Hirudo-malware til Android stjæler finansielle loginoplysninger ved at erstatte ægte bankapps med modificerede kopier. Disse erstatningsapps bevarer størstedelen af den oprindelige funktionalitet, samtidig med at de forstyrrer sikkerhedskontroller, der er designet til at beskytte kundekonti.
Forskere har identificeret ondsindede versioner af otte bankapps. Ud over at stjæle loginoplysninger gør malwaren det muligt for angribere at fjernstyre inficerede telefoner, læse beskeder og optage lyd.
Indtil videre har efterforskere observeret efterligninger af apps fra mindst syv indonesiske banker. Den bredere målretning omfatter dog også finansielle organisationer i Kina, Indien, Mexico, Marokko og Thailand.
Falske opdateringer starter infektionsprocessen
Angrebet begynder med apps, der tilbyder shopping, voksenindhold eller korte dramaserier. Eksempler omfatter Shopora, 1V1 X, ZoyaTV og KoiShort.
Disse apps leverer de funktioner, de reklamerer med, hvilket hjælper dem med at fremstå troværdige. Samtidig fungerer de som indlæsningsprogrammer, der introducerer Hirudo gennem falske opdateringsmeddelelser.
Disse meddelelser får brugerne til at give omfattende tilladelser, herunder adgang til Androids tilgængelighedstjenester. Malwaren misbruger derefter denne adgang under processen med at erstatte bankappen.
Først åbner Hirudo afinstallationsfunktionen for den legitime bankapp. Derefter downloader den en modificeret erstatningsapp og bruger tilgængelighedstilladelser til at hjælpe med at installere den.
Udskiftningsprocessen er dog ikke helt problemfri. Forskere har identificeret to stadier, hvor offeret kan afbryde operationen.
Modificerede bankapps underminerer deres egne sikkerhedskontroller
Erstatningsappene bevarer næsten al koden fra den oprindelige banksoftware. Samtidig indlæser de en hooking-motor, der er bygget med open source-frameworkene YAHFA og Dobby.
Denne motor kører inde i bankappens egen proces, hvilket gør det muligt at manipulere svarene på sikkerhedskontroller.
For eksempel leverer den det ægte signeringscertifikat, når appen anmoder om certifikatoplysninger. Den skjuler også aktive tilgængelighedstjenester ved at returnere en tom liste.
Samtidig fjerner den modificerede app begrænsninger for skærmbilleder, hvilket gør det muligt for angribere at se og optage indhold, som normalt ville være beskyttet.
Andre ændringer påvirker certifikater til nøgleattestering og sender Play Integrity-anmodninger gennem en server, der kontrolleres af angriberne. Tilsammen har disse teknikker til formål at underminere kontroller, der kunne afsløre den modificerede app eller dens driftsmiljø.
Kompromitterede certifikater giver mulighed for opdagelse
På trods af disse funktioner har Hirudos metoder til at undgå opdagelse begrænsninger.
Forskere fandt ud af, at den medfølgende nøgleboks til attestering allerede var blevet lækket offentligt. Google angiver også to tilknyttede certifikater som kompromitterede.
Derfor kan banker, der kontrollerer tilbagekaldelse af certifikater på deres servere, opdage disse kompromitterede certifikater. Dette skaber en mulighed for at identificere forfalskede attesteringsbeviser på trods af malwarens indblanding inde i appen.
Hirudo indsamler PIN-koder, beskeder og enhedshemmeligheder
Når Hirudo-malware til Android er aktiv, kan den indsamle bankadgangskoder, betalings-PIN-koder, oplysninger til oplåsning af enheden og SMS-beskeder.
Derudover kan angribere streame telefonens skærm, tage skærmbilleder, optage lyd og få adgang til begge kameraer. Disse funktioner understøtter overvågning i realtid og fjernstyring.
Operationen bruger også falske betalingssider til at indsamle betalings-PIN-koder. Efter at have indsamlet oplysningerne viser disse sider en falsk besked om, at betalingen er gennemført, for at vildlede offeret.
Forskere opdagede tusindvis af poster med loginoplysninger til applikationer i et usikret backend-panel. De eksponerede poster omfattede også enhedsoplysninger, låseskærmsdata og finansielle profiler.
Disse poster fastslår dog ikke, hvor mange personer der er blevet inficeret. Det samlede antal ofre er fortsat ukendt.
Validering på serversiden kan hjælpe banker med at opdage manipulation
Resultaterne fremhæver en metode, der retter sig mod beskyttelsesmekanismer inde i bankapps, sideløbende med kontroller af det omgivende enhedsmiljø.
Forskere anbefaler derfor at validere integritets- og attesteringsbeviser på servere, der kontrolleres af bankerne. De anbefaler også at knytte disse kontroller til individuelle sessioner og følsomme handlinger.
Derudover bør banker opretholde adfærdsovervågning og kontroller af transaktionsrisici for at hjælpe med at identificere mistænkelig aktivitet.
For Android-brugere omfatter anbefalingerne at holde enhederne opdaterede og undgå at downloade APK-filer fra uofficielle appbutikker. Regelmæssige scanninger med Play Protect giver en yderligere forholdsregel mod skadelig software.
0 svar til “Hirudo-malware til Android erstatter bankapps med kopier, der stjæler loginoplysninger”