Hirudo-skadevare for Android stjeler finansielle påloggingsopplysninger ved å erstatte ekte bankapper med modifiserte kopier. Disse erstatningsappene beholder det meste av den opprinnelige funksjonaliteten, samtidig som de forstyrrer sikkerhetskontroller som er utformet for å beskytte kundekontoer.
Forskere har identifisert skadelige versjoner av åtte bankapper. I tillegg til å stjele påloggingsopplysninger gjør skadevaren det mulig for angripere å fjernstyre infiserte telefoner, lese meldinger og ta opp lyd.
Så langt har etterforskere observert etterligninger av apper fra minst sju indonesiske banker. Den bredere målrettingen omfatter imidlertid også finansinstitusjoner i Kina, India, Mexico, Marokko og Thailand.
Falske oppdateringer starter infeksjonsprosessen
Angrepet begynner med apper som tilbyr shopping, vokseninnhold eller korte dramaserier. Eksempler inkluderer Shopora, 1V1 X, ZoyaTV og KoiShort.
Disse appene tilbyr funksjonene de annonserer, noe som bidrar til at de fremstår som troverdige. Samtidig fungerer de som lasteprogrammer som introduserer Hirudo gjennom falske oppdateringsvarsler.
Disse varslene leder brukerne til å gi omfattende tillatelser, inkludert tilgang til Androids tilgjengelighetstjenester. Skadevaren misbruker deretter denne tilgangen under prosessen med å erstatte bankappen.
Først åpner Hirudo avinstalleringsfunksjonen for den legitime bankappen. Deretter laster den ned en modifisert erstatningsapp og bruker tilgjengelighetstillatelser for å hjelpe til med å installere den.
Erstatningsprosessen er imidlertid ikke helt sømløs. Forskere har identifisert to stadier der offeret kan avbryte operasjonen.
Modifiserte bankapper undergraver sine egne sikkerhetskontroller
Erstatningsappene bevarer nesten all koden fra den opprinnelige bankprogramvaren. Samtidig laster de inn en hooking-motor som er bygget med rammeverkene YAHFA og Dobby med åpen kildekode.
Denne motoren kjører inne i bankappens egen prosess, noe som gjør det mulig å manipulere svarene på sikkerhetskontroller.
For eksempel leverer den det ekte signeringssertifikatet når appen ber om sertifikatinformasjon. Den skjuler også aktive tilgjengelighetstjenester ved å returnere en tom liste.
Samtidig fjerner den modifiserte appen begrensninger for skjermbilder, slik at angripere kan se og ta opp innhold som normalt ville vært beskyttet.
Andre endringer påvirker sertifikater for nøkkelattestering og sender Play Integrity-forespørsler gjennom en server kontrollert av angriperne. Til sammen har disse teknikkene som mål å undergrave kontroller som kan avsløre den modifiserte appen eller miljøet den kjører i.
Kompromitterte sertifikater gir mulighet for oppdagelse
Til tross for disse funksjonene har Hirudos metoder for å unngå oppdagelse begrensninger.
Forskere fant ut at den medfølgende nøkkelboksen for attestering allerede hadde blitt lekket offentlig. Google oppfører også to tilknyttede sertifikater som kompromitterte.
Dermed kan banker som kontrollerer tilbakekalling av sertifikater på sine servere, oppdage disse kompromitterte sertifikatene. Dette gir en mulighet til å identifisere forfalskede attesteringsbevis til tross for skadevarens manipulering inne i appen.
Hirudo samler inn PIN-koder, meldinger og enhetshemmeligheter
Når Hirudo-skadevare for Android er aktiv, kan den samle inn bankpassord, betalings-PIN-koder, opplysninger for å låse opp enheten og SMS-meldinger.
I tillegg kan angripere strømme telefonens skjerm, ta skjermbilder, ta opp lyd og få tilgang til begge kameraene. Disse funksjonene muliggjør overvåking i sanntid og fjernstyring.
Operasjonen bruker også falske betalingssider for å samle inn betalings-PIN-koder. Etter at informasjonen er samlet inn, viser disse sidene en falsk melding om at betalingen var vellykket, for å villede offeret.
Forskere oppdaget tusenvis av oppføringer med påloggingsopplysninger til applikasjoner i et usikret administrasjonspanel. De eksponerte oppføringene inneholdt også enhetsinformasjon, låseskjermdata og finansielle profiler.
Disse oppføringene fastslår imidlertid ikke hvor mange personer som har blitt infisert. Det totale antallet ofre er fortsatt ukjent.
Validering på serversiden kan hjelpe banker med å oppdage manipulering
Funnene fremhever en metode som retter seg mot beskyttelsesmekanismer inne i bankapper, i tillegg til kontroller av enhetsmiljøet rundt dem.
Forskere anbefaler derfor å validere integritets- og attesteringsbevis på servere som kontrolleres av bankene. De anbefaler også å knytte disse kontrollene til individuelle økter og sensitive handlinger.
Videre bør banker opprettholde atferdsovervåking og kontroller av transaksjonsrisiko for å bidra til å identifisere mistenkelig aktivitet.
For Android-brukere inkluderer anbefalingene å holde enhetene oppdatert og unngå å laste ned APK-filer fra uoffisielle appbutikker. Regelmessige skanninger med Play Protect gir et ekstra forholdsregler mot skadelig programvare.
0 responses to “Hirudo-skadevare for Android erstatter bankapper med kopier som stjeler påloggingsopplysninger”