حدد الباحثون في Cyfirma حصان طروادة المصرفي BankBot-YNRK، الذي يستهدف الأجهزة التي تعمل بنظام Android 13 والإصدارات الأقدم. تستغل البرامج الضارة الثغرات الأمنية في خدمات إمكانية الوصول للحصول على أذونات مرتفعة دون موافقة صريحة من المستخدم. ويركز على سرقة بيانات الاعتماد المصرفية والوصول إلى محافظ العملات المشفرة.
يبدأ الكود الخبيث عمليات فحص بيئية بعد وقت قصير من التثبيت. يكتشف المحاكيات لتجنب تحليل وضع الحماية. ثم يقوم بتحديد النماذج من الشركات المصنعة مثل Samsung وOppo وGoogle. يسمح هذا التعديل بشن هجمات شخصية.
- التحقق من البيئة الحقيقية أو التي تمت محاكاتها.
- يحدد الشركة المصنعة والطراز المحدد.
- تخصيص التعليمات البرمجية لزيادة الفعالية.
آليات إخفاء الهوية للبرامج الضارة واستمراريتها
يعمل BankBot-YNRK على تعطيل الإشعارات من التطبيقات المثبتة. يقوم بكتم إعدادات الصوت ليعمل بدون تنبيهات.
يقوم حصان طروادة بتغيير برنامج JobScheduler لنظام Android. يضمن هذا التعديل التشغيل التلقائي للنظام. ويحافظ على اتصال مستمر مع خادم القيادة والتحكم.
يرسل المجرمون أوامر عن بعد عبر C2. إنها تحاكي نغمات الرنين وتقوم بتثبيت ملفات APK إضافية. تعمل البرامج الضارة على تسلل جهات الاتصال والرسائل النصية القصيرة وموقع الجهاز.
استكشاف إمكانية الوصول للامتيازات الإدارية
الأمر OPEN_ACCESSIBILITY reيوجه المستخدم إلى شاشة الإعدادات. تطلب البرامج الضارة تفعيل خدمات إمكانية الوصول.
مع الامتيازات التي تم الحصول عليها، يقوم بفتح التطبيقات المصرفية بشكل دوري. يلتقط الشاشات التي تحتوي على بيانات حساسة معروضة.
يحاول حصان طروادة الحصول على العبارات الأولية من محافظ العملات المشفرة. إنه يتجنب التفاعلات مع القياسات الحيوية لتقليل الاكتشاف. تحدث المعاملات غير المصرح بها إذا لم يتم تكوين القياسات الحيوية.
بدون القياسات الحيوية النشطة، يزداد خطر السرقة بشكل كبير. تنفذ البرامج الضارة عمليات النقل مباشرةً.
قدرات التحكم عن بعد الموسعة لـ BankBot-YNRK
تدير البرامج الضارة عمليات تثبيت APK وإلغاء تثبيته. يقوم بتحديث التطبيقات وفتحها عند الطلب.
تفاعل مع الواجهة من خلال محاكاة الإيماءات واللمسات. يفتح قفل الشاشة ويتنقل عبر قوائم النظام.
- إعادة توجيه المكالمات وإرسال الرسائل القصيرة.
- يلتقط الصور ويخفي النوافذ العائمة.
- أدخل نصًا في حقول النموذج.
- إدارة تنزيلات الملفات وتنفيذها.
يقدم BankBot-YNRK نفسه على أنه تطبيق حكومي هندي. يتجاوز هذا التكتيك عمليات التحقق الأولية من عمليات تثبيت APK.
ويظهر في حزم محددة مثل com.westpacb4a.payqingynrk1b4a. وتشمل الآخرين com.westpacf78.payqingynrk1f78.
إجراءات الوقاية ضد أحصنة طروادة المصرفية
قم بتثبيت التطبيقات من متجر Google Play فقط. تجنب المصادر غير المعروفة لتقليل التعرض لملفات APK الضارة.
تمكين التحقق بخطوتين على الحسابات المالية. قم بتكوين القياسات الحيوية في المحافظ الرقمية لمنع الوصول غير المصرح به.
حافظ على تحديث نظام Android لديك باستخدام تصحيحات الأمان. استخدم برامج مكافحة فيروسات موثوقة لإجراء فحص منتظم للجهاز.
