Специалисты «Лаборатории Касперского» рассказали о малвари Rotexy: помеси банкера и локера-вымогателя. В настоящее время Rotexy является одним из наиболее активных мобильных троянов: в период с августа по октябрь 2018 года он осуществил более 70 000 атак на пользователей, преимущественно в России.
Rotexy появился на свет благодаря эволюции SMS-шпиона, впервые замеченного в октябре 2014 года. Тогда он детектировался как Trojan-Spy.AndroidOS.SmsThief, но последующие вредоносы были выделены в отдельное семейство Trojan-Banker.AndroidOS.Rotexy.
Современная версия малвари совмещает в себе функции банковского троянца и вымогателя. Она распространяется под названием AvitoPay.apk (или похожим) и загружается с сайтов, имеющих имена вроде youla9d6h[.]tk, prodam8n9[.]tk, prodamfkz[.]ml, avitoe0ys[.]tk и так далее. Шаблон формирования имен понятен: отсылка к популярным сервисам бесплатных объявлений + случайный набор символов + двухбуквенный домен верхнего уровня.
Исследователи отмечают, что интересной особенностью этого семейства банкеров является использование сразу трех источников команд:
Хотя Rotexy существует давно, и детальную историю его развития можно найти в докладе специалистов. О новой версии эксперты пишут, что за все годы основные функции малвари и способ ее распространения не изменились: Rotexy распространяется с помощью ссылок в фишинговых SMS-сообщениях, предлагающих установить некое «полезное» приложение. При запуске троян запрашивает права администратора устройства, после чего начинает общение с управляющим сервером.
Если пользователь попался на удочку преступников и установил приложение, при первом запуске малварь проверяет, не запущена ли она на эмуляторе, а также смотрит, в какой стране происходит запуск. Если устройство находится не в России или представляет собой эмулятор, приложение показывает «заглушку».
Если же проверка прошла успешно, Rotexy регистрируется в GCM и запускает сервис SuperService, который отслеживает наличие у трояна прав администратора устройства и собственное состояние, перезапускаясь в случае отключения. Наличие прав проверяется раз в секунду, и если они отсутствуют, малварь начинает запрашивать их у пользователя в бесконечном цикле. В случае, если пользователь все же соглашается предоставить приложению желаемые права, на экране показывается еще одна «заглушка», и приложение скрывает свою иконку.
В случае обнаружения попыток отзыва администраторских прав Rotexy начинает циклично выключать экран телефона, мешая пользователю. Если же попытка удается, цикл запросов прав администратора запускается заново.
Если же по какой-либо причине SuperService не выключает экран при попытке отобрать у приложения права администратора устройства, троян попросту пытается запугать пользователя.
Rotexy перехватывает входящие SMS-сообщения и обрабатывает их согласно шаблонам, полученным от управляющего сервера. Также при получении SMS малварь переводит телефон в беззвучный режим и выключает экран, чтобы пользователь не заметил прихода нового сообщения. При необходимости троян также отправляет на заданный номер телефона SMS с информацией, полученной из перехваченного сообщения (необходимость отправки ответа, адрес для отправки ответа и текст ответа указаны в шаблоне перехвата). Если же приложение не получало указаний с правилами обработки входящих SMS, то оно просто сохраняет все SMS в локальную базу данных и отправляет их на сервер.
Помимо общей информации об устройстве отправляет на C&C-сервер список всех запущенных процессов и установленных приложений. Возможно, злоумышленники используют этот список для того, чтобы находить запущенные антивирусные или банковские приложения.
Дальнейшие действия Rotexy будет выполнять после получения соответствующих команд:
При помощи отображения различных HTML-страниц троян может использоваться как банкер или как вымогатель. К примеру, малварь способна показывать жертве поддельную HTML-страницу обновления (update.html), блокирующую экран устройства на длительное время. Или это может быть вымогательская страница (extortionist.html), блокирующая устройство и требующая «заплатить штраф» для разблокировки.
Кроме того, Rotexy может показывать фишинговую страницу для ввода данных банковской карты (bank.html). Такая страница маскируется под легитимную банковскую форму и блокирует экран устройства до ввода всей требуемой информации. Она даже имеет свою виртуальную клавиатуру, которая якобы защищает пользователя от кейлоггеров.
Далее происходит проверка введенных данных, а также последних четырех цифр карты на соответствие тем, что были получены в поступившей с сервера команде. Возможен следующий сценарий: Rotexy согласно шаблонам обработки входящих SMS перехватывает сообщение от банка, в котором содержатся последние четыре цифры номера привязанной к телефону карты. Эти цифры троян отправляет на C&C-сервер, а откуда затем приходит команда на показ поддельного окна ввода данных карты с проверкой этих цифр. Если пользователь вводит не свою данные своей банковской карты, он увидит такое окно:
Таким образом, приложение практически не оставляет жертве возможности ввести данные другой карты или случайные цифры, поскольку происходит проверка и корректности номера карты, и соответствия введенных данных той информации о карте, которая была ранее получена злоумышленниками.
В заключение отчета специалисты «Лаборатории Касперского» отмечают, что у них есть и хорошие новости. Оказалось, что у Rotexy не слишком хорошо продуман модуль обработки команд, полученных через SMS. Благодаря этому в некоторых случаях устройство, заблокированное одной из вышеописанных HTML-страниц, можно без труда разблокировать.
Для этого нужно отправить на номер заблокированного устройства SMS с текстом «3458» — это отключит права администратора устройства у трояна. Затем нужно отправить на этот же номер SMS с текстом «stop_blocker» — это отключит показ HTML-страниц, вымогающих деньги и блокирующих экран. После этого Rotexy может заново начать бесконечно запрашивать права администратора устройства — в этом случае нужно перезагрузить устройство в безопасном режиме и удалить малварь.
Впрочем, возможна ситуация, когда этот способ не поможет (если злоумышленники сумеют быстро отреагировать на попытку удаления приложения). В таком случае можно попробовать повторить все вышеописанные действия, предварительно отправив на номер зараженного устройства SMS с текстом «393838» — эта команда изменит адрес C&C-сервера на «://», и устройство больше не будет принимать команды с реального сервера злоумышленников.
Фото: «Лаборатория Касперского»
Читайте также
Последние новости
2009-2024 © Все права защищены.
This website - is fan-site, not an official Huawei website. The Huawei logo is a trademark of Huawei Technologies. Other trademarks are the property of their respective owners.
|