В Discord под видом ChatGPT и Chrome раздают нового Android-трояна

В Discord под видом ChatGPT и Chrome раздают нового Android-трояна

В Discord под видом ChatGPT и Chrome раздают нового Android-трояна

Эксперты Cyble обнаружили в дикой природе новую Android-угрозу — банковского трояна, находящегося на ранней стадии разработки. Вредонос с кодовым именем Chameleon маскируется под разные легитимные приложения, а для кражи данных использует в основном оверлеи и кейлоггинг.

Проведенный в Cyble анализ не выявил признаков родства новобранца с каким-либо известным троянским семейством. Вредонос с января активно раздается с взломанных сайтов, хостинга Bitbucket и через вложения в чатах Discord.

Чтобы скрыть свои намерения, Chameleon использует иконки популярных программ: ChatGPT, Google Chrome, Bitcoin-кошелька, клиента Налоговой службы Австралии, банковского приложения IKO, широко используемого в Польше.

 

Эксперты проанализировали новейший образец зловреда, замаскированный под Android-клиент австралийской криптобиржи CoinSpot (уровень детектирования 30/65 на 14 апреля). Его C2-сервер находится в США, а набор функций обеспечивает следующие возможности:

  • кейлоггинг;
  • оверлейные атаки;
  • сбор СМС;
  • кража куки;
  • кража ключа разблокировки экрана;
  • отключение Google Play Protect;
  • противодействие запуску в эмуляторе;
  • предотвращение деинсталляции;
  • самоудаление.

При запуске троян прежде всего проводит антиотладочные и антиэмуляционные проверки, а также ищет признаки рутинга. Обнаружив угрозу раскрытия, он завершает свой процесс.

Считав данные устройства, Chameleon, как и многие другие Android-банкеры, просит жертву активировать Accessibility Service. Получив доступ, он использует спецвозможности для автоматического получения разрешений, отключения защиты Google Play, блокировки деинсталляции и т. п.

Параллельно троян в фоновом режиме отправляет на C2 основную информацию о зараженном устройстве, такую как версия, модель, наличие статуса root, страна, местоположение. После этого зловред загружает в WebView легитимную страницу CoinSpot и скрытно ворует куки.

Мониторинг и захват клавиатурного ввода обеспечивают функции editLog() и writeLog(). Результаты сохраняются в базе данных, а затем отсылаются на командный сервер. Оверлеи для целевых банковских приложений загружаются с C2 и сохраняются локально. При совершении инъекции фишинговая страница открывается в WebView.

Доступ к Accessibility Service также позволяет Chameleon украсть ключ к устройству. Вначале зловред определяет тип замка — пароль, пин-код, свайп, а затем сохраняет введенные идентификаторы в своей базе данных.

Для кражи входящих СМС банкер регистрирует экземпляр класса BroadcastReceiver. Улов передается на C2, чтобы оператор смог получить одноразовые пароли для обхода двухфакторной аутентификации (2FA).

Для автоматической деинсталляции и предотвращения попыток удаления вредонос использует переменные предпочтения (общие для всех семплов), такие как is_chameleon, app_chameleon, app_chameleon_name. Это и подсказало аналитикам название для новой Android-угрозы.

Создатели Chameleon также предусмотрели возможность загрузки дополнительного пейлоада, с сохранением в виде jar-файла и последующим запуском на исполнение. Эта функциональность пока не используется.

ГАИ проиграла суд против роботов-доставщиков

Московский городской суд отклонил жалобу ГАИ на решение суда первой инстанции, который не усмотрел в действиях роботов-доставщиков состава административного правонарушения, связанного с нарушением Правил дорожного движения. Ранее ГАИ обвинило дочернюю компанию Яндекса — «Рободоставку» — в нарушении ПДД.

Поводом для разбирательства стало происшествие 7 марта, когда инспектор ГАИ счёл, что робот-доставщик, передвигавшийся по тротуару, создаёт помехи пешеходам.

По мнению инспектора, это подпадало под статью 12.33 КоАП РФ. Компании «Рободоставка» в этом случае грозил штраф в размере 300 тыс. рублей.

Представители Яндекса с такой трактовкой не согласились, указав, что в действиях роботов-доставщиков отсутствует и не может присутствовать умысел. Дело было рассмотрено в Мещанском районном суде Москвы, который поддержал позицию компании.

«Роботы-доставщики не относятся к транспортным средствам, определённым нормами действующего законодательства. Как следует из видеозаписи, робот-доставщик передвигался по краю тротуара, не перекрывая пешеходную зону, автоматически останавливался при приближении людей. Пешеходы продолжали движение. Контакта, вынужденного сближения, опасных манёвров или остановок зафиксировано не было. Следовательно, объективных признаков угрозы безопасности дорожного движения не имелось», — такую выдержку из решения суда приводит Autonews.

ГАИ с таким решением не согласилась и подала жалобу в Московский городской суд. Однако Мосгорсуд оставил её без удовлетворения. Решение было принято ещё 5 февраля, но опубликовано только вечером 9 февраля.

«Мы работаем над тем, чтобы роботы-доставщики безопасно и корректно интегрировались в городскую среду и городскую инфраструктуру в рамках экспериментального правового режима, а также находимся в постоянном взаимодействии с профильными ведомствами. Подобные кейсы помогают формировать и развивать понятные правила использования автономных устройств в городе по мере накопления практического опыта», — прокомментировали судебное решение в Яндексе.

RSS: Новости на портале Anti-Malware.ru