Блокировка + Вирус

Специалисты компании Symantec предупредили, что еще в марте 2016 года им удалось обнаружить новую версию трояна Android.Fakebank.B. Эту малварь саму по себе никак нельзя назвать новой, но эксперты заметили, что вредонос обзавелся новыми функциями. В частности, Fakebank не дает своим жертвам связаться со службой поддержки некоторых российских и южнокорейских банков, тем самым мешая пострадавшему заблокировать скомпрометированную карту.

Впервые Android.Fakebank.B был обнаружен еще в 2013 году. Исследователи писали, что малварь маскируется под легитимное приложение Android, тогда как на самом деле, регистрирует себя как системный сервис, запрашивает с сервера злоумышленников файл конфигурации и устанавливает на устройство вредоносное APK.

Основная цель Fakebank — хищение денежных средств жертвы. Для этого малварь сначала похищает учетные данные от любых банковских приложений, установленных на зараженном устройстве, и отправляет их на управляющий сервер. Затем Fakebank инициирует ряд незаконных транзакций.

Если жертва замечает что-то подозрительное и видит, что средства с банковского счета куда-то утекают, в дело вступает компонент BroadcastReceiver, который отслеживает все исходящие звонки на зараженном девайсе. Если набранный пользователем номер принадлежит службе поддержки банка, малварь автоматически заблокирует такой звонок. Эксперты Symantec пишут, что в «черных списках» Fakebank значатся номера следующих банков:

-KB Bank: 15999999

-KEB Hana Bank: 15991111

-NH Bank: 15442100 and 15882100

-Sberbank: 80055550

-SC Bank: 15881599 и 15889999

-Shinhan Bank: 15448000, 15778000 и 15998000

Малварь блокирует звонок в корейский банк:

Жертве придется потратить дополнительное время: придется связываться с банком по email или звонить с другого номера. Так как многие банки допускают привязку конкретного номера телефона абонента к счету, все это создаст дополнительные проблемы пользователю. В итоге жертва будет вынуждена пройти более длительную процедуру аутентификации, что даст злоумышленникам дополнительное время для хищения средств.

Стоит отметить, что это не первый случай, когда банковские трояны проявляют изрядное коварство. К примеру, обнаруженный специалистами все той же компании Symantec вредонос Android.Bankosy способен обходить двухфакторную аутентификацию банков, в том числе и такие системы, которые сообщают одноразовые коды голосом.

https://xakep.ru/2016/07/16/fakebank-blocks-phonecalls/

Так называемая тактика «scareware» используется мошенниками очень давно. Жертве демонстрируют пугающие сообщения о том, что на устройство проник вирус, или уверяют, что возникла проблема с аппаратной частью (аккумулятором, жестким диском и так далее). Пользователя вынуждают связаться с фальшивым экспертом из не менее фальшивой технической поддержки, чтобы «решить проблему». Но теперь злоумышленники перешли от запугивания к действию и подкрепляют свои угрозы делом, переняв тактику у вымогательского ПО.

Исследователи компании Malwarebytes рассказали об очередном витке эволюции малвари. Если раньше скамеры из фейковой технической поддержки уже применяли JavaScript-трюки, чтобы заблокировать пользователя на определенном сайте, в конкретной вкладке браузера, или даже показывали пользователям фальшивый BSOD, теперь они пошли еще дальше.

Раньше, до появления шифровальщиков, большой популярностью в криминальной середе пользовались блокировщики. Такая малварь не зашифровывала файлы жертвы, но блокировала компьютер, отключала клавиатуру и мышь и не давала использовать устройство, пока пользователь не заплатит выкуп. Теперь эту тактику переняли фальшивые операторы технической поддержки.

Malwarebytes сообщает, что в комплекте с неназванным легитимным ПО, под видом рекламных приложений, распространяются интересные трояны. Как только пользователь установил нужную ему программу, в нагрузку устанавливаются и рекламные приложения, которые на самом деле, являются вредоносами. Такой троянец срабатывает не сразу, он активируется только после перезагрузки компьютера. При следующем включении ПК, жертва увидит фальшивый экран обновления Windows. Когда «процедура обновления» подойдет к концу, на экране появится сообщение, гласящее, что срок действия данного ключа продукта (Windows) истек, и теперь пользователю нужно связаться с сотрудниками поддержки Microsoft по указанному телефону.

