управување во реално време. Малициозниот софтвер се доставува преку апликации за купување, содржини со содржина за возрасни и забава, кои служат како dropper апликации. Тие го содржат тројанецот во посебен инсталациски пакет, кој потоа се нуди како ажурирање во самата апликација.

Некои од овие апликации се наведени подолу:

• Shopora (com.agbbh.kjdrttt)
• 1V1 X (com.onev.vip)
• KoiShort (com.koishort.app)
• ZoyaTV (com.zoyatv.app)

„Мамката е функционална и прикажува вистинска содржина преку WebView, како што се онлајн-продавница, каталог со видеа или кратки драмски серии, па искуството изгледа легитимно“, објасни ThreatFabric.

„Зад таа содржина, dropper-апликацијата извршува однапред утврдена постапка при стартување: собира податоци за следење на промотивни кампањи, ја презема конфигурацијата на кампањата и проверува дали малициозниот софтвер, односно Hirudo RAT, веќе е инсталиран со овозможена услуга за пристапност и пристап до известувањата.“

Ако малициозниот софтвер не е присутен, апликацијата прикажува лажно известување за ажурирање во самата апликација, со цел да го поттикне корисникот да го инсталира.

Важно е да се нагласи дека Hirudo се инсталира како втора, посебна апликација и мора да добие сопствени дозволи пред да може да ги извршува злонамерните активности.

Како и во случајот со StreamRat, малициозниот софтвер користи техника против откривање, при што го блокира пристапот до интернет со конфигурирање намерно нефункционална VPN-врска пред инсталирањето на главниот малициозен софтвер.

Ова се смета за обид да се спречат други апликации и услуги, како што е Google Play Protect, да вршат проверки на малициозниот софтвер преку облачни сервиси.

„Сепак, Play Protect овозможува и офлајн-откривање на познати потенцијално штетни апликации, што значи дека овој механизам не ја оневозможува целосно неговата заштита“, забележа ThreatFabric минатиот месец. „Затоа сметаме дека оваа техника најверојатно има за цел да ја намали ефикасноста на механизмите за онлајн-проверка на репутацијата и анализа на кодот, наместо целосно да го заобиколи Play Protect.“

Во зависност од видот на апликацијата што се користи како мамка, dropper-апликацијата е дизајнирана и за прикажување лажни екрани со цел да ги украде PIN-кодовите за плаќање, лажни екрани што бараат податоци за најавување во банкарски апликации и дигитални паричници, лажни преклопувања на екранот за заклучување со шема или PIN-код, како и за овозможување целосна далечинска контрола врз уредот.

Иако сите овие активности се вообичаени за банкарските тројанци на Android, она што се издвојува е нивниот обид да ја заменат целната банкарска апликација со изменета копија.

Поконкретно, специјално изработените заменски апликации содржат механизам за hooking — техника со која се пресретнуваат повиците и одговорите на функциите во апликацијата. Целта е да се прикријат или заобиколат проверките на дигиталниот потпис, пристапноста, снимањето на екранот и Play Integrity, и тоа директно од самата апликација.

Овој механизам за замена е насочен кон осум индонезиски банкарски апликации.

„Кај овие апликации, RAT-малициозниот софтвер ја открива инсталираната банкарска апликација преку функциите за пристапност, го проверува нејзиниот сертификат за дигитално потпишување според претходно зачувана референтна вредност, а потоа прикажува лажно известување за „ажурирање““, објасни ThreatFabric.

„Тој го отвора системскиот деинсталатор на Android за да ја отстрани оригиналната апликација, без да чека корисникот да допре на екранот, а истовремено ја презема заменската апликација наменета за конкретната банка.“

Иако потребата прво да се отстрани оригиналната апликација, а потоа да се инсталира речиси идентична, но малициозна копија, претставува „реално ограничување“, овој механизам овозможува заобиколување на безбедносните проверки на самата банкарска апликација. Тоа се постигнува со враќање однапред подготвени одговори што ги контролира напаѓачот.

