Исследователи ThreatFabric обнаружили новую вредоносную программу для Android под названием Hirudo, сочетающую функции традиционного банковского трояна и полноценного инструмента удалённого управления. В настоящее время программа нацелена на восемь индонезийских банковских приложений; при этом имеются внутренние признаки того, что её можно адаптировать для атак на банки в Китае, Индии, Мексике, Марокко и Таиланде.
Hirudo не ограничивается кражей данных для входа с устройства: она позволяет злоумышленнику просматривать экран в режиме реального времени через WebRTC, управлять телефоном с помощью сервисов специальных возможностей, а также получать доступ к передней и задней камерам. Кроме того, программа собирает текстовые сообщения, включая первоначальное сканирование за период до 90 дней и поиск сообщений от определённого списка отправителей — банков и электронных кошельков.
Как вредоносная программа попадает на телефон?
Hirudo распространяется через загрузчик, встроенный в приложения, которые выглядят подлинными, например в приложение для покупок, просмотра видео для взрослых или коротких драматических роликов; продвижение осуществляется через социальные сети. После установки приложения загрузчик проверяет наличие Hirudo на устройстве, а затем устанавливает вредоносную полезную нагрузку, если она отсутствует.
При обнаружении определённого индонезийского банковского приложения вредоносная программа показывает поддельное уведомление об обновлении, после чего удаляет настоящее приложение и загружает его модифицированную версию, связанную с целевым банком. В результате пользователю кажется, что он взаимодействует с обычным банковским приложением, тогда как поддельная версия служит интерфейсом для кражи данных и управления устройством.
Обход встроенных в приложение проверок безопасности
Модифицированная версия содержит механизм перехвата вызовов приложения, предназначенный для отключения проверок цифровой подписи, сервисов специальных возможностей, захвата экрана и Play Integrity непосредственно внутри самого приложения. По словам исследователей, механизм может подменять запрашиваемый Android сертификат подписи исходным сертификатом и скрывать тестовую подпись. Кроме того, при запросе списка сервисов специальных возможностей он возвращает пустой список, из-за чего сервис злоумышленника становится невидимым для проверки.
Важность этого метода заключается в переносе противостояния с проверок устройства на механизмы контроля целостности внутри самого подменённого приложения. Поэтому сигналы, которые выдаёт заменённое приложение, нельзя считать надёжными сами по себе. Кроме того, возможность повторного использования механизма может облегчить перенаправление атаки на другие приложения и регионы.
Что следует проверить финансовым организациям?
- Проверять Play Integrity и обеспечивать применение его результатов на сервере, не считая одного лишь корректного результата достаточным доказательством, поскольку Hirudo может передавать запросы на проверку через свой сервер.
- Использовать многоуровневую поведенческую аналитику для выявления мошеннических моделей, рассматривая отсутствие поведенческих данных как сигнал, требующий проверки.
- Считать сигналы сервисов специальных возможностей и захвата экрана вспомогательными доказательствами, а не единственными условиями блокировки, и включать их в оценку риска.
- Сохранять средства контроля рисков транзакций при входе в систему, восстановлении учётных данных, создании получателя и подтверждении платежа, поскольку поддельный локальный результат не может заменить серверное решение.
Практическое предупреждение для организаций заключается в том, что одной проверки внутри приложения уже недостаточно, если вредоносная программа способна заменить само приложение и скрыть компоненты управления. Подробности об операторах Hirudo и масштабе заражений в исходном материале не приводятся, что ограничивает возможность оценить фактический охват кампании.