Hirudo-skadlig kod för Android stjäl finansiella inloggningsuppgifter genom att ersätta äkta bankappar med modifierade kopior. Dessa ersättningsappar behåller större delen av den ursprungliga funktionaliteten samtidigt som de stör säkerhetskontroller som är utformade för att skydda kundkonton.
Forskare har identifierat skadliga versioner av åtta bankappar. Utöver att stjäla inloggningsuppgifter gör den skadliga koden det möjligt för angripare att fjärrstyra infekterade telefoner, läsa meddelanden och spela in ljud.
Hittills har utredare observerat imitationer av appar från minst sju indonesiska banker. Den bredare inriktningen omfattar dock även finansiella organisationer i Kina, Indien, Mexiko, Marocko och Thailand.
Falska uppdateringar inleder infektionsprocessen
Attacken börjar med appar som erbjuder shopping, vuxeninnehåll eller korta dramaserier. Exempel är Shopora, 1V1 X, ZoyaTV och KoiShort.
Dessa appar tillhandahåller sina utlovade funktioner, vilket hjälper dem att framstå som trovärdiga. Samtidigt fungerar de som laddningsprogram som introducerar Hirudo genom falska uppdateringsmeddelanden.
Dessa uppmaningar vägleder användare att bevilja omfattande behörigheter, inklusive åtkomst till Androids tillgänglighetstjänster. Den skadliga koden missbrukar sedan denna åtkomst under processen där bankappen ersätts.
Först öppnar Hirudo avinstallationsfunktionen för den legitima bankappen. Därefter laddar den ner en modifierad ersättningsapp och använder tillgänglighetsbehörigheter för att hjälpa till att installera den.
Ersättningsprocessen är dock inte helt sömlös. Forskare har identifierat två steg där offret kan avbryta operationen.
Modifierade bankappar undergräver sina egna säkerhetskontroller
Ersättningsapparna bevarar nästan all kod från den ursprungliga bankprogramvaran. Samtidigt laddar de en hooking-motor som bygger på ramverken YAHFA och Dobby med öppen källkod.
Denna motor körs inuti bankappens egen process, vilket gör det möjligt att manipulera svaren på säkerhetskontroller.
Exempelvis tillhandahåller den det äkta signeringscertifikatet när appen begär certifikatinformation. Den döljer också aktiva tillgänglighetstjänster genom att returnera en tom lista.
Samtidigt tar den modifierade appen bort begränsningar för skärmdumpar, vilket gör det möjligt för angripare att se och spela in innehåll som normalt skulle vara skyddat.
Andra ändringar påverkar certifikat för nyckelattestering och dirigerar Play Integrity-förfrågningar genom en server som kontrolleras av angriparna. Tillsammans syftar dessa tekniker till att undergräva kontroller som skulle kunna avslöja den modifierade appen eller dess körmiljö.
Komprometterade certifikat ger möjlighet till upptäckt
Trots dessa funktioner har Hirudos metoder för att undvika upptäckt begränsningar.
Forskare upptäckte att den medföljande nyckelboxen för attestering redan hade läckt offentligt. Google listar också två tillhörande certifikat som komprometterade.
Därför kan banker som kontrollerar återkallade certifikat på sina servrar upptäcka dessa komprometterade certifikat. Detta skapar en möjlighet att identifiera förfalskade attesteringsbevis trots den skadliga kodens manipulationer inuti appen.
Hirudo samlar in PIN-koder, meddelanden och enhetshemligheter
När Hirudo-skadlig kod för Android är aktiv kan den samla in banklösenord, betalnings-PIN-koder, uppgifter för att låsa upp enheten och SMS-meddelanden.
Dessutom kan angripare strömma telefonens skärm, ta skärmdumpar, spela in ljud och komma åt båda kamerorna. Dessa funktioner möjliggör övervakning i realtid och fjärrstyrning.
Operationen använder också falska betalningssidor för att samla in betalnings-PIN-koder. Efter att informationen har samlats in visar sidorna ett förfalskat meddelande om att betalningen lyckats för att vilseleda offret.
Forskare upptäckte tusentals poster med inloggningsuppgifter till applikationer i en osäkrad administratörspanel. De exponerade uppgifterna omfattade även enhetsinformation, låsskärmsdata och finansiella profiler.
Dessa poster fastställer dock inte hur många personer som har drabbats av en infektion. Det totala antalet offer är fortfarande okänt.
Validering på serversidan kan hjälpa banker att upptäcka manipulation
Resultaten belyser en metod som riktar sig mot skyddsmekanismer inuti bankappar, vid sidan av kontroller av den omgivande enhetsmiljön.
Forskare rekommenderar därför att integritets- och attesteringsbevis valideras på servrar som kontrolleras av bankerna. De rekommenderar också att dessa kontroller kopplas till enskilda sessioner och känsliga åtgärder.
Dessutom bör banker upprätthålla beteendeövervakning och kontroller av transaktionsrisker för att hjälpa till att identifiera misstänkt aktivitet.
För Android-användare omfattar rekommendationerna att hålla enheterna uppdaterade och undvika att ladda ner APK-filer från inofficiella appbutiker. Regelbundna skanningar med Play Protect ger ytterligare ett skydd mot skadlig programvara.
0 svar till ”Hirudo-skadlig kod för Android ersätter bankappar med kopior som stjäl inloggningsuppgifter”