Защити созданное

Другие наши ресурсы

  • free.drweb.ru — бесплатные утилиты, плагины, информеры
  • av-desk.com — интернет-сервис для поставщиков услуг Dr.Web AV-Desk
  • curenet.drweb.ru — сетевая лечащая утилита Dr.Web CureNet!
  • www.drweb.ru/web-iq — ВебIQметр
Закрыть

Библиотека
Моя библиотека

Чтобы добавить ресурс в библиотеку, войдите в аккаунт.

+ Добавить в библиотеку

Ресурсов: -

Последний: -

Моя библиотека

Поддержка
Круглосуточная поддержка | Правила обращения

Позвоните

Бесплатно по России:
8-800-333-79-32

ЧаВо | Форум | Бот самоподдержки Telegram

Ваши запросы

  • Все: -
  • Незакрытые: -
  • Последний: -

Позвоните

Бесплатно по России:
8-800-333-79-32 | Skype Telegram

Свяжитесь с нами

Профиль

Профиль

Назад к списку новостей

Обзор наиболее опасных банковских Android-троянцев, угрожающих южнокорейским пользователям

31 июля 2014 года

Одной из характерных тенденций развития современных банковских услуг является все большая популяризация сервиса дистанционного банковского обслуживания и управления счетами при помощи мобильных устройств. Такой удобный и простой способ оперирования личными финансами является неоспоримым преимуществом для клиентов кредитных организаций по всему миру, однако он может таить в себе и серьезную угрозу потери денежных средств в случае компрометации используемого смартфона или планшета и получения злоумышленниками доступа к банковскому счету. Одним из мировых лидеров в сфере предоставления услуг мобильного банкинга в настоящее время является Южная Корея, поэтому неудивительно, что специалисты компании «Доктор Веб» отмечают существенный рост числа мобильных вредоносных приложений, предназначенных для получения нелегального доступа к банковским счетам пользователей именно из этой страны.

Многие Android-троянцы, зафиксированные в Южной Корее за последние несколько месяцев, были способны выполнять кражу различной конфиденциальной информации, включая логины, пароли, секретные коды и другие аутентификационные сведения систем "Банк-Клиент". При этом существенное число таких вредоносных приложений не только предоставляют злоумышленникам необходимые для получения доступа к банковским счетам данные, но также позволяют им осуществлять незаметные финансовые операции непосредственно при помощи зараженных мобильных устройств.

Одной из актуальных угроз подобного рода является вредоносная программа Android.BankBot.20.origin, распространяемая злоумышленниками под видом различных приложений и атакующая клиентов таких южнокорейских кредитных организаций как NH Bank, Shinhan Bank, Woori Bank, KB Kookmin Bank, Hana Bank, ePOSTBANK, KFCC и Busan Bank.

screenscreen

При запуске троянец запрашивает у пользователя права на доступ к функциям администратора мобильного устройства, после чего удаляет свой значок из списка приложений на главном экране. Далее вредоносная программа крадет и при помощи POST-запроса по протоколу HTTP пересылает на удаленный сервер c адресом http://xxx.xxx.66.249/common/servlet/SendDevice следующую информацию:

  • телефонный номер;
  • серийный номер SIM-карты;
  • наименование модели мобильного устройства;
  • версия операционной системы;
  • список установленных приложений «Банк-Клиент» целевых кредитных организаций;
  • наименование мобильного оператора.

Кроме того, по адресу http://xxx.xxx.66.249/common/servlet/ContactsUpload в формате JSON отправляется информация о сохраненных в телефонной книге контактах. Структура этого запроса имеет следующий вид:
{"contacts":[{"mobile":"Example_number","name":"Example_contact"}],"mobile":"self_number"}. В данном случае параметр «self_number» – это телефонный (серийный) номер SIM-карты инфицированного мобильного устройства.

По команде злоумышленников Android.BankBot.20.origin может блокировать все поступающие телефонные звонки, причем делает это в течение определенного промежутка времени, начиная с 20.06.2014 и заканчивая датой, указанной в его внутренних настройках.

