Chameleon Android Trojan מציע מעקף ביומטרי

גרסה חדשה של אנדרואיד טרויאני בנקאות הופיע שיכול לעקוף אבטחה ביומטרית לפרוץ למכשירים, להדגים התפתחות בתוכנות הזדוניות שהתוקפים מפעילים כעת נגד מגוון רחב יותר של קורבנות.

הטרויאני הבנקאי של Chameleon – שנקרא כך בזכות יכולתו להסתגל לסביבתו באמצעות מספר פקודות חדשות – הופיע לראשונה בזירה בגרסת "עבודה בתהליך" בינואר, במיוחד כדי למקד למשתמשים באוסטרליה ופולין. התפשטה בדפי פישינג, התנהגותה של התוכנה הזדונית אז התאפיינה ביכולת להתחזות לאפליקציות מהימנות, תוך שהיא מתחזה למוסדות כמו משרד המס האוסטרלי (ATO) ופופולרי. אפליקציות בנקאיות בפולין כדי לגנוב נתונים ממכשירי משתמש.

כעת, חוקרים ב-Threat Fabric הבחינו בגרסה חדשה ומתוחכמת יותר של זיקית שמכוונת גם היא משתמשי אנדרואיד בבריטניה ובאיטליה, ומתפשט דרך רשת אפלה שירות שיתוף אפליקציות Zombinder מחופש לאפליקציית Google Chrome, הם חשפו בפוסט בבלוג שפורסם ב-21 בדצמבר.

הגרסה כוללת מספר תכונות חדשות שהופכות אותה למסוכנת עוד יותר למשתמשי אנדרואיד בהשוואה לגלגול הקודם שלה, כולל יכולת חדשה להפריע לפעולות הביומטריות של המכשיר הממוקד, אמרו החוקרים.

על ידי ביטול נעילה של גישה ביומטרית (זיהוי פנים או סריקות טביעות אצבע, למשל), תוקפים יכולים לגשת ל-PIN, סיסמאות או מפתחות גרפיים באמצעות פונקציונליות רישום מקשים, כמו גם לבטל נעילת מכשירים באמצעות מספרי PIN או סיסמאות שנגנבו בעבר. "הפונקציונליות הזו לעקוף ביעילות אמצעי אבטחה ביומטריים היא התפתחות מדאיגה בנוף של תוכנות זדוניות ניידות", על פי הניתוח של Threat Fabric.

לגרסה יש גם תכונה מורחבת הממנפת את שירות הנגישות של אנדרואיד להתקפות השתלטות על מכשירים, כמו גם יכולת שנמצאת בסוסים טרויאניים רבים אחרים כדי לאפשר תזמון משימות באמצעות ה-API של AlarmManager, מצאו החוקרים.

"השיפורים הללו מעלים את התחכום ואת יכולת ההסתגלות של גרסת הזיקית החדשה, מה שהופך אותו לאיום חזק יותר בנוף ההולך ומתפתח של סוסים טרויאניים בנקים ניידים", הם כתבו.

זיקית: יכולת ביומטרית לשינוי צורה

בסך הכל, שלושת המאפיינים החדשים המובהקים של Chameleon מדגימים כיצד מגיבים שחקני איומים ומבקשים לעקוף את אמצעי האבטחה העדכניים ביותר שנועדו להילחם במאמצים שלהם, לפי Threat Fabric.

היכולת החדשה והמפתח של התוכנה הזדונית להשבית אבטחה ביומטרית במכשיר מופעלת על ידי הנפקת הפקודה "interrupt_biometric", אשר מבצעת את שיטת "InterruptBiometric". השיטה משתמשת ב-KeyguardManager API ו- AccessibilityEvent של אנדרואיד כדי להעריך את מסך המכשיר ומצב מגן המקשים, תוך הערכת מצבו של האחרון במונחים של מנגנוני נעילה שונים, כגון דפוס, PIN או סיסמה.

