Bir kapta kötü amaçlı kod çalıştırmak ve algılamadan kaçmak için sanallaştırma kullanılarak Fjordphantom adlı yeni bir Android kötü amaçlı yazılım keşfedildi.
Kötü amaçlı yazılım, analistleri şu anda Endonezya, Tayland, Vietnam, Singapur ve Malezya'daki bankacılık uygulamalarını hedefleyen e -postalar, SMS ve mesajlaşma uygulamaları aracılığıyla yayıldığını bildiren Promon tarafından keşfedildi.
Mağdurlar, meşru bankacılık uygulamaları gibi görünen şeyi indirmek için kandırılır, ancak gerçek bankacılık uygulamasına saldırmak için sanal bir ortamda çalışan kötü amaçlı kod içerir.
Fjordphantom, cihazda sahtekarlık gerçekleştirerek çevrimiçi banka hesabı kimlik bilgilerini çalmayı ve işlemleri manipüle etmeyi amaçlamaktadır.
Promon'un raporu, kötü amaçlı yazılımların kaçınma doğasını, banka müşteri hizmetleri acentelerinden gelen çağrılar gibi sosyal mühendislik ile birleştirerek mümkün olan tek bir kurbandan 280.000 dolar çalan bir fjordphantom vakasını vurgulamaktadır.
Android'de, farklı hesaplar kullanarak aynı uygulamanın birden fazla örneğini çalıştırmak gibi meşru nedenlerle "kaplar" olarak bilinen izole ortamlarda birden fazla uygulama çalışabilir.
Fjordphantom, kullanıcı bilmeden cihazda bir sanal kap oluşturmak için açık kaynaklı projelerden bir sanallaştırma çözümü içerir.
Başlatıldıktan sonra, kötü amaçlı yazılım, kullanıcının aynı kapsayıcıya kötü amaçlı kodu indirmeyi ve yürütmeyi amaçladığı Bankacılık Uygulamasının APK'sını yükler ve bu da onu güvenilir sürecin bir parçası haline getirir.
Sanal kapsayıcısının içinde çalışan bankacılık uygulaması ile Fjordphantom, kimlik bilgilerini yakalamasını, işlemleri manipüle etmesini, hassas bilgileri kesmesini, vb.
Bazı uygulamalarda, kötü amaçlı yazılımların kanca çerçevesi, uyarı diyaloglarını otomatik olarak kapatmak ve kurbanı uzlaşmadan habersiz tutmak için kullanıcı arayüz öğelerini manipüle eder.
Promon, bu sanallaştırma hilesinin, bir kapsayıcının içindeki uygulamaların aynı sanal alanını paylaştığı için uygulamaların birbirlerinin verilerine erişmesini veya işlemlerine müdahale etmesini engelleyen 'Android Sandbox' güvenlik konseptini kırdığını belirtiyor.
Bu özellikle sinsi bir saldırıdır çünkü bankacılık uygulamasının kendisi değiştirilmez, bu nedenle kod kurcalama tespiti tehdidi yakalamaya yardımcı olmaz.
Ayrıca, GooglePlayServices ile ilgili API'leri bağlayarak, cihazda kullanılamaz görünmelerini sağlamak için, kökle ilgili güvenlik kontrollerini engeller.
Kötü amaçlı yazılım kancaları, günlüğe kaydedilmeye kadar uzanır ve potansiyel olarak geliştiricilere farklı uygulamalarda daha hedefli saldırılar gerçekleştirme konusunda işaretçiler sağlar.
Promon, bunun aktif gelişmenin bir işareti olduğunu ve Fjordphantom'un hedefleme kapsamını gelecekteki sürümlerde belirtilen ülkelerin ötesine genişletme riskini artırdığını söylüyor.
Güncelleme 12/2 - Bir Google sözcüsü, BleepingComputer'a fjordphantom tehdidi ile ilgili aşağıdaki yorumu gönderdi:
Kullanıcılar, bu uygulamalar Google Play dışındaki kaynaklardan gelse bile, Google Play hizmetleriyle Android cihazlarda kötü niyetli davranışlar sergilediği bilinen kullanıcıları veya blokları engelleyebilen Google Play Protect tarafından korunur.
Android kötü amaçlı yazılım Xenomorph, ABD'yi hedefleyen yeni kampanya yürütüyor
Avast, Google uygulamasını Android telefonlarda kötü amaçlı yazılım olarak etiketlediğini doğrular
Samsung Galaxy yeni otomatik engelleyici anti-malware özelliği alıyor
Huawei, Vivo Telefonlar Google Uygulamasını Trojansms-Pa kötü amaçlı yazılım olarak etiketle
Spynote Android kötü amaçlı yazılım, sahte volkan patlama uyarıları ile yayılır
Kaynak: Bleeping Computer