Търсене
Close this search box.

Chameleon имитира банкови, правителствени и крипто приложения

От началото на годината нов троянски кон за Android, наречен „Chameleon“, е насочен към потребителите в Австралия и Полша, като имитира борсата за криптовалути CoinSpot, австралийска правителствена агенция и банката IKO.

Мобилният зловреден софтуер е открит от фирмата за киберсигурност Cyble, която съобщава, че наблюдава разпространение чрез компрометирани уебсайтове, прикачени файлове в Discord и хостинг услуги в Bitbucket.

Chameleon включва широк набор от зловредни функционалности, включително кражба на потребителски данни чрез инжектиране на наслагвания и запис на клавиши, бисквитки и SMS-и от заразеното устройство.

Фокус върху избягването на данъци

При стартиране зловредният софтуер извършва различни проверки, за да избегне откриването му от софтуера за сигурност.

Тези проверки включват проверки срещу емулация, за да се открие дали устройството е рутирано и дали е активирана функцията за отстраняване на грешки, което увеличава вероятността приложението да е стартирано в средата на анализатора.

Ако средата изглежда чиста, заразяването продължава и Chameleon изисква от жертвата да му разреши да използва услугата Accessibility Service, с която злоупотребява, за да си предостави допълнителни разрешения, да деактивира Google Play Protect и да спре потребителя да го деинсталира.

 

При първото свързване с C2 Chameleon изпраща версията на устройството, модела, статуса на root, държавата и точното местоположение, вероятно за да профилира новата инфекция.

След това, в зависимост от това за каква единица се представя зловредният софтуер, той отваря легитимния си URL адрес в WebView и започва да зарежда злонамерени модули във фонов режим.

Те включват крадец на „бисквитки“, кийлогър, инжектор на фишинг страници, грабител на ПИН/модел на заключен екран и крадец на SMS, който може да изтръгне еднократни пароли и да помогне на нападателите да заобиколят 2FA защитите.

 

 

Повечето от тези системи за кражба на данни разчитат на злоупотреба с услугите за достъпност, за да работят както трябва, позволявайки на зловредния софтуер да наблюдава съдържанието на екрана, да следи за конкретни събития, да се намесва, за да променя елементи на интерфейса, или да изпраща определени API повиквания, когато е необходимо.

Същата системна услуга се използва и за предотвратяване на деинсталирането на зловредния софтуер, като идентифицира опитите на жертвата да премахне зловредното приложение и изтрива неговите споделени променливи за предпочитания, за да изглежда, че то вече не присъства в устройството.

Изтриването на споделените файлове с предпочитания принуждава приложението да възстанови комуникацията си с C2 при следващото стартиране, но предотвратява деинсталирането му и затруднява анализа му от изследователите.

Cyble също така наблюдава код, който позволява на Chameleon да изтегли полезен товар по време на изпълнение и да го запише на хоста като „.jar“ файл, за да бъде изпълнен по-късно чрез DexClassLoader. За момента обаче тази функция не се използва.

 

Chameleon е нововъзникваща заплаха, която може да добави повече функции и възможности в бъдещи версии.

На потребителите на Android се препоръчва да бъдат внимателни с приложенията, които инсталират на своите устройства, да изтеглят софтуер само от официални магазини и да се уверят, че функцията Google Play Protect е винаги активирана.

Инфографики и базова информация: Cyble

Източник: По материали от Интернет

Подобни публикации

25 юли 2024

Съвети как да поддържате киберсигурността на би...

Ръководството на цифровото поведение на служителите е от ключово зн...
24 юли 2024

ACLU се бори за конституционното ви право да пр...

Събуждате се в деня на изборите и отключвате телефона си, за да вид...
24 юли 2024

CrowdStrike обяснява защо лошата актуализация н...

Днес CrowdStrike сподели информация от предварителния си преглед сл...
24 юли 2024

57 000 пациенти, засегнати от нарушение на сигу...

Michigan Medicine (Мичиган Медисин) , академичният медицински центъ...
24 юли 2024

Китайските хакери разполагат с нова версия на M...

Китайската хакерска група, проследена като „Evasive PandaR...
24 юли 2024

Юлските актуализации за сигурност на Windows из...

Microsoft предупреди, че след инсталирането на актуализациите за си...

NIS 2: Въвеждане на по-строго управление на киб...

Новата директива на ЕС NIS 2 вдига летвата за киберсигурност, особе...

Грешки в киберсигурността на крайните потребите...

В днешните забързани организации крайните потребители понякога се о...
Бъдете социални
Още по темата
23/07/2024

САЩ налагат санкции на руск...

Правителството на САЩ наложи санкции на...
23/07/2024

Гърция пребори успешно въл...

Агенцията за поземлен регистър в Гърция...
20/07/2024

Akira Ransomware: Светкавич...

Изнудвачите от Akira вече са способни...
Последно добавени
25/07/2024

Съвети как да поддържате ки...

Ръководството на цифровото поведение на служителите...
24/07/2024

ACLU се бори за конституцио...

Събуждате се в деня на изборите...
24/07/2024

CrowdStrike обяснява защо л...

Днес CrowdStrike сподели информация от предварителния...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!