Новое банковское вредоносное ПО RemControl для Android нацелено на пользователей в Европе и Канаде.

[zender]

Новая платформа для распространения вредоносного ПО как услуги (MaaS) для Android под названием RemControl нацелена на пользователей посредством рекламных кампаний, имитирующих приложение TVTap IPTV.


Хотя инфраструктура функционирует как минимум с мая, первые образцы были обнаружены в июле и содержали более 30 фишинговых наложений, предназначенных для кражи банковских учетных данных.


Исследователи из компании Group-IB, занимающейся кибербезопасностью, заявляют, что вредоносное ПО нацелено на пользователей в Европе (Италия, Франция, Испания, Польша, Португалия), Канаде и странах Ближнего Востока.

На одном из наложений вредоносная программа отображает ответ от помощника на основе искусственного интеллекта, что является убедительным доказательством того, что она была создана с помощью моделей ИИ.

Фишинговая накладка, демонстрирующая использование ИИ.
Источник: Group-IB

RemControl распространяется через поддельные страницы Google Play, имитирующие приложение TVTap IPTV, при этом, по меньшей мере, в одной из итальянских кампаний используются геозонирование и проверка User-Agent для мобильных устройств.


Вредоносные сайты содержат идентификаторы отслеживания Meta Pixel, которые, по мнению Group-IB, указывают на то, что оператор злоупотреблял рекламной экосистемой Meta, чтобы перенаправлять жертв на страницы загрузки.

Поддельный сайт Google Play
Источник: Group-IB

При запуске загрузчик запускает VPN-сервис, который блокирует трафик из сервисов Google Play, препятствуя выполнению Play Protect проверок в реальном времени на наличие известных вредоносных программ.


Эта функция также была обнаружена в недавней версии вредоносной программы ToxicPanda , гораздо более масштабной операции, использующей фишинговые наложения для 349 финансовых, криптовалютных и цифровых кошельков, используемых в 16 странах.


Фишинговые наложения для 349 банковских, финансовых, криптовалютных и электронных кошельков, нацеленные на 16 стран.


В процессе установки вредоносная программа запрашивает разрешение на использование служб специальных возможностей.

Источник: Group-IB

Если запрошенные разрешения предоставлены, RemControl может выполнить следующие действия:

• Наложение фишинговых окон на весь экран поверх легитимных банковских приложений с целью кражи PIN-кодов, банковских кодов, сроков действия карт и учетных данных.
• Динамическое получение новых банковских целей от инфраструктуры управления и контроля (C2).
• Передавайте оператору скриншоты и полное дерево возможностей/интерфейса Android в режиме реального времени.
• Запись кликов, изменений текста, событий фокусировки и другого пользовательского ввода в различных приложениях.
• Удаленное выполнение касаний, свайпов, прокрутки, жестов, длительных нажатий и вставки текста.
• Получение координат графического ключа Android на устройствах различных производителей, включая Samsung, Xiaomi, Huawei, OPPO, OnePlus, а также на устройствах со стандартной версией Android.
• Предотвратите удаление, отслеживая, когда жертвы заходят в настройки управления приложениями, специальных возможностей или сброса к заводским настройкам, и автоматически выходя из них.

RemControl извлекает зашифрованную информацию C2 из каналов Telegram, что позволяет ему динамически обновлять инфраструктуру в случае сбоев.


Компания Group-IB обнаружила в исходном C2-прокси документацию FastAPI, которая раскрывала конечные точки, используемые вредоносным ПО для получения банковских данных и отправки украденных учетных данных.


Происхождение злоумышленника, стоящего за RemControl, неясно, но исследователи обнаружили русский язык в HTML-файлах некоторых оверлеев, что указывает на то, что разработчиком по крайней мере некоторых из них был человек, говорящий по-русски.


На основе общего идентификатора в проанализированных образцах исследователи отследили оператора RemControl как UNKK и заподозрили связь с банковским трояном Medusa .


Пользователям Android рекомендуется избегать загрузки APK-файлов не из Google Play, если они не уверены в достоверности информации об издателе.

Источник