Android.BankBot.34.origin

Android.BankBot.34.origin — язык программирования неизвестен.

Android.BankBot.34.origin — Trojan.

Android.BankBot.34.origin - троянская программа, заражающая смартфоны и планшеты под управлением ОС Android с целью похищения персональной информации их владельцев, а также хищения денежных средств с банковских счетов и счетов мобильных телефонов своих жертв.

Устанавливается Android.BankBot.34.origin в систему непосредственно самим владельцем мобильного устройства. Для этих целей злоумышленники распространяют троянскую программу под видом системного обновления, а также снабжают ее ярлыком одной из популярных программ. Подобное действие со стороны киберпреступников повышает вероятность инсталляции Android.BankBot непосредственно владельцем устройства.

После установки троян размещает свой ярлык на главном экране. Примечательно, но если в системе уже установлена оригинальная программа, то ярлык вредоноса может появиться рядом с ярлыком оригинального приложения. Таким образом, неопытные или невнимательные пользователи могут спутать приложения и случайно запустить трояна вместо настоящего ПО. В случае, если владелец зараженного мобильного устройства не проведет активацию вредоносного приложения после его установки самостоятельно, то запуск трояна произойдет самостоятельно. Подобный функционал вшит в тело Android.BankBot.34.origin, он и запускает вредоноса автоматически при каждом включении операционной системы.

После своей инициализации Android.BankBot.34.origin запрашивает у жертвы доступ к функциям администратора мобильного устройства. Такие привилегии позволяют вредоносному приложению затруднить его деинсталляцию. Кроме того, троян удаляет созданный им ранее ярлык если владелец мобильного устройства все же запустит Android.BankBot.34.origin. После этого троян приступает непосредственно к вредоносной деятельности.

Фактически, Android.BankBot.34.origin способен реализовать на зараженном Android-устройстве два сценария атаки. Первый - напрямую зависит от поведения самого пользователя и задействуется лишь при запуске одного из интересующих злоумышленников приложений. Если владелец инфицированного трояном мобильного устройства запустит подобную программу, то Android.BankBot.34.origin отобразит поверх ее интерфейса фишинговое диалоговое окно с полями ввода - логина и пароля, номера телефона или сведений о кредитной карте. При этом для каждого из этих приложений троян достаточно правдоподобно имитирует соответствующую форму запроса. Данный факт говорит о желании вирусописателей вызвать как можно меньше подозрений у своих жертв. Подобным образом киберпреступники атакуют следующие мобильные приложения:

Google Play;

Google Play Music;

Gmail;

WhatsApp;

Viber;

Instagram;

Skype;

"ВКонтакте";

"Одноклассники";

Facebook;

Twitter.

Всю введенную жертвой информацию троян передает на управляющий сервер.


Второй сценарий атаки не зависит от действий пользователя, а происходит только по указаниям злоумышленников, поступающими от удаленного узла. Так, например, по команде с управляющего сервера Android.BankBot.34.origin способен:

начинать или останавливать перехват входящих и исходящих СМС;

выполнять USSD-запрос;

вносить в черный список определенный номер, сообщения с которого будут скрываться от пользователя (по умолчанию в списке содержатся сервисные номера ряда телефонных операторов, системы мобильного банкинга известного российского банка, а также популярной платежной платформы);

очищать список блокируемых номеров;

передавать на сервер информацию об установленных на устройстве приложениях;

выполнять отправку СМС-сообщения;

передавать на сервер идентификатор вредоносной программы;

отображать на экране диалоговое окно или сообщение в соответствии с полученными с управляющего сервера параметрами (например, в команде может задаваться текст, предназначенный для демонстрации на экране, количество полей для ввода данных и т. п.).

Установлено, что адрес основного управляющего сервера Android.BankBot.34.origin расположен в анонимной сети Tor. Соединение по соответствующему защищенному протоколу обеспечивается за счет использования в трояне кода официального клиента для подключения к сетевым ресурсам с псевдодоменом .onion. Подобный прием обеспечивает киберпреступникам высокую степень защищенности, благодаря чему он начинает все чаще использоваться при программировании Android-троянов.

Кроме того, из-за способности Android.BankBot.34.origin незаметно для владельца зараженного устройства отправлять и перехватывать СМС-сообщения, киберпреступники используют данного вредоноса в качестве банковского трояна, т.е. для похищения денежных средств со счетов своих жертв при помощи управляющих СМС-команд мобильного банкинга. Аналогичным образом злоумышленники могут похищать деньги с мобильного счета пользователей, воспользовавшись USSD-командами и переведя определенную сумму на свой телефонный номер. При этом список атакуемых мобильных операторов и кредитных организаций практически никак не ограничен и всецело зависит от текущих потребностей создателей вредоносной программы. Так, наибольшему риску подвержены клиенты банков и платежных систем, которые предлагают услугу управления счетом посредством СМС-сообщений, а также абоненты операторов мобильной связи, которые предоставляют функцию мобильного перевода со счетов телефонов.

Также для киберпреступников интересна способность трояна выводить на экран мобильного устройства любое сообщение или диалоговое окно произвольной формы и содержания. Это открывает перед злоумышленниками практически неограниченные возможности по совершению самых разнообразных атак. Например, после похищения у пользователя аутентификационных данных для доступа к учетной записи одной из социальных сетей, злоумышленники могут изменить пароль доступа к ней, а затем отдать вредоносной программе команду на демонстрацию сообщения вида:
[b]
"Ваша учетная запись заблокирована, для разблокировки выполните денежный перевод на номер 1234".

Еще создатели Android.BankBot.34.origin могут отдать команду трояну от имени банка на вывод на экран запроса ввода пароля для доступа к учетной записи онлайн-банкинга жертвы, а также получить контроль над всеми ее счетами. Таким образом, реализуемый этой вредоносной программой функционал представляет весьма серьезную опасность для владельцев мобильных Android-устройств.