Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击

Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击

趋势科技研究人员最近在Google Play上发现了两个分发银行恶意软件的应用程序,它们伪装成实用工具,分别名为Currency Converter和BatterySaverMobi。谷歌现已将这两款应用程序从应用商店中下架。

这款电池应用程序在下架之前已被下载过5000多次,73位用户给它的评分是4.5分。然而仔细观察这些评论可以发现好评是刷出来的,一些匿名用户的评论没有逻辑而且很宽泛,没有具体细节。

研究人员仔细分析了这一活动,发现这两个应用程序丢弃了一个恶意负载,所以研究人员可以安全地链接到已知的银行恶意软件Anubis(趋势科技检测为ANDROIDOS_ANUBISDROPPER)。在分析有效载荷后,研究人员注意到该代码与已知的Anubis样本非常相似,还发现它链接到域名为aserogeege.space的命令和控制(C&C)服务器,该域也链接到Anubis。

除了aserogeege.space之外,还有18个其他恶意域映射到IP地址47.254.26.2,研究人员已经确认Anubis使用这些域的子路径。这些域名经常更改IP地址,自2018年10月以来可能已经改了不下6次,显示了该活动系列的活跃程度。

Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击

Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击

Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击

Google Play上的恶意应用程序

Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击

BatterySaveMobi受害者分布

应用程序如何避免检测

这些应用程序不只使用传统的规避技术,它们还尝试利用用户的动作及使用设备的习惯来隐藏他们的活动。

用户移动时,他们的设备通常会生成一些运动传感器数据。恶意软件开发人员假设用于扫描恶意软件的沙箱是没有运动传感器的仿真器,便不会创建该类型的数据。如果是这种情况,开发人员只需检查传感器数据即可确定应用程序是否可以在沙箱环境中运行。

恶意应用程序通过设备运动传感器监视用户行动。如果它感觉用户和设备没有移动(如果它缺少传感器数据就可能在沙箱环境中运行),就不会运行恶意代码。

Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击恶意软件监测用户

Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击

C&C服务器命令

如果运行了恶意代码,那么该应用程序将尝试诱骗用户下载并安装其有效负载APK,并假装进行系统更新。

Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击

虚假系统更新

应用程序开发人员隐藏恶意服务器的方法之一是在Telegram和Twitter网页请求中对其进行编码。银行恶意软件dropper信任正在运行的设备后会向Telegram或Twitter发送请求。通过解析响应的HTML内容,它到达C&C服务器(aserogeege.space)。然后,它向C&C服务器注册并检查带有HTTP POST的命令。如果服务器使用APK命令响应应用程序并附加上下载的URL,则Anubis有效负载将在后台删除。它将试图诱骗用户使用上图中所示的虚假系统更新来安装它。

Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击

Anubis有效载荷

Anubis恶意软件伪装成一个良性应用程序,让用户授予其访问权限并尝试窃取帐户信息。当用户访问目标应用程序时,一般的银行特洛伊木马会启动虚假的覆盖屏幕,在用户将帐户凭据输入到覆盖图时窃取信息。然而Anubis不一样,它有一个内置的键盘记录器,可以通过记录击键来窃取用户的帐户凭据。Anubis还可以截取受感染用户屏幕的屏幕截图,这是获取受害者凭据的另一种方式。

数据显示,最新版本的Anubis已分发到93个不同的国家/地区,并针对377种不同的财务应用程序的用户以窃取帐户详细信息。如果Anubis成功运行,攻击者就可以访问联系人列表和用户所在位置。它还可以录制音频、发送SMS消息、拨打电话和更改外部存储。Anubis可以使用这些权限向联系人发送垃圾邮件、用受感染设备给别人打电话以及进行其他恶意活动。

Google Play 甩不掉的麻烦,“死神”Anubis换上新装再出击

Anubis攻击的一些财务App

移动安全性的差距可能会给许多用户带来严重后果,因为一台设备上存储了大量信息,还连接了许多不同的帐户,所以用户应该警惕任何要求提供银行凭证的应用程序。

原创文章,作者:Gump,如若转载,请注明出处:http://www.mottoin.com/tech/134240.html

发表评论

登录后才能评论

联系我们

021-62666911

在线咨询:点击这里给我发消息

邮件:root@mottoin.com

工作时间:周一至周五,9:30-18:30,节假日休息

QR code