Android için Pixpirate Bankacılık Trojan'ın en son sürümü, damlalık uygulaması kaldırılmış olsa bile, aktif kalırken telefonlarda gizlemek için yeni bir yöntem kullanıyor.
Pixpirate, geçen ay Latin Amerika bankalarını hedeflediğini gördüğü Cleafy TIR ekibi tarafından ilk kez belgelenen yeni bir Android kötü amaçlı yazılımdır.
Cleafy, ayrı bir indirici uygulamasının kötü amaçlı yazılımları başlattığını belirtmesine rağmen, rapor yenilikçi gizleme veya kalıcılık mekanizmalarına girmediler veya bunlar sadece son zamanlarda tanıtıldı.
IBM'in yeni bir raporu, 9'a kadar Android sürümlerinde mümkün olan simgesini gizlemeye çalışan kötü amaçlı yazılımların standart taktiğinin aksine, Pixpirate bir başlatıcı simgesi kullanmadığını açıklıyor. Bu, kötü amaçlı yazılımın sürüm 14'e kadar olan son Android sürümlerinde gizli kalmasını sağlar.
Bununla birlikte, bir simge kullanmamak, kurbana kötü amaçlı yazılımları başlatmanın bir yolunu vermemenin pratik problemini yaratır.
IBM Mütevelli araştırmacıları, yeni Pixpirate sürümlerinin cihazlardan bilgi çalmak için birlikte çalışan iki farklı uygulama kullandığını açıklıyor.
İlk uygulama 'indirici' olarak bilinir ve WhatsApp veya SMS'de gönderilen kimlik avı mesajları ile yayılan APK'lar (Android Paket Dosyaları) aracılığıyla dağıtılır.
Bu indirici uygulaması, erişilebilirlik hizmetleri de dahil olmak üzere kurulum sırasında riskli izinlere erişim ister ve daha sonra şifreli pixpirate bankacılık kötü amaçlı yazılım olan ikinci uygulamayı ('Droppee' olarak adlandırılır) indirip yüklemeye devam eder.
'Droppee' uygulaması, "Android.inttent.action.main" ve "Android.Intent.Category.Launcher" ile ana etkinlikte bir ana etkinlik beyan etmez, bu nedenle ana ekranda hiçbir simge görünmez ve tamamen görünmez hale getirmez.
Bunun yerine, Droppee uygulaması, diğer uygulamaların bağlanabileceği bir hizmeti dışa aktarır, indiricinin Pixpirate kötü amaçlı yazılımlarının lansmanını tetiklemek istediğinde birbirine bağlanır.
Kötü amaçlı yazılımları başlatabilen ve kontrol edebilen damlalık uygulamasının yanı sıra, bu tetikleyiciler cihaz önyükleme, bağlantı değişiklikleri veya Pixpirate'in dinlediği diğer sistem olayları olabilir ve arka planda yürütülmesine izin verir.
IBM'nin analistleri, "Droper'ın" com.companion.data.shepherd "adlı bir hizmeti var ve özel eylem 'com.ticket.stage.service.'
"Downloader damlalık çalıştırmak istediğinde, API" BindService "kullanarak Droppee hizmetini oluşturan ve çalıştıran" Bind_auto_create "bayrağı kullanarak bu damlalık hizmetine oluşturur ve bağlanır.
"Droppee hizmetinin oluşturulmasından ve bağlanmasından sonra, Droppee APK başlatıldı ve çalışmaya başlıyor."
Mağdur indirici uygulamasını cihazdan kaldırsa bile, Pixpirate farklı cihaz olaylarına göre piyasaya sürülmeye devam edebilir ve varlığını kullanıcıdan gizleyebilir.
Kötü amaçlı yazılım, Brezilya anında ödeme platformu PIX'i hedefler ve hileli işlemleri ele geçirerek veya başlatarak saldırganlara fon yönlendirmeye çalışır.
IBM, PIX'in Brezilya'da çok popüler olduğunu ve burada 140 milyondan fazla insanın Mart 2023 itibariyle 250 milyar doları aşan işlemler yapmak için kullandığını söyledi.
Pixpirate'in sıçan özellikleri, kullanıcı kimlik bilgilerini ve iki faktörlü kimlik doğrulama kodlarını yakalamaktan, kullanıcıların bilgisi olmadan arka planda yetkisiz PIX para transferlerini yürütmeye kadar tüm dolandırıcılık sürecini otomatikleştirmesine izin verir. Ancak, bunun için erişilebilirlik hizmeti izinleri gereklidir.
Ayrıca, otomatik yöntemlerin başarısız olduğu ve saldırganlara cihazda sahtekarlık gerçekleştirmeleri için başka bir kanal vermesi için bir yedek manuel kontrol mekanizması da var.
Cleafy'nin geçen ayki raporu, Push bildirim kötü niyetli kullanımının ve kötü amaçlı yazılımların Android'in temel güvenlik özelliklerinden biri olan Google Play Protect'i devre dışı bırakma yeteneğini de vurguladı.
Pixpirate'in enfeksiyon yöntemi yeni olmasa da ve APK indirmelerinden kaçınarak kolayca iyileştirilebilse de, bir simge kullanmamak ve sistem olaylarına bağlı hizmetleri kaydetmemek endişe verici yeni bir stratejidir.
BleepingComputer, bu taktiği engelleyen önlemleri tanıtmayı planlayıp planlamadığı hakkında bir yorum için Google ile iletişime geçti ve bir sözcü bize aşağıdaki ifadeyi gönderdi:
Mevcut tespitlerimize dayanarak, bu kötü amaçlı yazılımları içeren hiçbir uygulama Google Play'de bulunmamaktadır.
Android kullanıcıları, Google Play Services ile Android cihazlarda varsayılan olarak açık olan Google Play Protect tarafından bu kötü amaçlı yazılımların bilinen sürümlerine otomatik olarak korunur.
Google Play Protect, bu uygulamalar oyun dışındaki kaynaklardan gelse bile, kötü niyetli davranışlar sergilediği bilinen kullanıcıları veya blokları engelleyebilir. - Bir Google Sözcüsü
Güncelleme 3/14 - Google ifadesi eklendi
Anatsa Android kötü amaçlı yazılım Google Play aracılığıyla 150.000 kez indirildi
Yeni 'Gold Pickaxe' Android, iOS kötü amaçlı yazılım sahtekarlık için yüzünüzü çalıyor
Stopcrypt: En yaygın dağıtılmış fidye yazılımı artık tespitten kaçınıyor
Google geçen yıl 10 milyon dolar Bug Bounty Ödülleri ödedi
Microsoft, Windows 11 özelliğindeki Android uygulamalarını öldürüyor
Kaynak: Bleeping Computer