Kaspersky mütəxəssisləri “Android” üçün “Starlink” tətbiqini təqlid edən zərərli proqram kampaniyası aşkar ediblər

Kaspersky-nin Qlobal tədqiqat və təhlil qrupu (GReAT) kibercinayətkarların “Starlink Android” tətbiqinin adı altında “BeatBanker” troyanını yaydığı “Android” əməliyyat sistemi üçün zərərli proqram kampaniyasını aşkar edib. Hücumçular ilk növbədə Braziliyadakı istifadəçiləri hədəf alırlar; lakin Kaspersky mütəxəssisləri hesab edirlər ki, digər ölkələrdəki istifadəçilər də bu təhdidlə üzləşə bilərlər. Troyan “Monero” kriptovalyuta maynerindən istifadə edir və əlavə olaraq yoluxmuş cihazlara (RAT) BTMOB uzaqdan idarəetmə alətini quraşdırır. Dayanıqlılığını təmin etmək üçün “BeatBanker”, demək olar ki, eşidilməyən silsilə audiofaylı ehtiva edən qeyri-adi mexanizmdən istifadə edir.

“Başlanğıcda “BeatBanker”in dövlət xidmətləri tətbiqinin adı altında yayıldığını və kriptovalyuta maynerinə əlavə olaraq bank troyanı quraşdırdığını gördük. Lakin son aşkarlama səylərimiz bank modulu əvəzinə BTMOB RAT-ı yerləşdirən fərqli bir “BeatBanker” variantından istifadə edən yeni bir kampaniyanı üzə çıxardı. Görünür, hücum edənlər bir çox ölkədə daha çox qurbana çatmaq üçün yeni bir yemdən – “Starlink” tətbiqindən istifadə edirlər. Odur ki, istifadəçilərin sayıqlığı əldən verməməsi və smartfonlarını qorumaq üçün qabaqcıl təhlükəsizlik həllərindən istifadə etməsi vacibdir”, – deyə Kaspersky GReAT-ın Latın Amerikası və Avropa üzrə rəhbəri Fabio Assolini bildirib.

İlkin yoluxdurma vektoru

Kaspersky mütəxəssisləri hesab edirlər ki, kibercinayətkarlar “Google Play” rəsmi mağazasını təqlid edən fişinq səhifələri vasitəsilə “BeatBanker” troyanını ehtiva edən saxta “Starlink” tətbiqini yayırlar. Müdaxilə edilmiş cihazda işə salındıqdan sonra bu troyan “Google Play”i də təqlid edən istifadəçi interfeysi göstərir. Kibercinayətkarlar qurbanları aldadaraq onlardan quraşdırma icazələrini əldə edir və bununla da əlavə gizli zərərli elementlərin yüklənməsin üçün imkan qazanırlar.

Kriptomayninq modulu və BTMOB RAT

İstifadəçi saxta “Google Play” səhifəsində “YENİLƏMƏ” düyməsini basdıqda “Monero” kriptovalyuta mayneri açılır. “BeatBanker” yoluxmuş smartfonun batareya faizini və temperaturunu, eləcə də istifadəçi fəaliyyətini izləyir, bundan sonra gizli kriptovalyuta mayneri işə salınır və ya dayandırılır.

“Android” əməliyyat sistemini yoluxduran troyan həmçinin BTMOB RAT-ı oğurlanmış cihaza quraşdırır. BTMOB tam uzaqdan idarəetmə təmin edir və “zərərli proqram xidmət kimi” (MaaS) adı ilə satılır. O, avtomatik icazələr verə və sistem bildirişlərini gizlədə bilir, həmçinin yoluxdurulmuş cihazlarda PIN-kodlar, qrafik açarlar və şifrələr daxil olmaqla, ekran kilidi məlumatlarını ələ keçirmək üçün hazırlanmış mexanizmlərə malikdir. Zərərli proqram həmçinin kibercinayətkarlar üçün ön və arxa kameralara girişi, GPS üzərindən yerləşmə monitorinqini və həssas məlumatların davamlı toplanmasını təmin edir.

Dayanıqlılığını təmin etmək və silinməsini çətinləşdirmək üçün “BeatBanker” ön planda sabitlənmiş bildirişi dəstəkləyir və səssiz media oxutma ilə fon rejimində xidməti aktivləşdirir. Bu taktika əməliyyat sisteminin zərərli prosesi dayandırmasının qarşısını almaq üçün hazırlanıb.

Kaspersky məhsulları bu təhlükəni “HEUR:Trojan-Dropper.AndroidOS.BeatBanker” və “HEUR:Trojan-Dropper.AndroidOS.Banker”* kimi aşkarlayır.

Daha ətraflı məlumat üçün Securelist nəşrinə baxa bilərsiniz.

Mobil təhdidlərdən qorunmaq üçün Kaspersky aşağıdakıları tövsiyə edir:

• Tətbiqləri yalnız “Apple App Store” və “Google Play” kimi rəsmi mağazalardan yükləyin, lakin unutmayın ki, hətta rəsmi mağazalardan tətbiqləri yükləmək belə həmişə risksiz deyil.
• Hər zaman tətbiq haqqında rəyləri yoxlayın, yalnız rəsmi veb-saytların linklərindən istifadə edin və tətbiqin saxta olduğu ortaya çıxdıqda zərərli fəaliyyəti aşkarlaya və bloklaya bilən Kaspersky Premium kimi etibarlı təhlükəsizlik proqramını quraşdırın.
• İstifadə etdiyiniz tətbiqlərin icazələrini yoxlayın və tətbiqə icazə verməzdən əvvəl, xüsusən də “Əlçatanlıq xidmətləri” (Accessibility Services) kimi yüksək riskli icazələrdə, ətraflı düşünün.
• Yeniləmələr dərc olunduqda əməliyyat sisteminizi və vacib tətbiqlərinizi təxirə salmadan yeniləyin. Bir çox təhlükəsizlik problemi proqramın yenilənmiş versiyalarını quraşdırmaqla həll edilə bilər.

Kaspersky GReAT haqqında

Kaspersky-nin Qlobal tədqiqat və təhlil qrupu – GReAT 2008-ci ildə yaradılıb. Onun tapşırıqları ən mürəkkəb hücumları, kibercasusluq kampaniyalarını, yeni yoluxma metodlarını və sıfır gün zəifliklərindən (proqram tərtibatçısına məlum olmayan sistem xətası) istifadə edən istismarları axtarmaq və araşdırmaqdan ibarətdir. Bu gün mərkəzin komandası Avropa, Rusiya, Cənubi Amerika, Asiya və Yaxın Şərq daxil olmaqla, dünya üzrə çalışan 35-dən çox mütəxəssisdən ibarətdir. Onlar ən mürəkkəb hücumların, o cümlədən kibercasusluq və kibertəxribat kampaniyalarının araşdırılmasındakı nailiyyətləri ilə tanınırlar.