Злоумышленники атакуют клиентов N26 в Италии с помощью Copybara
Активная схема, нацеленная на пользователей N26 в Италии, сочетает голосовой фишинг, фишинг в реальном времени и вредоносное ПО для Android. Операторы выдают себя за службу поддержки банка и используют легитимные сообщения, отображаемые в банковском приложении жертвы. Затем жертв направляют на контролируемый злоумышленниками адрес поддержки, а оттуда на фишинговый сайт в стиле N26, который собирает учётные данные и данные аутентификации. После этого сайт распространяет приложение для Android, замаскированное под компонент сертификации устройства.
Фишинговая инфраструктура и доставка приложения
Инфраструктуру фишинга идентифицировали как Fake Control 1.0, систему управления на базе PHP, SQLite, JavaScript и AdminLTE. Она отслеживает сессии жертв, позволяет операторам менять состояние страниц, собирает отправленные данные и служит каналом доставки вредоносного ПО. Идентификацию подтверждают обнаруженные основные и резервные базы данных SQLite, серверные шаблоны, структура URL и отдельная функция доставки.
Дроппер для Android содержит встроенный второй APK. Он показывает его название и значок, запрашивает разрешение на установку приложений из неизвестных источников и вызывает стандартный PackageInstaller Android. Дроппер проверяет статус разрешения примерно каждые 800 миллисекунд и продолжает работу после его предоставления. Кроме того, он создаёт локальную VPN для пакета Google Play Store и в течение 240 секунд отбрасывает маршрутизируемый трафик IPv4 и IPv6. Несогласованные метаданные ZIP-сжатия в дроппере и полезной нагрузке указывают на меры противодействия статическому анализу.
Возможности Copybara и каналы управления
Встроенную полезную нагрузку атрибутируют трояну удалённого доступа для Android Copybara. Основания для атрибуции включают реализацию на B4A/B4X, каналы команд на базе MQTT, словарь команд и структуры команд, сериализованные в формате B4X. Copybara использует службы специальных возможностей Android (Accessibility Services), чтобы анализировать содержимое интерфейса и выполнять клики, свайпы, глобальные действия и ввод текста.
Возможности вредоносного ПО также включают регистрацию нажатий клавиш, захват пользовательского интерфейса и экрана, использование MediaProjection, доступ к камере и микрофону, открытие URL, произвольное скачивание файлов, установку APK, запуск и удаление приложений, скрытие значков, подавление уведомлений и вмешательство в процесс удаления.
Copybara подключается к зашитому в код IP-адресу 37.148.161.44. Основной канал MQTT работает через TCP-порт 52997, а функции камеры и MediaProjection используют порт 52998. Вредоносное ПО подписывается на commands_FromPC с уровнем QoS 1 и регистрирует устройства через RegisterMyDevice, используя Android ID в качестве идентификатора. Предоставляемые сервером оверлеи могут быть нацелены на заданные пакеты приложений и шаблоны. Полезная нагрузка показывает интерфейс Battery Cleaner Pro, скрывая вредоносную активность и позволяя злоумышленникам управлять банковскими приложениями в фоновом режиме.
Отчет получен из сервиса CTT Report Hub. Права на отчет принадлежат его владельцу.
Ознакомиться подробнее с отчетом можно по ссылке.
