محققان Group-IB کشف کرده‌اند که تروجان بانکی اندروید Gigabud می‌تواند یک پروفایل کاری جداگانه روی گوشی آلوده ایجاد کند و یک اپلیکیشن بانکی شبیه‌سازی‌شده را در آن اجرا کند. سپس مهاجم می‌تواند تراکنش‌های جعلی را در این پروفایل جدید انجام دهد، که به طور بالقوه آن‌ها را از نشانه‌های بدافزار شناسایی شده در سایر نقاط دستگاه جدا می‌کند.

برای این کار، Gigabud، Vwork را نصب می‌کند؛ نسخه‌ای مخرب از ابزار قانونی و متن‌باز Shelter. Shelter معمولاً به کاربران اندروید اجازه می‌دهد تا اپلیکیشن‌ها را ایزوله کنند یا نسخه‌های دوم آن‌ها را در یک پروفایل کاری اجرا کنند. Vwork این قابلیت‌ها را تغییر می‌دهد تا Gigabud بتواند آن‌ها را از راه دور کنترل کند.

هدف این است که یک اپلیکیشن بانکی هدف را در پروفایل کاری جدید شبیه‌سازی کرده و سپس به مهاجم اجازه دهد تا در آنجا کلاهبرداری کند. Group-IB می‌گوید این کار می‌تواند ارتباط بین بدافزار شناسایی شده در پروفایل شخصی و یک تراکنش پرخطر که از پروفایل کاری سرچشمه می‌گیرد را قطع کند، که به طور بالقوه سیستم‌های ضد کلاهبرداری بانکی یا سیستم‌های تشخیص بدافزار درون‌برنامه‌ای را که فعالیت‌ها را در پروفایل‌های اندروید همبسته نمی‌کنند، تضعیف می‌کند.

پروفایل‌های کاری اندروید معمولاً برای جدا نگه داشتن اپلیکیشن‌ها و داده‌های کاری از اطلاعات شخصی استفاده می‌شوند. از آنجا که اپلیکیشن‌ها در پروفایل‌های مختلف از یکدیگر جدا هستند، یک اپلیکیشن بانکی یا ابزار امنیتی ممکن است بدافزار شناسایی شده در پروفایل شخصی را با چیزی که در یک اپلیکیشن شبیه‌سازی‌شده در پروفایل کاری اتفاق می‌افتد، مرتبط نکند.

نحوه عملکرد حمله

قربانیان از طریق سایت‌های فیشینگ، پیام‌ها یا شبکه‌های اجتماعی فریب می‌خورند تا یک اپلیکیشن جعلی خطوط هوایی، مالیاتی یا دولتی را به صورت جانبی (sideload) نصب کنند.

برای کنترل دستگاه، Gigabud درخواست دسترسی به قابلیت دسترسی (Accessibility)، مجوز نمایش روی سایر اپلیکیشن‌ها (overlay permission) و معافیت از بهینه‌سازی باتری را می‌کند. این مجوزها امکان تعامل از راه دور و تکنیک‌های سرقت اعتبار مانند پوشش‌ها (overlays) را فراهم می‌کنند.

اپلیکیشن نصب‌شده به صورت جانبی بررسی می‌کند که کدام اپلیکیشن‌های دیگر نصب شده‌اند و به مهاجم اطلاع می‌دهد که کدام اهداف بانکی مرتبط وجود دارند.

پوشش‌های جعلی ورود به بانک، هم اطلاعات بانکی و هم پین دستگاه را سرقت می‌کنند.

مهاجم Vwork را نصب می‌کند که یک پروفایل کاری جدید روی دستگاه ایجاد کرده متن رو و اپلیکیشن بانکی انتخاب شده را شبیه‌سازی می‌کند. Vwork با Shelter در روش‌هایی تفاوت دارد که آن را برای بدافزار مفید می‌سازد. این ابزار محافظت‌ها در تعاملات بین پروفایلی را حذف می‌کند، اجزایی را که می‌توانند برای راه‌اندازی یک پروفایل، شبیه‌سازی و لیست کردن اپلیکیشن‌ها و باز کردن اپلیکیشن‌ها استفاده شوند، افشا می‌کند و آیکون لانچر خود را پنهان می‌کند.