Входящие короткие сообщения троянец также перехватывает на протяжении заданного периода времени, причем все доступные СМС загружаются на сервер по адресам http://xxx.xxx.66.249/common/servlet/SendMassage и http://xxx.xxx.66.249//common/servlet/SendMassage2.

Однако основной вредоносный функционал Android.BankBot.20.origin заключается в подмене легитимных версий мобильных банковских клиентов их поддельными копиями. Для этого троянец проверяет наличие на мобильном устройстве следующих приложений:

  • nh.smart
  • com.shinhan.sbanking
  • com.webcash.wooribank
  • com.kbstar.kbbank
  • com.hanabank.ebk.channel.android.hananbank
  • com.epost.psf.sdsi
  • com.smg.spbs
  • com.areo.bs

Полученный список программ загружается на удаленный сервер по адресу http://xxx.xxx.66.249/common/servlet/GetPkg, после чего злоумышленники могут отдать команду на скачивание той или иной поддельной версии банковского приложения, которая помещается в каталог /sdcard/Download/update. Далее троянец инициирует процесс установки загруженных программ, для чего демонстрирует сообщение о необходимости выполнить обновление: «새로운버전이 출시되었습니다. 재설치 후 이용하시기 바랍니다». При этом настоящие банковские клиенты удаляются.

Устанавливаемые копии оригинальных приложений имитируют их интерфейс и требуют у пользователей ввести аутентификационные данные для авторизации, в результате чего злоумышленники могут получить доступ к банковским счетам своих жертв.

В троянце предусмотрена возможность изменения адреса управляющего сервера, для чего злоумышленниками используется СМС-сообщение вида «V:www.commandcenterurl.com».

screen

screen

Весьма схожим с Android.BankBot.20.origin функционалом обладает троянец Android.Banker.22.origin. Одним из его отличий является более широкий список атакуемых банковских приложений, в который входят такие программы как:

  • nh.smart
  • com.shinhan.sbanking
  • com.webcash.wooribank
  • com.kbstar.kbbank
  • com.hanabank.ebk.channel.android.hananbank
  • com.epost.psf.sdsi
  • com.ibk.neobanking
  • com.smg.spbs
  • com.kftc.citismb
  • com.sc.danb.scbankapp
  • com.areo.bs

Кроме того, по умолчанию управляющий сервер троянца располагается по адресу http://xxx.xxx.197.203:80.

Однако главной особенностью Android.Banker.22.origin является наличие в его арсенале интерфейса установки поддельных банковских приложений при помощи СМС. Для этого злоумышленниками отправляется специальное сообщение с командой формата «b:bank_name», где «bank_name» - название одного из целевых приложений, предназначенных для установки: {"NH", "SH", "WO", "KB", "HA", "EP", "NE", "SP", "CT", "SC", "BS"}.

Помимо Android-угроз, способных выполнять комплексную атаку на пользователей сразу нескольких южнокорейских кредитных организаций, злоумышленники применяют и более узкоспециализированные вредоносные приложения. К таким угрозам относятся, например, троянцы Android.Banker.26.origin и Android.Banker.27.origin.

В частности, вредоносное приложение Android.Banker.26.origin используется киберпреступниками для компрометации счетов клиентов Kookmin Bank. Троянец имеет идентичные оригинальному банковскому приложению значок и название, поэтому пользователи с большой долей вероятности могут вместо настоящего приложения запустить вредоносную программу.

screen

После успешного запуска Android.Banker.26.origin демонстрирует поддельное уведомление о том, что мобильное устройство пользователя защищено антивирусным продуктом AhnLab V3 Mobile Plus, тем самым имитируя поведение оригинального банковского приложения, в действительности выполняющего такую проверку.

screenscreen

Одновременно с этим троянец проверяет, присутствуют ли в корневой папке карты памяти инфицированного устройства NPKI-сертификаты, и в случае их обнаружения помещает их копии в zip-архивы, размещаемые рядом с оригиналами, после чего демонстрирует диалог, в котором отображается информация о найденных файлах.

screen

При нажатии пользователем на одну из отображаемых в списке позиций Android.Banker.26.origin демонстрирует новое диалоговое окно, в котором запрашивается пароль для соответствующего сертификата.