לאחר עמידה בתנאים שצוינו, התוכנה הזדונית משתמשת בפעולה זו כדי לעבור ממנה אימות ביומטרי לאימות PIN, לעקוף את ההנחיה הביומטרית ולאפשר לסוס הטרויאני לפתוח את המכשיר כרצונו, מצאו החוקרים.

זה, בתורו, מספק לתוקפים שני יתרונות: הקלה על גניבת נתונים אישיים כגון PIN, סיסמאות או מפתחות גרפיים, ומאפשרת להם להיכנס למכשירים מוגנים ביומטרית באמצעות מספרי PIN או סיסמאות שנגנבו בעבר על ידי מינוף נגישות, על פי Threat Fabric .

"למרות שהנתונים הביומטריים של הקורבן אינם בהישג ידם של שחקנים, הם מאלצים את המכשיר לחזור לאימות PIN, ובכך עוקפים לחלוטין את ההגנה הביומטרית", לפי הפוסט.

תכונה חדשה מרכזית נוספת היא הנחית HTML להפעלת שירות הנגישות, שבו תלויה זיקית כדי לצאת להתקפה להשתלט על המכשיר. התכונה כוללת בדיקה ספציפית למכשיר המופעלת עם קבלת הפקודה "android_13" משרת הפקודה והשליטה (C2), מציגה דף HTML המנחה את המשתמשים להפעיל את שירות הנגישות ולאחר מכן מנחה אותם בשלב ידני. תהליך שלב אחר שלב.

תכונה שלישית בגרסה החדשה מציגה יכולת שנמצאת גם בסוסים טרויאניים בנקאיים רבים אחרים, אך שעד כה לא הייתה ל-Chameleon: תזמון משימות באמצעות ה-API של AlarmManager.

עם זאת, בניגוד לביטויים אחרים של תכונה זו בסוסים טרויאניים בנקאיים, היישום של Chameleon נוקט ב"גישה דינמית, מטפל ביעילות בנגישות והשקות פעילות בהתאם להתנהגות טרויאנית סטנדרטית", לפי Threat Fabric. זה עושה זאת על ידי תמיכה בפקודה חדשה שיכולה לקבוע אם הנגישות מופעלת או לא, מעבר דינמי בין פעילויות זדוניות שונות בהתאם למצב התכונה הזו במכשיר.

"המניפולציה של הגדרות הנגישות וההשקות של פעילות דינמית מדגישה עוד יותר שהזיקית החדשה היא זן תוכנות זדוניות מתוחכם של אנדרואיד", לפי Threat Fabric.

מכשירי אנדרואיד בסיכון מתוכנה זדונית

עם התקפות נגד מריאים של מכשירי אנדרואיד, זה חיוני יותר מאי פעם למשתמשים ניידים להיזהר מהורדה כל אפליקציות במכשיר שלהם שנראות חשודות או שאינן מופצות דרך חנויות אפליקציות לגיטימיות, מייעצים מומחי אבטחה.

"ככל ששחקני האיומים ממשיכים להתפתח, גישה דינמית וערנית זו מתגלה כחיונית במאבק המתמשך נגד איומי סייבר מתוחכמים", כתבו החוקרים.

Threat Fabric הצליח לעקוב ולנתח דוגמאות של זיקית הקשורות לזומבנדר המעודכן, המשתמש תהליך מטען דו-שלבי מתוחכם להורדת הטרויאני. "הם מעסיקים את SESSION_API דרך PackageInstaller, פורסים את דגימות הזיקית יחד עם משפחת התוכנות הזדוניות Hook", לפי הפוסט.

Threat Fabric פרסמה אינדיקטורים של פשרה (IoCs) בניתוח שלו, בצורה של hashes, שמות אפליקציות ושמות חבילות המשויכים ל-Chameleon כך שמשתמשים ומנהלי מערכת יכולים לעקוב אחר הדבקה פוטנציאלית על ידי הטרויאני.

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• PlatoHealth. מודיעין ביוטכנולוגיה וניסויים קליניים. גישה כאן.
• מקור: https://www.darkreading.com/endpoint-security/chameleon-android-trojan-offers-biometric-bypass