'Godfather' adlı bir Android bankacılık kötü amaçlı yazılım, 16 ülkede kullanıcıları hedefliyor ve 400'den fazla çevrimiçi bankacılık sitesi ve kripto para birimi borsası için hesap kimlik bilgileri çalmaya çalışıyor.
Kötü amaçlı yazılım, kurbanlar sitede oturum açmaya çalıştığında, kullanıcıyı iyi hazırlanmış HTML kimlik avı sayfalarında kimlik bilgilerini girmeye kandırarak bankacılık ve kripto değişim uygulamalarının giriş formlarının üstüne yerleştirilmiş oturum açma ekranları oluşturur.
Vaftiz babası Trojan, daha yeni Android savunmalarını atlayamaması nedeniyle yavaş yavaş kullanımdan düşen bir zamanlar yaygın olarak kullanılan bir bankacılık Truva atı olan Anubis'in halefi olduğuna inanan grup-IB analistleri tarafından keşfedildi.
TehditFabric ilk olarak Mart 2021'de Godfather'ı keşfetti, ancak o zamandan beri büyük kod yükseltmeleri ve iyileştirmeler geçirdi.
Ayrıca, Cyble dün, godfather'ın etkinliğinde bir artışı vurgulayan ve Türkiye'de popüler bir müzik aracını taklit eden ve Google Play aracılığıyla 10 milyon kez indirilen bir uygulamayı zorlayan bir rapor yayınladı.
Grup-IB, Google Play Store'daki uygulamalarda kötü amaçlı yazılımların sınırlı bir şekilde dağıtılmasını bulmuştur; Bununla birlikte, ana dağılım kanalları keşfedilmemiştir, bu nedenle ilk enfeksiyon yöntemi büyük ölçüde bilinmemektedir.
Godfather, 215 tarafından hedeflenen tüm uygulamaların neredeyse yarısı bankacılık uygulamalarıdır ve bunların çoğu Amerika Birleşik Devletleri (49), Türkiye (31), İspanya (30), Kanada (22), Fransa (20), Almanya (Almanya ( 19) ve İngiltere (17).
Bankacılık uygulamalarının yanı sıra, Godfather 110 kripto para değişim platformu ve 94 kripto para cüzdan uygulamasını hedefler.
İlginç bir şekilde, Truva atı sistem dilini kontrol edecek şekilde yapılandırılmıştır ve eğer Rus, Azerbaycan, Ermeni, Belarus, Kazak, Kırgız, Moldovan, Özbek veya Tajik olarak ayarlanmışsa, operasyonunu durdurur.
Bu, vaftiz babasının yazarların Rusça konuştuklarının, muhtemelen BD (Bağımsız Devletler Topluluğu) bölgesinde ikamet ettiklerinin güçlü bir göstergesidir.
Cihaza yüklendikten sonra Godfather, tüm Android cihazlarda bulunan standart bir güvenlik aracı olan 'Google Protect'i taklit eder. Kötü amaçlı yazılım, cihazdaki bir tarama eylemini taklit etme derecesine kadar gider.
Bu taramanın amacı, erişilebilirlik hizmetine meşru bir araç gibi görünen erişim istemektir. Mağdur talebi onayladıktan sonra, kötü amaçlı yazılım kötü niyetli davranışlar gerçekleştirmesi için ihtiyaç duyduğu tüm izinleri verebilir.
Bu, SMS metinlerine ve bildirimlere erişim, ekran kaydı, kişiler, çağrı yapmak, harici depolamaya yazma ve cihaz durumunu okumayı içerir.
Ayrıca, erişilebilirlik hizmeti, kullanıcının Truva atını kaldırmasını önlemek, Google Authenticator OTP'leri (bir kerelik şifreler), komutları işleme ve PIN ve şifre alanlarının içeriğini çalmak için istismar edilir.
Godfather, C2 sunucusundan eşleşen enjeksiyonları (sahte HTML giriş formları) almak için yüklü uygulamaların bir listesini yayar.
Kötü amaçlı yazılım, kurbanı kimlik avı sayfasına götürmek için kurbanın cihazına yüklenen uygulamalardan sahte bildirimler oluşturabilir, bu nedenle hedef uygulamanın açılmasını beklemek zorunda değildir.
Listede olmayan uygulamalar için Godfather, kurbanın alanlara girdiği kimlik bilgilerini yakalamak için ekran kayıt özelliklerini kullanabilir.
Ayrıca, kötü amaçlı yazılım, cihazda yönetici ayrıcalıklarıyla yürüttüğü C2'den aşağıdaki komutları kabul eder:
Yukarıdakilerin yanı sıra, Keylogging, VNC sunucusu başlatma, ekranı kaydetmek, ekranı kilitleme, bildirimleri kilitleme, sessiz mod etkinleştirme, bir WebSocket bağlantısı oluşturma ve ekranı karartma gibi eylemleri gerçekleştirmesini sağlayan Truva atı özellik modülleri .
Anubis'in kaynak kodu 2019'da sızdırıldı, bu nedenle vaftiz babası ya aynı yazarlardan yeni bir proje veya yeni bir tehdit grubu tarafından oluşturulan yeni bir kötü amaçlı yazılım olabilir.
Benzerlikler, C2 adresini alma, C2 komutlarının işlenmesi ve uygulanması, Web sahte modülünün, proxy modülünün ve ekran yakalama modülünün uygulanması yöntemine uzanır.
Godfather, Anubis'in dosya şifrelemesi, ses kaydı ve GPS izleme modüllerinin dahil edilmesini atladı, ancak bir VNC modülü ekledi, yeni bir iletişim protokolü ve trafik şifreleme algoritması uyguladı ve Google kimlik doğrulayıcı kodlarını çalmak için bir sistem ekledi.
Genel olarak, vaftiz babası, Anubis kötü amaçlı yazılımından kanıtlanmış kod üzerine inşa edilmiş, dünyanın dört bir yanından geniş bir uygulama ve Android kullanıcıları listesini hedefleyen, zengin özellikli, tehlikeli bir Truva atıdır.
Kendinizi bu tehdide karşı korumak için, yalnızca Google Play'den uygulamaları indirin, cihazınızı güncel tutun, bir AV aracı kullanın, Play Protect'in etkin olduğundan emin olun ve yüklü uygulama sayısını mümkün olan minimum olarak tutun.
Android Dosya Yöneticisi Uygulamaları Binlerce'yi Sharkbot ile Enfekte
Google Play'de bulunan 130k yüklemeli Android kötü amaçlı yazılım damlaları
Drrinik Android kötü amaçlı yazılım artık 18 Hint bankasının kullanıcılarını hedefliyor
Yeni 'Zombinder' platformu, Android kötü amaçlı yazılımları meşru uygulamalarla bağlar
Google Play'de 2 milyon yüklemeli Android kötü amaçlı yazılım uygulamaları
Kaynak: Bleeping Computer