screen

Троянец использует весьма интересный метод проверки подлинности вводимого пароля: если его длина больше или равна шести символам, вредоносная программа информирует жертву об ошибке и просит повторно ввести пароль, при этом сохраняя во временной памяти ранее введенное значение (если вводимое значение составляло менее шести символов, его сохранение не производится). В случае если повторно вводимое значение совпадает с предыдущим и составляет более шести символов, Android.Banker.26.origin переходит к следующему этапу сбора конфиденциальной информации. В частности, вредоносная программа запрашивает у пользователя следующее идентификационные данные:

  • name;
  • id_first – id_second;
  • account;
  • account password.

При выборе пользователем последнего пункта – пункта ввода пароля – троянец демонстрирует отдельную форму для ввода, в которую принимается числовое значение из не менее чем четырех символов.

screen

После успешного ввода требуемых данных Android.Banker.26.origin предлагает своей жертве указать номер своей банковской карты.

screen

Вся собранная вредоносной программой конфиденциальная информация, включая найденные сертификаты и IMEI-номер мобильного устройства, пересылается на удаленный сервер, расположенный по адресу http://xxx.xx.177.105:80/v/. Эти сведения передаются в формате JSON и имеют следующую структуру:

{:"clientId" :
"accountName" :
"accountNo" :
"accountPsw" :
"bkType" :
"certPath" :
"card" :
"transPsw" :
"certPsw" :
"personIdFirst" :
"personIdSecond" :
"fileName" :}

Очень похожий на данную Android-угрозу троянец Android.Banker.27.origin реализует практически идентичный ей функционал и в большей степени отличается лишь тем, что предназначен для атаки на клиентов банка Hana Bank. Загрузка собранных им сведений осуществляется по адресу http://xxx.xx.78.136/PhoneManager/services/BankWebService?wsdl, при этом троянец использует библиотеку ksoap2.

screenscreen

Вместе с тем, предприимчивые киберпреступники не останавливаются на достигнутом и продолжают совершенствовать свои мошеннические приемы. Так, многие наработки и технические решения, применяемые в различных версиях существующих южнокорейских банковских троянцев, были использованы в другой Android-угрозе, получившей по классификации компании «Доктор Веб» наименование Android.Banker.28.origin. Данная вредоносная программа распространяется злоумышленниками под видом каталога Google Play и после запуска просит предоставить ей права администратора мобильного устройства, вслед за чем удаляет свой значок из списка приложений на главном экране, демонстрирует сообщение о якобы возникшей ошибке и произведенной деинсталляции программы.

screenscreen

Затем троянец выполняет поиск расположенного в корневой директории карты памяти каталога с именем «NPKI», содержащего цифровые сертификаты, обеспечивающие безопасность финансовых операций, и помещает его содержимое в zip-архив, который пересылается по email-адресу jnohiugb[xxxxx]@gmail.com, а также загружается при помощи встроенной ajax-библиотеки на сервер ml[xxx].iego.net.

screen

Далее среди установленных на зараженном мобильном устройстве приложений Android.Banker.28.origin выполняет поиск следующих программ:

  • com.shinhan.sbanking
  • com.kbstar.kbbank
  • com.hanabank.ebk.channel.android.hananbank
  • nh.smart
  • com.webcash.wooribank
  • AhnLab V3 Mobile Plus 2.0

Информация обо всех найденных приложениях из этого списка, а также телефонный номер пользователя передаются на удаленный сервер.

После этого троянец собирает информацию обо всех имеющихся в телефонной книге контактах и помещает эти данные в файл sdcard/phone001.txt, при этом формат записей выглядит следующим образом:

number:"Example_phoneNumber";name:"Example_contact.

Кроме того, в отдельный файл sdcard/temp/sms.txt помещаются все имеющиеся входящие СМС-сообщения в формате:

name:"Example_name";phone:"Example_phoneNumber";content:"Example_content";date:"Example_date".

Оба этих файла загружаются на сервер злоумышленников. Помимо этого, все вновь поступающие СМС-сообщения перехватываются троянцем и также загружаются на сервер.

