Кампания под видом UniCredit распространяет банковский RAT Albiriox
В кампании, имитировавшей итальянский банковский бренд, мошенническое вознаграждение продвигали через недавно зарегистрированный домен unicredit-tme[.]shop и APK-файл вредоносного ПО для Android. Лендинг перенаправлял пользователей в бота Telegram t[.]me/UniCreditit_bot, который продолжал социальную инженерию и предлагал 100 долларов США за установку приложения и 50 долларов США за привлечение рефералов.
APK распространялся вне официальных магазинов приложений. Вероятно, для его установки пользователям требовалось разрешить установку из неизвестных источников. Исходный APK работал как автономный дроппер, а не как легитимное банковское приложение. Полезная нагрузка второго этапа находилась в нескольких ресурсах с вводящими в заблуждение расширениями и восстанавливалась на устройстве. Дроппер использовал зашитые в код данные для расшифрования, алгоритм AES/CBC/PKCS5Padding и сжатие GZIP, поэтому ему не требовалось загружать данные во время выполнения.
Полезную нагрузку второго этапа идентифицировали как кастомную обфусцированную сборку Android-банковского RAT Albiriox. Вредоносное ПО запрашивало или использовало службы доступности, наложения поверх экрана, доступ к уведомлениям, обработку SMS, закрепление при загрузке, фоновые службы, обход оптимизации батареи, обнаружение пакетов, WakeLock и функции, связанные с проецированием медиаданных.
Служба доступности обеспечивала сбор данных об элементах пользовательского интерфейса, захват экрана или пользовательского интерфейса в реальном времени, запуск приложений, показ пустого экрана, кражу учётных данных, обнаружение целевых приложений и удалённое взаимодействие с устройством. Вредоносное ПО также могло перехватывать и анализировать SMS, в том числе потенциальные одноразовые коды, и сопротивляться удалению.
Для связи с заданной в коде инфраструктурой 179[.]43[.]159[.]210:5555 использовался «сырой» TCP, а не HTTP. Вспомогательный TCP-канал работал на порту 5552. Сообщения в формате JSON передавались с четырёхбайтовым префиксом длины, указывающим порядок байтов от старшего к младшему.
Среди сходств с известными образцами Albiriox в отчёте перечислены протокол, удалённое управление через службу доступности, потоковая передача пользовательского интерфейса по аналогии с VNC, наложения, блокировка экрана, определение целевых приложений, перехват SMS и удалённое управление действиями «Назад», «Домой», «Недавние», «Питание» и регулировкой громкости. Эти возможности поддерживают мошеннические операции на устройстве, кражу учётных данных, манипуляции сессиями и перехват одноразовых паролей (OTP).
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
