Банковский троян SoumniBot использует баги Android для обхода защитных мер

Банковский троян SoumniBot использует баги Android для обхода защитных мер

Банковский троян SoumniBot использует баги Android для обхода защитных мер

Новый банковский Android-троян, получивший имя SoumniBot, атакует владельцев мобильных устройств с помощью багов в процедуре извлечения и парсинга файла Android Manifest. Такой вектор позволяет вредоносу обходить классические защитные меры в мобильной операционной системе.

На активность зловреда обратили внимание специалисты «Лаборатории Касперского». В анализе SoumniBot эксперты описывают, как операторы задействуют механизм парсинга и извлечения манифестов APK.

Речь идёт о файлах AndroidManifest.xml, которые есть в корневой директории любого приложения. Такие файлы содержат данные о компонентах (сервисы, поставщики контента), разрешениях и софте в целом.

Как ранее отмечали исследователи, вредоносные APK могут использовать различные методы сжатия для обмана защитных средств и ухода от анализа. В Kaspersky выяснили, что SoumniBot задействует три разных метода, включая манипуляции размером и сжатием файла манифеста.

Например, троян указывает некорректное значение сжатия при распаковке файла манифеста APK, оно в этом случае отличается от стандарта — от 0 до 8. Из-за существующего бага парсер APK распознаёт эти данные как несжатые.

В нормальной ситуации анализатор не должен принимать некорректные значения, но уязвимость позволяет обойти проверки и продолжить выполнение задачи на устройстве.

 

Ещё один метод подразумевает указание неверного размера файла манифеста — как правило, он превышает реальное значение. Эксперты подчёркивают, что получившиеся в ходе процесса «наложенные» данные не наносят прямого урона, но играют решающую роль в запутывании инструментов для анализа кода.

Kaspersky уведомила Google о багах в анализаторе APK, теперь осталось дождаться реакции интернет-гиганта. Что касается SoumniBot, троян стартует вредоносную службу, которая перезапускается каждые 16 минут.

Вредонос может удалять или добавлять контакты, отправлять СМС-сообщения, управлять уровнем громкости звонка, включать и выключать беззвучный режим, а также переводить смартфон в режим отладки.

Российские банкоматы научат работать без мобильного интернета

Глава Центробанка Эльвира Набиуллина заявила, что банкоматы и платёжные терминалы смогут работать даже при отключённом мобильном интернете. Техническое решение уже проработали Минцифры вместе с операторами связи, сейчас его тестируют.

Как пишет «РИА Новости», если в регионе временно ограничили мобильный интернет, люди всё равно должны иметь возможность снять деньги или оплатить покупку.

Потому что касса, которая внезапно превращается в тыкву из-за отсутствия связи, — это не цифровая экономика, а квест на выживание.

По словам Набиуллиной, ЦБ также обсуждает с Минцифры включение всех банков в белые списки. Это должно помочь банковским сервисам сохранять доступность даже при ограничениях связи.

Мобильный интернет в российских регионах периодически ограничивают из-за угрозы атак беспилотников, чтобы исключить возможность управления ими через сотовые сети. Но вместе с этим страдают и обычные пользователи, ибо не работают приложения, терминалы, онлайн-оплата и другие привычные сервисы.

Набиуллина подчеркнула, что банковская система уже показала способность адаптироваться к разным вызовам. Теперь адаптироваться придётся и инфраструктуре на местах — банкоматам, терминалам и всему тому, что раньше тихо зависело от связи, пока её не начали выключать.

RSS: Новости на портале Anti-Malware.ru