В отличие от большинства южнокорейских банковских троянцев, удаляющих оригинальные версии приложений типа «Банк-Клиент» и устанавливающих вместо них поддельные копии, другая вредоносная программа – Android.Banker.28.origin – реализует более оригинальный метод кражи аутентификационных данных пользователей. С определенной периодичностью этот троянец проверяет, запущено ли одно из требуемых банковских приложений, и, если это так, демонстрирует пользователю несколько сообщений, после чего имитирует настоящий запрос на ввод данных учетной записи, которые затем архивируются и пересылаются злоумышленникам.

screenscreen

Среди запрашиваемой информации присутствуют такие сведения как:

  • clientId (IMEI-номер);
  • accountName (имя банковского аккаунта);
  • "accountNo (номер счета);
  • accountPsw (пароль);
  • bkType (аббревиатура банка);
  • card (номер карты);
  • transPsw;
  • certPsw (пароль к сертификату);
  • personIdFirst;
  • personIdSecond.

Для обеспечения собственной безопасности Android.Banker.28.origin с определенной периодичностью проверят наличие на зараженном мобильном устройстве антивируса AhnLab V3 Mobile Plus, который удаляется в случае обнаружения.

Злоумышленники могут управлять троянцем посредством СМС-сообщений, содержащих различные команды. В частности, вредоносной программе могут быть отданы следующие директивы:

  • ak49 – инициировать отправку собранной на устройстве информации, а также изменить сервер, на который осуществляется отправка (новый адрес сервера указывается в соответствующем значении команды);
  • ak40 – включить или выключить перенаправление входящих СМС на заданный email (имеет параметры «1» и «2» соответственно);
  • wokm – выполнить рассылку СМС-сообщения по всем имеющимся контактам (текст сообщения задается в параметрах команды);
  • ak60 – изменить email-адрес, на который отправляется собираемая информация (адрес указывается в параметрах команды);
  • ak61 – изменить пароль доступа к email-адресу на новый (указывается в значении команды).

Примечательно, что используемая злоумышленниками команда «wokm» позволяет Android.Banker.28.origin реализовывать функционал СМС-червя в тех случаях, когда в параметрах рассылаемых сообщений содержится ссылка на загрузку копии троянца.

screen

screen

Помимо описанных вредоносных программ, в настоящий момент южнокорейским пользователям мобильного банкинга угрожают и многие другие похожие троянцы, число которых постоянно растет. Постепенно совершенствуются и применяемые в них методы хищения конфиденциальной информации, поэтому для обеспечения должного уровня безопасности владельцам мобильных Android-устройств из Южной Кореи рекомендуется выполнять следующие рекомендации:

  • контролировать все операции, производимые с банковскими счетами;
  • периодически изменять пароль доступа к своей учетной записи;
  • использовать банковские клиенты, полученные только из официальных источников;
  • не переходить по подозрительным ссылкам и не устанавливать вызывающие сомнения приложения;
  • защищать мобильное Android-устройство при помощи современного антивируса.

Защитите ваше Android-устройство с помощью Dr.Web

Купить онлайн Купить через Google Play Купить через СМС Бесплатно

Нам важно Ваше мнение

Комментарии размещаются после проверки модератором. За каждый содержательный комментарий начисляется 1 Dr.Web-ка. Чтобы задать вопрос по новости администрации сайта, укажите в начале своего комментария @admin. Если ваш вопрос к автору одного из комментариев — поставьте перед его именем @


Другие комментарии

Российский разработчик антивирусов Dr.Web

Опыт разработки с 1992 года

Dr.Web пользуются в 200+ странах мира

Dr.Web в Реестре Отечественного ПО

Поставка антивируса как услуги с 2007 года

Круглосуточная поддержка на русском языке

© «Доктор Веб»
2003 — 2019

«Доктор Веб» — российский производитель антивирусных средств защиты информации под маркой Dr.Web. Продукты Dr.Web разрабатываются с 1992 года.

125040, Россия, Москва, 3-я улица Ямского поля, вл.2, корп.12А