มัลแวร์แบล็กเมล์ MoneyMonger ซ่อนตัวอยู่ในแอพมือถือ Flutter

พบแคมเปญมัลแวร์บน Android ที่ใช้ชื่อว่า MoneyMonger ซ่อนอยู่ในแอปให้ยืมเงินที่พัฒนาโดยใช้ Flutter มันเป็นสัญลักษณ์ของกระแสที่เพิ่มขึ้นของอาชญากรไซเบอร์ที่ขู่กรรโชกโดยพุ่งเป้าไปที่ผู้บริโภค และนายจ้างของพวกเขาก็รู้สึกถึงผลกระทบเช่นกัน

จากการวิจัยของทีม Zimperium zLabs มัลแวร์ใช้วิศวกรรมทางสังคมหลายชั้นเพื่อใช้ประโยชน์จากผู้ที่ตกเป็นเหยื่อและอนุญาตให้ผู้ประสงค์ร้ายขโมยข้อมูลส่วนตัวจากอุปกรณ์ส่วนตัว จากนั้นใช้ข้อมูลนั้นเพื่อแบล็กเมล์บุคคล

มัลแวร์ MoneyMonger เผยแพร่ผ่านร้านแอปของบุคคลที่สามและไซด์โหลดไปยังอุปกรณ์ Android ของเหยื่อ สร้างขึ้นใหม่ทั้งหมดเพื่อให้เป็นอันตราย โดยกำหนดเป้าหมายไปยังผู้ที่ต้องการเงินสดด่วน ตามรายงานของนักวิจัย Zimperium มันใช้วิศวกรรมทางสังคมหลายชั้นเพื่อใช้ประโยชน์จากผู้ที่ตกเป็นเหยื่อ โดยเริ่มจากโครงการเงินกู้นักล่าและสัญญาว่าจะให้เงินอย่างรวดเร็วแก่ผู้ที่ทำตามคำแนะนำง่ายๆ ไม่กี่ข้อ

ในขั้นตอนการตั้งค่าแอป เหยื่อจะได้รับการแจ้งว่าจำเป็นต้องได้รับการอนุญาตจากปลายทางมือถือเพื่อให้แน่ใจว่าพวกเขาอยู่ในสถานะที่ดีในการรับเงินกู้ จากนั้นสิทธิ์เหล่านี้จะถูกใช้เพื่อรวบรวมและกรองข้อมูล รวมถึงจากรายชื่อผู้ติดต่อ ข้อมูลตำแหน่ง GPS รายการแอปที่ติดตั้ง การบันทึกเสียง บันทึกการโทร รายการ SMS และรายการที่เก็บข้อมูลและไฟล์ นอกจากนี้ยังได้รับการเข้าถึงกล้อง

ข้อมูลที่ถูกขโมยนี้ใช้เพื่อแบล็กเมล์และขู่เหยื่อให้จ่ายดอกเบี้ยสูงเกินไป หากเหยื่อไม่สามารถชำระเงินได้ทันเวลา และในบางกรณีแม้หลังจากชำระคืนเงินกู้แล้ว ผู้ประสงค์ร้ายก็ขู่ว่าจะเปิดเผยข้อมูล โทรหาผู้คนจากรายชื่อผู้ติดต่อ หรือแม้กระทั่งส่งรูปภาพจากอุปกรณ์

หนึ่งในสิ่งใหม่และน่าสนใจเกี่ยวกับมัลแวร์นี้คือวิธีที่มันใช้ชุดพัฒนาซอฟต์แวร์ Flutter เพื่อซ่อนโค้ดที่เป็นอันตราย

ในขณะที่ชุดซอฟต์แวร์ส่วนต่อประสานผู้ใช้ (UI) แบบโอเพ่นซอร์ส Flutter เป็นตัวเปลี่ยนเกมสำหรับนักพัฒนาแอปพลิเคชัน แต่ผู้ประสงค์ร้ายยังใช้ประโยชน์จากความสามารถและกรอบการทำงาน โดยปรับใช้แอปด้วยความปลอดภัยที่สำคัญและความเสี่ยงด้านความเป็นส่วนตัวต่อผู้ที่ตกเป็นเหยื่อ

ในกรณีนี้ MoneyMonger ใช้ประโยชน์จากเฟรมเวิร์กของ Flutter เพื่อทำให้ฟีเจอร์ที่เป็นอันตรายสับสนและทำให้การตรวจจับกิจกรรมที่เป็นอันตรายซับซ้อนขึ้นด้วยการวิเคราะห์แบบคงที่ นักวิจัยของ Zimperium อธิบายไว้ใน โพสต์บล็อก 15 ธันวาคม.

