Trojan Android Bunglon Menawarkan Bypass Biometrik

Varian baru dari Android Trojan perbankan telah muncul yang bisa melewati keamanan biometrik untuk membobol perangkat, menunjukkan evolusi malware yang kini digunakan penyerang untuk menyerang lebih banyak korban.

Trojan perbankan Chameleon – dinamakan demikian karena kemampuannya beradaptasi dengan lingkungannya melalui berbagai perintah baru – pertama kali muncul dalam versi “sedang dalam proses” pada bulan Januari, khususnya untuk menargetkan pengguna di Australia dan Polandia. Menyebar melalui halaman phishing, perilaku malware ini kemudian ditandai dengan kemampuan untuk meniru aplikasi tepercaya, menyamar sebagai institusi seperti Australian Taxation Office (ATO) dan lembaga populer lainnya. aplikasi perbankan di Polandia untuk mencuri data dari perangkat pengguna.

Kini, para peneliti di Threat Fabric telah menemukan versi baru yang lebih canggih dari Chameleon yang juga menargetkan Pengguna Android di Inggris dan Italia, dan menyebar melalui Web Gelap Layanan berbagi aplikasi Zombinder menyamar sebagai aplikasi Google Chrome, mereka mengungkapkan dalam postingan blog yang diterbitkan 21 Desember.

Varian ini mencakup beberapa fitur baru yang menjadikannya lebih berbahaya bagi pengguna Android dibandingkan inkarnasi sebelumnya, termasuk kemampuan baru untuk mengganggu operasi biometrik perangkat yang ditargetkan, kata para peneliti.

Dengan membuka kunci akses biometrik (pengenalan wajah atau pemindaian sidik jari, misalnya), penyerang dapat mengakses PIN, kata sandi, atau kunci grafis melalui fungsi keylogging, serta membuka kunci perangkat menggunakan PIN atau kata sandi yang sebelumnya dicuri. “Fungsi yang secara efektif menerobos langkah-langkah keamanan biometrik ini merupakan perkembangan yang mengkhawatirkan dalam lanskap malware seluler,” menurut analisis Threat Fabric.

Varian ini juga memiliki fitur yang diperluas yang memanfaatkan layanan Aksesibilitas Android untuk serangan pengambilalihan perangkat, serta kemampuan yang ditemukan di banyak trojan lain untuk memungkinkan penjadwalan tugas menggunakan API AlarmManager, demikian temuan para peneliti.

“Peningkatan ini meningkatkan kecanggihan dan kemampuan adaptasi varian Chameleon baru, menjadikannya ancaman yang lebih kuat dalam lanskap trojan mobile banking yang terus berkembang,” tulis mereka.

Bunglon: Kemampuan Biometrik yang Berubah Bentuk

Secara keseluruhan, tiga fitur baru Chameleon menunjukkan bagaimana pelaku ancaman merespons dan terus berupaya untuk menerobos langkah-langkah keamanan terbaru yang dirancang untuk memerangi upaya mereka, menurut Threat Fabric.

Kemampuan utama baru malware ini untuk menonaktifkan keamanan biometrik pada perangkat diaktifkan dengan mengeluarkan perintah “interrupt_biometric,” yang mengeksekusi metode “InterruptBiometric”. Metode ini menggunakan API KeyguardManager dan AccessibilityEvent Android untuk menilai layar perangkat dan status pengaman tombol, serta mengevaluasi status pengaman kunci dalam kaitannya dengan berbagai mekanisme penguncian, seperti pola, PIN, atau sandi.

Setelah memenuhi kondisi yang ditentukan, malware menggunakan tindakan ini untuk melakukan transisi otentikasi biometrik untuk mengautentikasi PIN, melewati perintah biometrik dan membiarkan Trojan membuka kunci perangkat sesuka hati, demikian temuan para peneliti.

