A SecuriDropper Mobile rosszindulatú programnak sikerült elkerülnie az észlelést
Kiberbiztonsági szakértők bemutatták a SecuriDropper néven ismert új Android dropper szolgáltatást, amely megkerüli a Google legújabb biztonsági korlátozásait és rosszindulatú programokat szállít.
Az Androidhoz készült Dropper rosszindulatú szoftvert úgy tervezték, hogy csatornaként működjön a rosszindulatú rakományok feltört eszközökre történő telepítéséhez, így nyereséges modellt jelent a kiberbűnözők számára, akik bemutathatják képességeiket más bűnözői csoportoknak. Ez a megközelítés azt is lehetővé teszi az ellenfelek számára, hogy elkülönítsék a támadás kifejlesztését és végrehajtását a rosszindulatú programok tényleges telepítési folyamatától.
A ThreatFabric holland kiberbiztonsági cég jelentése szerint a dropperek és az értük felelős személyek folyamatosan fejlődnek, hogy túlszárnyalják az előrehaladó biztonsági intézkedéseket. A Google bevezette az Android 13-ban a Restricted Settings nevű biztonsági funkciót, amelynek célja, hogy megakadályozza, hogy az oldalról betöltött alkalmazások olyan Accessibility és Notification Listener engedélyeket szerezzenek, amelyeket a banki trójaiak gyakran kihasználnak.
A SecuriDroppers működési módja
A SecuriDropper megpróbálja észlelés nélkül megkerülni ezt a védőkorlátot úgy, hogy a cseppentőt ártalmatlan alkalmazásnak álcázza. Néhány megfigyelt minta a vadonban olyan alkalmazásneveket tartalmaz, mint a „com.appd.instll.load” a Google-ban és a Google Chrome-ban.
A ThreatFabric kiemelte, hogy a SecuriDroppert a telepítési folyamat technikai megközelítése különbözteti meg egymástól. Elődeivel ellentétben ez a család egy másik Android API-t alkalmaz az új hasznos terhelés telepítéséhez, utánozva az alkalmazáspiacok által az új alkalmazások telepítéséhez használt folyamatot.
Ez konkrétan azt jelenti, hogy engedélyeket kell kérni adatok külső tárolóra való olvasásához és írásához (READ_EXTERNAL_STORAGE és WRITE_EXTERNAL_STORAGE), valamint csomagok telepítésének és törlésének lehetőségét (REQUEST_INSTALL_PACKAGES és DELETE_PACKAGES).
A második szakaszban a rosszindulatú rakomány telepítését megkönnyítik, ha arra kérik az áldozatokat, hogy kattintson az "Újratelepítés" gombra az alkalmazásban, állítólag a telepítési hiba megoldása érdekében.
