Търсене
Close this search box.

Chameleon имитира банкови, правителствени и крипто приложения

От началото на годината нов троянски кон за Android, наречен „Chameleon“, е насочен към потребителите в Австралия и Полша, като имитира борсата за криптовалути CoinSpot, австралийска правителствена агенция и банката IKO.

Мобилният зловреден софтуер е открит от фирмата за киберсигурност Cyble, която съобщава, че наблюдава разпространение чрез компрометирани уебсайтове, прикачени файлове в Discord и хостинг услуги в Bitbucket.

Chameleon включва широк набор от зловредни функционалности, включително кражба на потребителски данни чрез инжектиране на наслагвания и запис на клавиши, бисквитки и SMS-и от заразеното устройство.

Фокус върху избягването на данъци

При стартиране зловредният софтуер извършва различни проверки, за да избегне откриването му от софтуера за сигурност.

Тези проверки включват проверки срещу емулация, за да се открие дали устройството е рутирано и дали е активирана функцията за отстраняване на грешки, което увеличава вероятността приложението да е стартирано в средата на анализатора.

Ако средата изглежда чиста, заразяването продължава и Chameleon изисква от жертвата да му разреши да използва услугата Accessibility Service, с която злоупотребява, за да си предостави допълнителни разрешения, да деактивира Google Play Protect и да спре потребителя да го деинсталира.

 

При първото свързване с C2 Chameleon изпраща версията на устройството, модела, статуса на root, държавата и точното местоположение, вероятно за да профилира новата инфекция.

След това, в зависимост от това за каква единица се представя зловредният софтуер, той отваря легитимния си URL адрес в WebView и започва да зарежда злонамерени модули във фонов режим.

Те включват крадец на „бисквитки“, кийлогър, инжектор на фишинг страници, грабител на ПИН/модел на заключен екран и крадец на SMS, който може да изтръгне еднократни пароли и да помогне на нападателите да заобиколят 2FA защитите.

 

 

Повечето от тези системи за кражба на данни разчитат на злоупотреба с услугите за достъпност, за да работят както трябва, позволявайки на зловредния софтуер да наблюдава съдържанието на екрана, да следи за конкретни събития, да се намесва, за да променя елементи на интерфейса, или да изпраща определени API повиквания, когато е необходимо.

Същата системна услуга се използва и за предотвратяване на деинсталирането на зловредния софтуер, като идентифицира опитите на жертвата да премахне зловредното приложение и изтрива неговите споделени променливи за предпочитания, за да изглежда, че то вече не присъства в устройството.

Изтриването на споделените файлове с предпочитания принуждава приложението да възстанови комуникацията си с C2 при следващото стартиране, но предотвратява деинсталирането му и затруднява анализа му от изследователите.

Cyble също така наблюдава код, който позволява на Chameleon да изтегли полезен товар по време на изпълнение и да го запише на хоста като „.jar“ файл, за да бъде изпълнен по-късно чрез DexClassLoader. За момента обаче тази функция не се използва.

 

Chameleon е нововъзникваща заплаха, която може да добави повече функции и възможности в бъдещи версии.

На потребителите на Android се препоръчва да бъдат внимателни с приложенията, които инсталират на своите устройства, да изтеглят софтуер само от официални магазини и да се уверят, че функцията Google Play Protect е винаги активирана.

Инфографики и базова информация: Cyble

Източник: По материали от Интернет

Подобни публикации

27 февруари 2024

Севернокорейските хакери атакуват разработчици ...

Нови данни на Phylum показват, че набор от фалшиви пакети npm, откр...
27 февруари 2024

Защо автоматизацията е от съществено значение з...

Областта на киберсигурността се разширява, което води след себе си ...
27 февруари 2024

Киберсигурност - четки за зъби, дронове и джуджета

Звучи като виц, но всички тези истории са станали популярни през по...
27 февруари 2024

САЩ и НАТО: Руските хакери преминават към облач...

Членовете на разузнавателния алианс „Пет очи“ (FVEY) пр...
27 февруари 2024

ThyssenKrupp потвърждава кибератака

Стоманодобивният гигант ThyssenKrupp потвърждава, че миналата седми...
27 февруари 2024

SubdoMailing - развива се агресивна измамна кам...

Мащабна кампания за рекламни измами, наречена „SubdoMailing&#...
27 февруари 2024

Реакция на пробива в сигурността на AnyDesk с р...

Нарушението и реакцията на AnyDesk На 2 февруари приложението за от...
26 февруари 2024

Организациите са изправени пред големи санкции ...

Това може да се превърне в кошмар за правоприлагащите органи –...
26 февруари 2024

Малави спря издаването на паспорти заради кибер...

Съобщава се, че правителството на Малави е спряло издаването на пас...
Бъдете социални
Още по темата
27/02/2024

САЩ и НАТО: Руските хакери ...

Членовете на разузнавателния алианс „Пет очи“...
27/02/2024

ThyssenKrupp потвърждава ки...

Стоманодобивният гигант ThyssenKrupp потвърждава, че миналата...
23/02/2024

Новата ера в хактивизма

През последните две години наблюдаваме значително...
Последно добавени
27/02/2024

Севернокорейските хакери ат...

Нови данни на Phylum показват, че...
27/02/2024

Защо автоматизацията е от с...

Областта на киберсигурността се разширява, което...
27/02/2024

Киберсигурност - четки за з...

Звучи като виц, но всички тези...
Ключови думи

Абонамента е почти завършен.

На посоченият от Вас e-mail е изпратено съобщение за потвърждаване на абонамента.

Моля, проверете електронната си поща за да потвърдите.

Благодарим за доверието!