Исследователи Malwarebytes позвонили по указанному в сообщении номеру и пообщались с оператором. Тот проинструктировал их, что нужно нажать CTRL+SHIFT+T. Это сочетание клавиш запускает TeamViewer, через который оператор фальшивого колл-центра сможет войти в систему жертвы и, предположительно, удалит троян. Довести эксперимент до конца исследователям не удалось, так как оператор отказался продолжать разговор, пока жертва не заплатит $250.

Независимый исследователь slipstream/RoL тоже наткнулся на новую малварь и провел свой эксперимент. Он утверждает, что колл-центр мошенников располагается где-то в Индии, а нажатие CTRL+SHIFT+S позволит жертве отключить блокировку экрана, но не всю блокировку системы.

Также исследователь покопался в коде вредоноса и нашел жестко закодированные «серийные номера». По данным slipstream/RoL, с их помощью можно запустить окно Windows Explorer, а затем удалить троян с устройства: «h7c9-7c67-jb», «g6r-qrp6-h2» и «yt-mq-6w». Аналитики Malwarebytes с сожалением отмечают, что эти коды срабатывают далеко не для всех версий локеров.

Исследователь компании Blue Coat Labs Эндрю Брандт (Andrew Brandt) обнаружил новую угрозу для устройств, работающих под управлением старых версий Android. Для заражения гаджетов применяется эксплоит Towelroot, который построен на базе разработок компании Hacking Team. С помощью эксплоита на устройства доставляют вымогателя Cyber.Police, который вынуждает жертв покупать подарочные карты магазина iTunes.

Эндрю Брандт рассказал в официальном блоге Blue Coat Labs, что ему впервые довелось увидеть, как малварь устанавливает на мобильное устройство вредоносное приложение, никак не взаимодействуя с пользователем. В процессе внедрения вредоснос даже не отображает стандартное диалоговое окно с правами доступа для приложения.

Трюк заключается в использовании наработок Hacking Team, которые стали достоянием общественности после прошлогоднего взлома компании. Джошуа Дрейк (Joshua Drake) из компании Zimperium уже подтвердил, что эксплоит Towelroot использует исходные коды, украденные у Hacking Team. Также вредонос содержит исходники малвари Futex (она же Towelroot), что и дало новой угрозе имя.

Заражение происходит посредством вредоносного Javascript, внедренного в рекламу на странице. Позаимствованный у Hacking Team эксплоит атакует уязвимость в библиотеке libxslt, что позволяет злоумышленникам загрузить на устройство жертвы Linux ELF бинарник module.so. Данный ELF-пейлоад пока распознается антивирусными решениями лишь двух производителей. Он помогает хакерам получить root-привилегии, а затем загружает и устанавливает на устройство жертвы вредоносное приложение, содержащее вымогательский троян Cyber.Police.

Cyber.Police, в свою очередь, известен исследователям с 2014 года. В отличие от современных шифровальщиков, этот вымогатель просто блокирует экран устройства. Прикидываясь официальным сообщением от правоохранительных органов, малварь требует, чтобы жертва приобрела две подарочные карты Apple iTunes, по цене $100 каждая. Хотя в теории специалисты Apple могут отследить подарочные карты, они на протяжении многих лет используются хакерским андеграундом в качестве своеобразной валюты.

Эндрю Брандт сообщает, что специалисты Blue Coat Labs отследили коммуникации вредоноса. Начиная с февраля 2016 года, малварь общается с управляющими серверами посредством HTTP. Эксперты смогли определить, что трафик исходит с 224 Android-устройств различных моделей (смартфонов и планшетов). Все они работают под управлением устаревших версий операционной системы: от 4.0.3 до 4.4.4. Также в ходе лабораторного теста исследователи успешно провели через все стадии заражения планшет Samsung, работающий на базе Cyanogenmod (Android 4.2.2).

Эксперты отмечают, что избавиться от Cyber.Police несложно – достаточно произвести полный сброс устройства к заводским настройкам. При этом предварительно можно подключить пострадавший девайс к компьютеру и скопировать с него все необходимые данные.

Материалы:

Эндрю Брандт https://www.bluecoat.com/security-blog/2016-04-25/android-ex...

Futex (она же Towelroot) http://blog.nativeflow.com/the-futex-vulnerability

Hacking Team http://pikabu.ru/story/khaker_v_podrobnostyakh_rasskazal_kak... и http://pikabu.ru/story/glava_hacking_team_obvinil_smi_vo_lzh...

Пост https://xakep.ru/2016/04/26/towelroot-hacking-team/