Drama RAT: банковский троян атакует Android через фишинг
Drama RAT представляет собой банковский троян для Android и вредоносное ПО удалённого доступа. Вредоносное ПО распространяется через фишинговые сообщения в мессенджерах и маскируется под VPN-сервисы, банковские приложения, взломанные утилиты и поддельные обновления.
Установка и связь с C2-сервером
Дроппер запрашивает разрешение на установку приложений из неизвестных источников. Затем он формирует отпечаток устройства с помощью хеша SHA-256, полученного из Android ID и хеша подписи приложения, после чего отправляет этот идентификатор на сервер управления C2.
В ответ сервер передаёт зашифрованную полезную нагрузку и фрагмент ключа. Дроппер расшифровывает полезную нагрузку с использованием полученного фрагмента, встроенного ключа и хеша подписи дроппера. После этого он устанавливает вредоносное приложение и удаляет полезную нагрузку вместе с фрагментом ключа.
После установки ВПО передаёт на C2-сервер сведения об устройстве, включая:
- версию Android;
- состояние батареи;
- тип сети;
- обои;
- данные SIM-карты;
- предоставленные разрешения;
- список установленных приложений;
- другие сведения об устройстве.
Для поддержания связи Drama RAT периодически отправляет данные о статусе устройства и показания акселерометра.
Злоупотребление службами доступности Android
Drama RAT использует службы доступности Android для чтения содержимого интерфейса, манипуляции буфером обмена, кражи данных браузера и мониторинга активности пользователя. Вредоносное ПО также может автоматически предоставлять дополнительные разрешения, включая доступ к SMS, контактам, микрофону и записи экрана.
Запросы разрешений скрываются с помощью чёрных наложений. Практически прозрачные наложения применяются для сокрытия индикаторов записи, появившихся в новых версиях Android.
Возможности вредоносного ПО
Drama RAT способно перехватывать и отправлять SMS-сообщения, становиться приложением по умолчанию для SMS и перехватывать нажатия клавиш. ВПО также отображает фишинговые оверлеи, крадёт учетные данные и данные приложений, записывает и транслирует содержимое экрана, получает доступ к микрофону и камере.
Кроме того, вредоносное ПО может:
- собирать контакты, учетные данные учетных записей и геолокацию;
- управлять звонками;
- скрывать собственную иконку;
- скрывать уведомления сторонних приложений;
- получать от C2-сервера целевые списки приложений;
- проводить DDoS-атаки на указанные цели.
Многоязычные фишинговые оверлеи поддерживают 29 языков.
Закрепление и противодействие удалению
Для закрепления в системе Drama RAT использует задачи Android AlarmManager. Они выполняются каждые восемь секунд и проверяют подключение, разрешения, статус функции «Специальные возможности» (Accessibility), а также работу компонентов. После проверки задачи перезапускают неактивные функции.
Вредоносное ПО перенаправляет попытки доступа к настройкам, предназначенным для удаления приложения или отзыва разрешений. Это затрудняет стандартное удаление Drama RAT.
Противодействие анализу
Для усложнения анализа Drama RAT применяет набор защитных механизмов:
- мусорные артефакты;
- поддельные файлы DEX;
- повреждённый AndroidManifest.xml;
- зашифрованные строки и шаблоны HTML;
- обнаружение root-доступа и инструментов инструментирования;
- противодействие отладке;
- перехват хуков Frida;
- проверки ptrace.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
