Crocodilus: بدافزار جدیدی که کیف پول‌های کریپتو را تهدید می‌کند

بدافزار اندرویدی Crocodilus کنترل کامل گوشی را برای سرقت رمزارزها به دست می‌گیرد

شرکت امنیت سایبری Threat Fabric اعلام کرده که یک خانواده جدید از بدافزارهای موبایلی را کشف کرده است که می‌تواند با ایجاد یک لایه جعلی روی برخی اپلیکیشن‌ها، کاربران اندروید را فریب دهد تا عبارات بازیابی کیف پول رمزارز خود را ارائه دهند و در عین حال کنترل دستگاه را به دست بگیرد.

تحلیلگران Threat Fabric در گزارش ۲۸ مارس خود گفتند که بدافزار Crocodilus از یک لایه هشدار استفاده می‌کند که به کاربران می‌گوید کلید کیف پول رمزارز خود را تا یک مهلت مشخص پشتیبان‌گیری کنند، در غیر این صورت دسترسی خود را از دست خواهند داد.

Threat Fabric گفت: «هنگامی که قربانی یک رمز عبور را از برنامه ارائه می‌دهد، لایه جعلی پیامی نمایش می‌دهد: کلید کیف پول خود را در تنظیمات ظرف ۱۲ ساعت پشتیبان‌گیری کنید. در غیر این صورت، برنامه بازنشانی می‌شود و ممکن است دسترسی به کیف پول خود را از دست بدهید.»

«این ترفند مهندسی اجتماعی، قربانی را راهنمایی می‌کند تا به کلید کیف پول خود برود و به Crocodilus اجازه می‌دهد تا متن را با استفاده از ثبت‌کننده دسترسی خود جمع‌آوری کند.»

هنگامی که مهاجمان عبارت بازیابی را به دست می‌آورند، می‌توانند کنترل کامل کیف پول را به دست گرفته و آن را به طور کامل خالی کنند.

Threat Fabric می‌گوید با وجود اینکه این یک بدافزار جدید است، Crocodilus تمام ویژگی‌های بدافزارهای بانکی مدرن را دارد، از جمله حملات لایه جعلی، جمع‌آوری پیشرفته داده‌ها از طریق ضبط صفحه نمایش اطلاعات حساس مانند رمزهای عبور و دسترسی از راه دور برای کنترل دستگاه آلوده.

طبق گفته Threat Fabric، عفونت اولیه با دانلود ناخواسته بدافزار در نرم‌افزارهای دیگر که از اندروید ۱۳ و حفاظت‌های امنیتی عبور می‌کنند، رخ می‌دهد. پس از نصب، Crocodilus درخواست می‌کند که سرویس دسترسی فعال شود، که به هکرها امکان دسترسی به دستگاه را می‌دهد.

Threat Fabric گفت: «پس از اعطای دسترسی، بدافزار به سرور فرمان و کنترل (C2) متصل می‌شود تا دستورالعمل‌ها، از جمله لیست برنامه‌های هدف و لایه‌های جعلی مورد استفاده را دریافت کند.»

این بدافزار به طور مداوم اجرا می‌شود، راه‌اندازی برنامه‌ها را نظارت می‌کند و لایه‌های جعلی را برای رهگیری اعتبارنامه‌ها نمایش می‌دهد. هنگامی که یک برنامه بانکی یا رمزارزی هدف باز می‌شود، لایه جعلی روی آن ظاهر می‌شود و صدا را قطع می‌کند در حالی که هکرها کنترل دستگاه را به دست می‌گیرند.

Threat Fabric گفت: «با اطلاعات شناسایی شخصی و اعتبارنامه‌های سرقت شده، مهاجمان می‌توانند با استفاده از دسترسی از راه دور داخلی، کنترل کامل دستگاه قربانی را به دست بگیرند و تراکنش‌های جعلی را بدون شناسایی انجام دهند.»

تیم اطلاعات تهدیدات موبایلی Threat Fabric کشف کرده است که این بدافزار کاربران ترکیه و اسپانیا را هدف قرار می‌دهد، اما گفته است که دامنه استفاده از آن به مرور زمان گسترش خواهد یافت. آنها همچنین حدس می‌زنند که توسعه‌دهندگان ممکن است به زبان ترکی صحبت کنند، بر اساس یادداشت‌های موجود در کد، و اضافه کردند که یک عامل تهدید به نام Sybra یا یک هکر دیگر که در حال آزمایش نرم‌افزار جدید است، می‌تواند پشت این بدافزار باشد.

«ظهور تروجان بانکی موبایلی Crocodilus نشان‌دهنده یک تشدید قابل توجه در سطح پیچیدگی و تهدید بدافزارهای مدرن است.»

Threat Fabric افزود: «با قابلیت‌های پیشرفته کنترل دستگاه، ویژگی‌های کنترل از راه دور و استفاده از حملات لایه جعلی سیاه از اولین نسخه‌های خود، Crocodilus سطحی از بلوغ را نشان می‌دهد که در تهدیدات تازه کشف شده نادر است.»