| 0 |
|
Специалисты Group-IB зафиксировали активность мобильного Android-трояна Gustuff. Среди его целей – клиенты международных банков, пользователи мобильных криптокошельков, а также крупных e-commerce ресурсов. Gustuff – «представитель» нового поколения вредоносных программ с полностью автоматизированными функциями, нацеленными, в том числе, на вывод фиатных денег и криптовалюты со счетов пользователей. Троян использует Accessibility Service – сервис для людей с ограниченными возможностями.
Анализ образца Gustuff показал, что потенциально троян нацелен на клиентов, использующих мобильные приложения крупнейших банков, таких как: Bank of America, Bank of Scotland, J.P.Morgan, Wells Fargo, Capital One, TD Bank, PNC Bank, а также на криптокошельки Bitcoin Wallet, BitPay, Cryptopay, Coinbase и др. На данный момент, специалистам Group-IB известно, что среди целей Gustuff пользователи 32 приложений для хранения криптовалют и клиенты более 100 банков, среди которых 27 – в США, 16 – в Польше, 10 – в Австралии, 9 – в Германии и 8 – Индии.
Изначально созданный, как классический банковский троян, в текущей версии Gustuff значительно расширил список потенциальных объектов для атаки. Помимо Android-приложений банков, финтех-компаний и криптосервисов, Gustuff нацелен на пользователей приложений маркетплейсов, онлайн-магазинов, платежных систем и мессенджеров. В частности, PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut, и других.
Для Gustuff характерен «классический» вектор проникновения на Android-смартфоны через SMS-рассылки со ссылками на APK (Android Package Kit, формат архивных исполняемых файлов-приложений для Android). При заражении Android-устройства трояном, по команде сервера может произойти дальнейшее распространение Gustuff’а по базе контактов инфицированного телефона, либо по базе данных сервера. Функциональные возможности Gustuff рассчитаны на массовое заражение и максимальную капитализацию бизнеса своих операторов – в нем присутствует уникальная функция «автозалива» в легитимные мобильные банковские приложения и криптокошельки, что позволяет ускорить и масштабировать кражу денег.
После загрузки на телефон жертвы Gustuff, используя сервис для людей с ограниченными возможностями Accessibility Service, получает возможность взаимодействовать с элементами окон других приложений (банковских, криптовалютных, а также приложений для онлайн-шоппинга, обмена сообщениями и др.), выполняя необходимые для злоумышленников действия. К примеру, по команде сервера троян может нажимать на кнопки и изменять значения текстовых полей в банковских приложениях. Использование механизма Accessibility Service позволяет трояну обходить механизмы защиты, используемые банками для противодействия мобильным троянам прошлого поколения, а также изменения в политике безопасности, внедренные Google в новые версии ОС Android. Так, Gustuff «умеет» отключать защиту Google Protect: по заверениям автора, данная функция срабатывает в 70% случаев.
Также Gustuff может демонстрировать фейковые PUSH-уведомления с иконками легитимных мобильных приложений. Пользователь кликает на PUSH-уведомление и видит загруженное с сервера фишинговое окно, куда сам вводит запрашиваемые данные банковской карты или криптокошелька. В другом сценарии работы Gustuff происходит открытие приложения, от имени которого демонстрировалось PUSH-уведомление. В этом случае вредоносная программа по команде сервера через Accessibility Service может заполнять поля формы банковского приложения для мошеннической транзакции.
В функциональные возможности Gustuff также входят отправка на сервер информации о заражённом устройстве, возможность чтения/ отправления SMS-сообщений, отправление USSD-запросов, запуск SOCKS5 Proxy, переход по ссылке, отправление файлов (в том числе фотосканы документов, скриншоты, фотографии) на сервер, сброс устройства до заводских настроек.
Впервые система киберразведки Threat Intelligence Group-IB обнаружила Gustuff на хакерских форумах в апреле 2018 г. По данным разработчика, скрывающегося под ником Bestoffer, Gustuf стал новой улучшенной версией вредоносной программы AndyBot, которая с ноября 2017 г. атакует телефоны с ОС Android, для кражи денег используя фишинговые веб-формы, маскирующиеся под мобильные приложения известных международных банков и платежных систем.
Ready, set, buy! Посібник для початківців - як придбати Copilot для Microsoft 365
| 0 |
|