سپس مهاجم می‌تواند از راه دور تراکنش‌ها را از پروفایل تازه ایجاد شده انجام دهد، با این گزینه که فعالیت را پشت یک صفحه سیاه پنهان کند.

اینگونه Gigabud جداسازی پروفایل اندروید را به ابزاری برای کلاهبرداری تبدیل می‌کند: پس از به خطر انداختن یک گوشی، یک پروفایل دوم ایجاد می‌کند، یک اپلیکیشن بانکی شبیه‌سازی‌شده را در آن قرار می‌دهد و تراکنش را از آنجا انجام می‌دهد. نتیجه می‌تواند یک شکاف خطرناک بین هشدار بدافزار در یک پروفایل و یک جلسه بانکی جعلی در پروفایل دیگر باشد.

چگونه ایمن بمانیم

توصیه‌های فوری برای محافظت آشنا اما مهم هستند:

نصب جانبی (Sideloading). اپلیکیشن‌های بانکی و سایر اپلیکیشن‌ها را فقط از فروشگاه رسمی یا یک لینک مستقیم به وب‌سایت ناشر نصب کنید.

درخواست‌های نصب. درخواست‌های ناخواسته برای نصب یک فایل APK را به عنوان یک کلاهبرداری احتمالی در نظر بگیرید. اگر مطمئن نیستید که چیزی کلاهبرداری است، آن را از طریق Malwarebytes Scam Guard بررسی کنید.

مجوزها. برای یک اپلیکیشن به ظاهر خطوط هوایی، مالیاتی، تحویل یا دولتی، قابلیت دسترسی (Accessibility) یا «نمایش روی سایر اپلیکیشن‌ها» را فعال نکنید. پوشش‌ها (Overlays) در اندرویدهای مدرن نیاز به تأیید صریح کاربر دارند، بنابراین چنین درخواستی یک پرچم قرمز است.

محافظت. از یک راه‌حل ضد بدافزار به‌روز و بلادرنگ برای دستگاه‌های اندرویدی خود استفاده کنید. Malwarebytes اجزای Gigabud را به عنوان Android/Trojan.Banker.ACR577B2BA2H61، Android/Trojan.Banker.ACRF6CE8D30H46، Android/Trojan.Banker.ACR6C67829FH20، Android/Trojan.Banker.SIB02FFFFFF1112H106، Android/Trojan.Banker.SIB0181193e44H71، Android/Trojan.Banker.AUR2f2f4fb5C95 و Android/Trojan.Spy.Gigabud.xc شناسایی می‌کند.

هر کسی که یک APK مشکوک را نصب کرده و به آن دسترسی Accessibility داده است، باید از طریق یک کانال معتبر با بانک خود تماس بگیرد، مجوزهای ویژه اپلیکیشن را لغو کند، آن را حذف نصب کند و پس از حفظ فقط داده‌های سالم، بازنشانی کارخانه‌ای را در نظر بگیرد.

وجود یک نمونه دوم از یک اپلیکیشن بانکی نیاز به بررسی ویژه دارد. یک پروفایل کاری جداگانه به خودی خود اثباتی بر به خطر افتادن نیست، زیرا پروفایل‌های کاری کاربردهای قانونی نیز دارند. اما وجود یک اپلیکیشن بانکی شبیه‌سازی‌شده قطعاً مشکوک است.

کلاهبرداران بیشتر از آنچه فکر می‌کنید درباره شما می‌دانند.

Malwarebytes Mobile Security شما را در برابر فیشینگ، پیامک‌های کلاهبرداری، سایت‌های مخرب و موارد دیگر محافظت می‌کند. با قابلیت Scam Guard مبتنی بر هوش مصنوعی بلادرنگ که در آن تعبیه شده است.