Hal ini, pada gilirannya, memberikan dua keuntungan bagi penyerang: mempermudah pencurian data pribadi seperti PIN, kata sandi, atau kunci grafis, dan memungkinkan mereka memasuki perangkat yang dilindungi secara biometrik menggunakan PIN atau kata sandi yang sebelumnya dicuri dengan memanfaatkan Aksesibilitas, menurut Threat Fabric .

“Jadi meskipun data biometrik korban tetap berada di luar jangkauan pelaku, mereka memaksa perangkat untuk kembali ke otentikasi PIN, sehingga mengabaikan perlindungan biometrik sepenuhnya,” menurut postingan tersebut.

Fitur penting baru lainnya adalah perintah HTML untuk mengaktifkan layanan Aksesibilitas, yang menjadi sandaran Chameleon untuk melancarkan serangan untuk mengambil alih perangkat. Fitur ini melibatkan pemeriksaan khusus perangkat yang diaktifkan setelah menerima perintah “android_13” dari server perintah-dan-kontrol (C2), menampilkan halaman HTML yang meminta pengguna untuk mengaktifkan layanan Aksesibilitas dan kemudian memandu mereka melalui langkah manual proses -demi langkah.

Fitur ketiga dalam varian baru ini memperkenalkan kemampuan yang juga ditemukan di banyak Trojan perbankan lainnya, namun hingga saat ini Chameleon belum memilikinya: penjadwalan tugas menggunakan API AlarmManager.

Namun, berbeda dengan manifestasi lain dari fitur ini pada Trojan perbankan, penerapan Chameleon menggunakan “pendekatan dinamis, menangani aksesibilitas dan peluncuran aktivitas secara efisien sejalan dengan perilaku trojan standar,” menurut Threat Fabric. Hal ini dilakukan dengan mendukung perintah baru yang dapat menentukan apakah aksesibilitas diaktifkan atau tidak, secara dinamis beralih di antara berbagai aktivitas jahat tergantung pada status fitur ini pada perangkat.

“Manipulasi pengaturan aksesibilitas dan peluncuran aktivitas dinamis semakin menggarisbawahi bahwa Chameleon baru adalah jenis malware Android yang canggih,” menurut Threat Fabric.

Perangkat Android Berisiko Dari Malware

Dengan serangan terhadap perangkat Android melonjak, kini semakin penting bagi pengguna seluler untuk melakukannya berhati-hatilah saat mengunduh aplikasi apa pun di perangkat mereka yang tampak mencurigakan atau tidak didistribusikan melalui toko aplikasi yang sah, saran pakar keamanan.

“Seiring dengan terus berkembangnya pelaku ancaman, pendekatan dinamis dan waspada ini terbukti penting dalam perjuangan melawan ancaman siber yang canggih,” tulis para peneliti.

Threat Fabric berhasil melacak dan menganalisis sampel Chameleon terkait dengan Zombinder yang diperbarui, yang menggunakan proses payload dua tahap yang canggih untuk menjatuhkan Trojan. “Mereka menggunakan SESSION_API melalui PackageInstaller, menyebarkan sampel Chameleon bersama dengan keluarga malware Hook,” menurut postingan tersebut.

Threat Fabric menerbitkan indikator kompromi (IoC) dalam analisisnya, dalam bentuk hash, nama aplikasi, dan nama paket yang terkait dengan Chameleon sehingga pengguna dan administrator dapat memantau potensi infeksi Trojan.

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• PlatoData.Jaringan Vertikal Generatif Ai. Berdayakan Diri Anda. Akses Di Sini.
• PlatoAiStream. Intelijen Web3. Pengetahuan Diperkuat. Akses Di Sini.
• PlatoESG. Karbon, teknologi bersih, energi, Lingkungan Hidup, Tenaga surya, Penanganan limbah. Akses Di Sini.
• PlatoHealth. Kecerdasan Uji Coba Biotek dan Klinis. Akses Di Sini.
• Sumber: https://www.darkreading.com/endpoint-security/chameleon-android-trojan-offers-biometric-bypass