ความเสี่ยงต่อองค์กรเกิดจากการรวบรวมข้อมูลที่หลากหลาย

Richard Melick ผู้อำนวยการหน่วยข่าวกรองภัยคุกคามบนมือถือที่ Zimperium กล่าวกับ Dark Reading ว่าผู้บริโภคที่ใช้แอพให้ยืมเงินมีความเสี่ยงมากที่สุด แต่โดยธรรมชาติของภัยคุกคามนี้และวิธีที่ผู้โจมตีขโมยข้อมูลที่ละเอียดอ่อนเพื่อแบล็กเมล์ พวกเขายังทำให้นายจ้างหรือองค์กรใดๆ ก็ตาม พวกเขาทำงานด้วยความเสี่ยงเช่นกัน

“เป็นเรื่องง่ายมากสำหรับผู้โจมตีที่อยู่เบื้องหลัง MoneyMonger ในการขโมยข้อมูลจากอีเมลของบริษัท ไฟล์ที่ดาวน์โหลด อีเมลส่วนตัว หมายเลขโทรศัพท์ หรือแอปขององค์กรอื่นๆ บนโทรศัพท์ โดยใช้ข้อมูลดังกล่าวเพื่อขู่กรรโชกเหยื่อ” เขากล่าว

Melick กล่าวว่า MoneyMonger มีความเสี่ยงต่อปัจเจกชนและองค์กร เนื่องจากมันรวบรวมข้อมูลที่หลากหลายจากอุปกรณ์ของเหยื่อ รวมถึงเนื้อหาที่เกี่ยวข้องกับองค์กรและข้อมูลที่เป็นกรรมสิทธิ์ที่อาจมีความละเอียดอ่อน

“อุปกรณ์ใดๆ ที่เชื่อมต่อกับข้อมูลขององค์กรก่อให้เกิดความเสี่ยงต่อองค์กร หากพนักงานตกเป็นเหยื่อของการหลอกลวงให้ยืมเงิน MoneyMonger บนอุปกรณ์นั้น” เขากล่าว “ผู้ที่ตกเป็นเหยื่อของเงินกู้ที่กินสัตว์อื่นนี้อาจถูกบังคับให้ขโมยเพื่อจ่ายแบล็กเมล์หรือไม่รายงานการขโมยข้อมูลสำคัญขององค์กรโดยผู้ประสงค์ร้ายที่อยู่เบื้องหลังแคมเปญ”

Melick กล่าวว่าอุปกรณ์พกพาส่วนบุคคลเป็นพื้นผิวการโจมตีที่สำคัญและไม่ได้ระบุที่อยู่สำหรับองค์กร เขาชี้ให้เห็นว่ามัลแวร์กับอุปกรณ์พกพานั้นมีแต่จะก้าวหน้ามากขึ้นเท่านั้น และหากไม่มีการวัดและส่งข้อมูลทางไกลของภัยคุกคามและการป้องกันที่สำคัญเพื่อต่อต้านกลุ่มย่อยของกิจกรรมที่เป็นอันตรายที่เพิ่มขึ้นนี้ องค์กรและพนักงานของพวกเขาก็ตกอยู่ในความเสี่ยง

“ไม่ว่าพวกเขาจะเป็นเจ้าของบริษัทหรือเป็นส่วนหนึ่งของกลยุทธ์ BYOD ก็ตาม ความต้องการความปลอดภัยเป็นสิ่งสำคัญในการนำหน้า MoneyMonger และภัยคุกคามขั้นสูงอื่นๆ” เขากล่าว “การศึกษาเป็นเพียงส่วนหนึ่งของกุญแจสำคัญที่นี่ และเทคโนโลยีสามารถเติมเต็มช่องว่าง ลดความเสี่ยงและพื้นผิวการโจมตีที่นำเสนอโดย MoneyMonger และภัยคุกคามอื่นๆ”