Ова вклучува:

• Враќање на оригиналниот сертификат за дигитално потпишување на апликацијата, со што проверката може да добие привидно исправен резултат.
• Враќање празна листа при проверка на овозможените услуги за пристапност, со што се прикрива нивното вистинско присуство.
• Отстранување на ознаката FLAG_SECURE, за да може екранот на апликацијата да се гледа и снима од далечина.

Ознаката FLAG_SECURE е безбедносна функција на Android што апликациите можат да ја користат за да спречат снимање на екранот, правење слики од екранот или прикажување на нивната содржина во одредени несигурни ситуации. Со нејзино отстранување, напаѓачите можат полесно да ја следат содржината што се прикажува во банкарската апликација.

„Сертификатите за атестација на клучевите повторно се потпишуваат со помош на вграден keybox (пакет со криптографски клучеви), а барањата до Play Integrity се препраќаат преку обичен HTTP до сервер контролиран од операторот на малициозниот софтвер, кој враќа резултат што апликацијата го прифаќа“, соопшти компанијата за мобилна безбедност.

„Постојат два важни детали што треба да се нагласат од аспект на одбраната. Прво, keybox-пакетот за атестација што го содржи овој механизам не им припаѓа на самите оператори, туку станува збор за јавно протечен пакет со клучеви. Второ, бидејќи барањето за проверка на интегритетот се препраќа, наместо автентично да се генерира, валидниот одговор од Play Integrity сам по себе не е доказ дека апликацијата не била изменета.“

Доказите укажуваат дека малициозниот софтвер се дистрибуира преку лажни веб-страници што се претставуваат како страници на Google Play Store за апликации за купување, кратки драмски серии и фудбалски содржини. Се претпоставува дека доверливите корисници се насочуваат кон овие веб-страници преку реклами на социјалните мрежи во сопственост на Meta.

Целата операција се потпира на серверска инфраструктура што комбинира контрола врз уредите со можност за управување со различни кампањи и украдени податоци. Тие податоци вклучуваат записи за уредите, историја на заклучување на екранот и финансиски профили што содржат информации за месечните приходи и полиња со процена на ризикот.

„Hirudo претставува намерна ескалација во начинот на кој банкарските тројанци за Android се справуваат со апликациите со засилена заштита“, соопшти ThreatFabric. „Со преместување на манипулациите директно во целната апликација, операцијата го префрла судирот од самиот уред кон проверките на интегритетот на апликацијата. Истовремено, наместо користење специјално изменета верзија за секоја апликација, се користи повторно употреблив механизам што може да се приспособи за напади врз други апликации и во други региони.“

„Откако една апликација ќе може да биде заменета, сигналите што ги генерира локално — нејзиниот дигитален потпис, листата на услуги за пристапност и резултатот од проверката на интегритетот — мора да се сметаат за податоци врз кои напаѓачот може да влијае и затоа мора да се проверуваат на серверската страна“, соопшти ThreatFabric.

Минатиот месец, овие наоди беа објавени нешто повеќе од еден месец откако компанијата за сајбер-безбедност откри дека малициозниот софтвер StreamRat ги таргетира корисниците што зборуваат шпански преку реклами на Meta и TikTok. Рекламите се претставувале како бесплатна услуга за стриминг телевизиски содржини наречена Streamtv Esp, со цел да се овозможи контрола врз компромитираните Android-уреди.

„StreamRat ги злоупотребува услугите за пристапност и технологијата MediaProjection за да им овозможи на операторите речиси целосна контрола врз заразените уреди. Тоа го постигнува со комбинирање на VNC и контрола на екранот во скриен режим, собирање податоци за структурата на корисничкиот интерфејс, евидентирање на притиснатите копчиња (keylogging), преклопувања за кражба на податоци за најавување, како и можности за блокирање на интернет-пристапот и екранот“, соопшти ThreatFabric.

Извори:

• The Hacker News – Hirudo Android Trojan Uses Patched Banking Apps to Bypass Their Built-In Security Checks The Hacker News