GhostBat крадёт PIN-коды в платёжных приложениях Android
GhostX представляет собой управляемую операторами экосистему угроз для Android. Активность преимущественно нацелена на пользователей в Индии: в кампаниях смишинга злоумышленники имитируют сервисы mParivahan, eChallan, регистрацию транспортных средств и дорожное правоприменение. Жертвам отправляют ссылки на фишинговые страницы или вредоносные APK, размещённые на публичных платформах, в том числе в репозиториях GitHub и на хостинговых ресурсах.
Функции GhostBat и перехват PIN-кодов
GhostBat прошёл путь от средства перехвата SMS и кражи информации до модульного банковского трояна и вредоносного ПО удалённого доступа. Его функции включают профилирование устройств, перехват и передачу SMS, манипуляции с переадресацией вызовов, кражу платёжных данных, удалённое туннелирование, выполнение команд и динамическое управление конфигурацией.
Последняя версия GhostBat использует службу специальных возможностей Android (Android Accessibility Service), чтобы отслеживать приложения на переднем плане, взаимодействовать с пользовательскими интерфейсами и перехватывать финансовые учётные данные. Функция Ghost Overlay нацелена на Google Pay и MobiKwik. Вредоносное ПО размещает прозрачные области доступности поверх легитимной клавиатуры для ввода PIN-кода, перехватывает координаты касаний, восстанавливает PIN и воспроизводит те же нажатия в настоящем приложении с помощью dispatchGesture(). PIN-код крадётся без показа поддельного платёжного интерфейса и без нарушения процесса транзакции. Перехваченные данные помечаются источником ghost_overlay и отправляются на серверную часть вредоносного ПО.
Другой механизм перехвата клавиш и PIN-кодов на основе специальных возможностей нацелен примерно на 60 банковских приложений, сервисов UPI, электронных кошельков, финтех-приложений и платёжных сервисов в Индии. Среди них PhonePe, Paytm, BHIM, SBI UPI, Axis Pay, BharatPe, CRED, PayZapp, Groww, Navi и Samsung Pay. Для распознавания конфиденциального числового ввода вредоносное ПО учитывает контекст приложения и экрана, а также настраиваемые ограничения длины PIN-кода.
Серверная инфраструктура и управление
В обнаруженной инфраструктуре серверной части GhostX хранились данные аутентификации операторов, сведения о ролях пользователей и администраторов, записи о скомпрометированных устройствах, инструкции по доставке SMS, меняющиеся фишинговые URL, данные о регистрации транспортных средств и номера телефонов получателей. По оценке исследователей, эти сведения указывают на активное управление кампаниями и потенциально на модель функционирования, ориентированную на предоставление услуг.
Firebase Remote Config позволяет менять инфраструктуру серверов управления (C&C) и выборочно активировать функции вредоносного ПО без повторного распространения APK.
Способы доставки и загрузки компонентов
Архитектура доставки GhostBat стала разнообразнее. В наблюдавшихся загрузчиках применяются:
- зашифрованные контейнеры APK;
- собственные форматы SPKZ/SPK1;
- загрузка DEX в память на Java;
- удалённое скачивание APK;
- многоэтапная обработка с использованием XOR/AES;
- нативный загрузчик
libnetbridge.so.
Последний загрузчик использует несколько уровней преобразований, этап, аналогичный RC4, шифрование AES-256-GCM, сжатие MSZ1 и контейнер MSP1, а затем восстанавливает разделённые компоненты DEX.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
