Операция MR ROBOT распространяет Android-трояны в Индии
Операция MR ROBOT распространяет персонализированные трояны для Android по модели ВПО как услуга. Она нацелена на клиентов индийских банков, коммунальных служб, телекоммуникационных компаний и государственных сервисов. Главный оператор предоставляет аффилированным лицам доступ к сервису через бота в Telegram APK Shield и веб-панель управления.
Распространение и устройство трояна
Аффилированные лица выбирают целевое учреждение, название приложения и режим работы, затем получают сборки трояна для Android. Их распространяют через поддельные страницы в Play Store, ссылки в WhatsApp (мессенджер, принадлежит запрещённой в России и признанной экстремистской американской корпорации Meta) и Telegram, а также приманки, связанные с Aadhaar, KYC, оплатой счетов и штрафами за нарушения ПДД. Каталог включает около 36 приложений-приманок для государственных и частных банков, коммунальных служб, телекоммуникационных операторов и услуг RTO.
Вредоносное ПО использует многоэтапную архитектуру. Внешний пакет семейства com.apkshield.installer.* запрашивает разрешение на установку пакетов и содержит зашифрованный AES второй этап. Он проверяет, запущено ли приложение в эмуляторе, выполняет антианалитические проверки и откладывает выполнение до нескольких запусков и истечения как минимум 48 часов. Затем внешний пакет расшифровывает и устанавливает внутренний банковский троян под случайным именем пакета.
Сборки используют одноразовые сертификаты подписи, поддельные метаданные зашифрованных ZIP-архивов и рандомизированные идентификаторы. В них также отсутствует значок запуска, что затрудняет анализ и обнаружение.
Функции, инфраструктура и данные наблюдений
Внутренний троян запрашивает разрешения на отправку SMS, совершение звонков, доступ к состоянию телефона, закрепление при загрузке и связанные с ними действия. Он перехватывает входящие SMS и одноразовые пароли (OTP), а также может отправлять SMS-сообщения. Троян незаметно активирует безусловную переадресацию вызовов командой *21*<номер>#, перенаправляя звонки для подтверждения банковских операций на номера под контролем злоумышленников.
Оверлей-экраны собирают данные Aadhaar и PAN, сведения о банковских картах, коды CVV, ПИН-коды для банкоматов и UPI, а также учётные данные для интернет-банкинга. В некоторых случаях экран содержит этап оплаты комиссии за верификацию. Отдельные сборки также собирают изображения из галереи, сведения об установленных приложениях и статус устройства. Украденные данные отправляются в Firebase Realtime Database и Telegram.
В приманках для разных банков обнаружили идентичные побайтно конфигурации Firebase. По оценке исследователей, это указывает на использование единого проекта C2 во всём каталоге одного из аффилированных лиц. Инфраструктура включает Cloudflare Pages, Cloudflare Tunnel, Firebase и Telegram. Лицензии выдаются с использованием App ID аффилированных лиц, имеют ограниченный срок действия и учитывают иерархию реселлеров.
У одного из наблюдаемых арендаторов насчитывалось около 154 устройств и 3 270 перехваченных сообщений. У другого скомпрометированного арендатора было 153 устройства и 5 407 записей SMS; переадресация вызовов была активна у 58% жертв. Операция использует техники, общие с ранее выявленными семействами ВПО как услуга, нацеленными на Индию, включая FatBoyPanel и RedWing. К ним относятся сборщики для отдельных клиентов и скрытая переадресация вызовов.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
