От началото на годината нов троянски кон за Android, наречен „Chameleon“, е насочен към потребителите в Австралия и Полша, като имитира борсата за криптовалути CoinSpot, австралийска правителствена агенция и банката IKO.

Мобилният зловреден софтуер е открит от фирмата за киберсигурност Cyble, която съобщава, че наблюдава разпространение чрез компрометирани уебсайтове, прикачени файлове в Discord и хостинг услуги в Bitbucket.

Chameleon включва широк набор от зловредни функционалности, включително кражба на потребителски данни чрез инжектиране на наслагвания и запис на клавиши, бисквитки и SMS-и от заразеното устройство.

Фокус върху избягването на данъци

При стартиране зловредният софтуер извършва различни проверки, за да избегне откриването му от софтуера за сигурност.

Тези проверки включват проверки срещу емулация, за да се открие дали устройството е рутирано и дали е активирана функцията за отстраняване на грешки, което увеличава вероятността приложението да е стартирано в средата на анализатора.

Ако средата изглежда чиста, заразяването продължава и Chameleon изисква от жертвата да му разреши да използва услугата Accessibility Service, с която злоупотребява, за да си предостави допълнителни разрешения, да деактивира Google Play Protect и да спре потребителя да го деинсталира.

При първото свързване с C2 Chameleon изпраща версията на устройството, модела, статуса на root, държавата и точното местоположение, вероятно за да профилира новата инфекция.

След това, в зависимост от това за каква единица се представя зловредният софтуер, той отваря легитимния си URL адрес в WebView и започва да зарежда злонамерени модули във фонов режим.

Те включват крадец на „бисквитки“, кийлогър, инжектор на фишинг страници, грабител на ПИН/модел на заключен екран и крадец на SMS, който може да изтръгне еднократни пароли и да помогне на нападателите да заобиколят 2FA защитите.

Повечето от тези системи за кражба на данни разчитат на злоупотреба с услугите за достъпност, за да работят както трябва, позволявайки на зловредния софтуер да наблюдава съдържанието на екрана, да следи за конкретни събития, да се намесва, за да променя елементи на интерфейса, или да изпраща определени API повиквания, когато е необходимо.

Същата системна услуга се използва и за предотвратяване на деинсталирането на зловредния софтуер, като идентифицира опитите на жертвата да премахне зловредното приложение и изтрива неговите споделени променливи за предпочитания, за да изглежда, че то вече не присъства в устройството.

Изтриването на споделените файлове с предпочитания принуждава приложението да възстанови комуникацията си с C2 при следващото стартиране, но предотвратява деинсталирането му и затруднява анализа му от изследователите.

Cyble също така наблюдава код, който позволява на Chameleon да изтегли полезен товар по време на изпълнение и да го запише на хоста като „.jar“ файл, за да бъде изпълнен по-късно чрез DexClassLoader. За момента обаче тази функция не се използва.

Chameleon е нововъзникваща заплаха, която може да добави повече функции и възможности в бъдещи версии.

На потребителите на Android се препоръчва да бъдат внимателни с приложенията, които инсталират на своите устройства, да изтеглят софтуер само от официални магазини и да се уверят, че функцията Google Play Protect е винаги активирана.

Инфографики и базова информация: Cyble