بدافزار Hirudo اپلیکیشن‌های بانکی اندروید را با نسخه‌های جاسوسی جایگزین می‌کند

شرکت امنیت موبایل ThreatFabric در ۱۴ اکتبر از خانواده جدیدی از بدافزارهای اندرویدی به نام Hirudo خبر داد که با حذف پنهانی اپلیکیشن بانکی واقعی قربانی و جایگزینی آن با نسخه‌ای دستکاری‌شده که بررسی‌های امنیتی‌اش غیرفعال شده، اطلاعات ورود بانکی را سرقت می‌کند. این شرکت نسخه‌های مخرب حداقل هفت اپلیکیشن بانکی اندونزیایی را شناسایی کرد، در کنار اپلیکیشن‌های دستکاری‌شده مرتبط با مؤسسات مالی در چین، هند، مکزیک، مراکش و تایلند.

تروجان‌های بانکی که صفحه ورود جعلی را روی اپلیکیشن واقعی قرار می‌دهند رایج هستند. Hirudo تهاجمی‌تر عمل می‌کند؛ به‌جای فریب قربانی برای وارد کردن اطلاعات در صفحه‌ای شبیه‌سازی‌شده، اپلیکیشن اصلی را کاملاً از گوشی حذف و نسخه دستکاری‌شده خودش را جایگزین می‌کند؛ بنابراین قربانی از همان لحظه اول با نرم‌افزاری در کنترل بدافزار تعامل دارد.

Hirudo از طریق اپلیکیشن‌های بی‌ربطی که خارج از Google Play توزیع می‌شوند منتشر می‌شود، از جمله اپلیکیشن خرید Shopora، اپلیکیشن محتوای بزرگسال 1V1 X و اپلیکیشن‌های درام کوتاه ZoyaTV و KoiShort. این اپلیکیشن‌ها همان‌طور که تبلیغ شده کار می‌کنند، سپس یک درخواست «به‌روزرسانی» جعلی نمایش می‌دهند که قربانی را به اعطای مجوز Accessibility هدایت می‌کند. با این دسترسی، Hirudo به‌طور پنهانی فرایند حذف نصب اپلیکیشن واقعی بانک هدف را فعال می‌کند، نسخه دستکاری‌شده را از زیرساخت مهاجم دانلود می‌کند و با همان مجوز Accessibility، بدون نیاز به تأیید بیشتر، نصب را کامل می‌کند.

اپلیکیشن‌های بانکی دستکاری‌شده از موتور hooking مبتنی بر چارچوب‌های متن‌باز YAHFA و Dobby استفاده می‌کنند تا هنگام بررسی سیستم‌عامل، گواهی امضای اصلی را جعل کنند، فعال بودن سرویس Accessibility را پنهان کنند، محافظت در برابر اسکرین‌شات را حذف کنند و داده‌های key-attestation را تغییر دهند تا درخواست‌های Play Integrity گوگل به‌طور پنهانی از طریق سروری تحت کنترل اپراتور مسیر‌دهی شود، نه این‌که صادقانه پاسخ داده شود. به گفته ThreatFabric، اپراتورها می‌توانند رمزهای عبور بانکی، پین‌های پرداخت، کدهای باز کردن قفل دستگاه و پیامک‌ها را جمع‌آوری کنند، صفحه گوشی را پخش زنده کنند، به هر دو دوربین دسترسی داشته باشند و اسکرین‌شات و صدا را استخراج کنند. صفحات پرداخت جعلی درون‌برنامه‌ای، پین پرداخت را ثبت می‌کنند و سپس پیام جعلی «پرداخت موفق» نمایش می‌دهند تا شکی ایجاد نشود.

ThreatFabric همچنین یک پنل بک‌اند ناامن متعلق به اپراتورهای Hirudo پیدا کرد که حاوی هزاران رکورد اطلاعات ورود سرقت‌شده همراه با داده‌های دستگاه، صفحه قفل و پروفایل مالی بود — هرچند این شرکت می‌گوید تعداد کل قربانیان هنوز نامشخص است. یک ضعف ذاتی در این کمپین وجود دارد: جعبه‌کلید attestation همراه بدافزار به‌صورت عمومی لو رفته و گوگل از قبل دو گواهی مورد استفاده آن را به‌عنوان مختل‌شده علامت‌گذاری کرده، که به بررسی‌های سمت سرور پیکربندی‌شده درست امکان می‌دهد attestationهای جعلی را شناسایی کنند.

ThreatFabric به بانک‌ها توصیه می‌کند که اعتبارسنجی امضا و یکپارچگی را به سمت سرور منتقل کنند و آن را به نشست‌های جداگانه متصل کنند، نه این‌که فقط به بررسی‌های روی دستگاه تکیه کنند، و به کاربران اندروید توصیه می‌کند از نصب APK خارج از فروشگاه‌های رسمی خودداری کنند و اسکن Play Protect را فعال نگه دارند. این پژوهش توسط ThreatFabric منتشر و توسط Bill Toulas برای BleepingComputer گزارش شده است.