Сотни банков и криптобирж стали мишенью вредоносного ПО для Android Godfather
22 декабря 2022 г.Несколько фирм, занимающихся кибербезопасностью, подтвердили существование Godfather, вредоносного ПО для Android-банкинга, нацеленного на банковские и криптовалютные счета жертвы.
Эксперты из Group-IB, ThreatFabric и Cyble недавно сообщили о Godfather, его целях и методологиях, согласно которым вредоносное ПО пытается украсть данные для входа, накладывая на них легитимные банковские и криптовалютные приложения (биржи, кошельки , и подобные).
Группа обнаружила, что «Крестный отец» нацелен на более чем 400 различных организаций, большинство из которых находится в США (49), Турции (31), Испании (30), Канаде (22), Франции (20). ), Германии (19) и Великобритании (17).
Множественные векторы заражения
Более того, вредоносная программа анализирует конечную точку, которую она заразила, и, если она определяет, что язык устройства — русский, азербайджанский, армянский, белорусский, казахский, кыргызский, молдавский, узбекский или таджикский, что останавливает всю операцию, что заставляет некоторых исследователей полагать, что злоумышленники имеют российское происхождение.
Точное количество зараженных устройств определить невозможно, так как Play Store — не единственный вектор заражения. На самом деле вредоносное ПО имело относительно ограниченное распространение через репозиторий приложений Google, и основные каналы распространения еще предстоит обнаружить. Благодаря исследованиям Cyble мы знаем, что у одного из вредоносных приложений более 10 миллионов загрузок.
Но когда жертва загружает вредоносное ПО, ему сначала нужно дать ему разрешения, поэтому в некоторых случаях оно имитирует «Google Protect» и требует доступ к службе специальных возможностей. Если жертва предоставляет, вредоносное ПО перехватывает тексты SMS и уведомления, начинает записывать экран, эксфильтрует контакты и списки вызовов и многое другое.
При включении Службы доступности вредоносное ПО становится еще труднее уничтожить, а злоумышленники также могут похищать одноразовые пароли Google Authentication.
Исследователи также заявили, что у вредоносной программы есть дополнительные модули, которые можно добавить, предоставляя дополнительные функции, такие как запуск сервера VNC, включение режима без вывода сообщений, установка соединения WebSocket или затемнение экрана.
р>
- Вот наш список лучших брандмауэров
Через: BleepingComputer
Оригинал