สิ่งสำคัญที่ต้องจำไว้คือหลีกเลี่ยงการดาวน์โหลดแอปจาก App Store ที่ไม่เป็นทางการ ร้านค้าอย่างเป็นทางการ เช่น Google Play มีการคุ้มครองผู้ใช้ โฆษกของ Google ที่เน้นเรื่อง Dark Reading

“ไม่มีแอปที่เป็นอันตรายที่ระบุในรายงานนั้นอยู่บน Google Play” เขากล่าว “Google Play Protect ตรวจสอบอุปกรณ์ Android ด้วยบริการ Google Play เพื่อหาแอปที่อาจเป็นอันตรายจากแหล่งอื่น Google Play Protect จะเตือนผู้ใช้ที่พยายามติดตั้งหรือเปิดแอปที่ได้รับการระบุว่าเป็นอันตราย”

การฟื้นตัวของโทรจันธนาคาร

มัลแวร์ MoneyMonger ติดตามการฟื้นคืนชีพของ โทรจันธนาคาร Android SOVAซึ่งขณะนี้มีการอัปเดตความสามารถและเวอร์ชันเพิ่มเติมที่กำลังพัฒนาซึ่งมีโมดูลแรนซัมแวร์

โทรจันธนาคารอื่น ๆ ได้ปรากฏตัวอีกครั้งพร้อมคุณสมบัติที่อัปเดตเพื่อช่วยในการรักษาความปลอดภัยในอดีต รวมถึง Emotet ซึ่งปรากฏขึ้นอีกครั้ง ช่วงต้นฤดูร้อนนี้ ในรูปแบบขั้นสูงขึ้นหลังจากถูกกองกำลังเฉพาะกิจร่วมนานาชาติกำจัดในเดือนมกราคม 2021

โนเกียปี 2021 “รายงานข่าวกรองภัยคุกคาม” เตือนว่าภัยคุกคามจากมัลแวร์ธนาคารกำลังเพิ่มขึ้นอย่างรวดเร็ว เนื่องจากอาชญากรไซเบอร์พุ่งเป้าไปที่ความนิยมที่เพิ่มขึ้นของธนาคารบนมือถือบนสมาร์ทโฟน โดยมีแผนการที่มุ่งขโมยข้อมูลส่วนตัวของธนาคารและข้อมูลบัตรเครดิต

ภัยคุกคามจากการแบล็กเมล์คาดว่าจะดำเนินต่อไปในปี 2023

Melick ชี้ให้เห็นว่าการขู่กรรโชกไม่ใช่เรื่องใหม่สำหรับผู้ประสงค์ร้าย ดังที่เห็นได้จากการโจมตีด้วยแรนซัมแวร์และการละเมิดข้อมูลในระดับโลก

“การใช้แบล็กเมล์ในระดับบุคคลเช่นนี้ โดยมุ่งเป้าไปที่เหยื่อรายบุคคลนั้น เป็นวิธีการใหม่ที่ต้องใช้บุคลากรและเวลา” เขากล่าว “แต่มันก็คุ้มค่าและขึ้นอยู่กับจำนวนบทวิจารณ์และการร้องเรียนเกี่ยวกับ MoneyMonger และการหลอกลวงเงินกู้อื่น ๆ ที่คล้ายกันนี้ มันจะดำเนินต่อไปเท่านั้น”

เขาคาดการณ์ว่าภาวะตลาดและการเงินจะทำให้บางคนหมดหวังที่จะจ่ายบิลหรือรับเงินสดเพิ่ม

“เช่นเดียวกับที่เราเห็นการหลอกลวงเงินกู้ที่กินสัตว์อื่นเพิ่มขึ้นในช่วงเศรษฐกิจถดถอยครั้งล่าสุด” เขากล่าว “เกือบจะรับประกันได้ว่าเราจะเห็นรูปแบบการขโมยและการแบล็กเมล์แบบนี้ดำเนินต่อไปในปี 2023”