به گزارش کارگروه امنیت سایبربان؛ تروجان بانکی اندرویدی BrazKing (برَز کینگ) با پوشش های فعال بانکی و ترفندهای جدیدی به میادین بازگشته است. این قابلیت ها به برز گینگ اجازه می دهد تا بدون درخواست های اعطای مجوز پر خطر به کار خود ادامه دهد.
یک نمونه بدافزاری جدید در خارج از فروشگاه گوگل پلی و در سایت های دخیل در فیشینگ پیامکی توسط محققین IBM Trusteer شناسایی شده است.
این سایت های HTTPS به قربانیان هشدار می دهند که آن ها در حال استفاده از نسخه منسوخ اندروید هستند و می توانند با نصب اپلیکیشن پیشنهاد شده در این سایت، آخرین ورژن اندروید را بر روی دستگاه خود نصب کنند.
در صورتی که کاربران با گزینه " دانلود از منابع ناشناس" موافقت کنند، بدافزار مد نظر بر روی دستگاه رها می شود و درخواست دسترسی به “Service Accessibility” را درخواست می کند.
این مجوز در جهت تهیه اسکرین شات و ضبط ضربات کلیدهای کیبورد مورد سوء استفاده قرار می گیرد. هیچ گونه مجوز اضافی دیگری درخواست نمی شود.
سرویس دسترسی با هدف انجام فعالیت های مخرب زیر مورد استفاده BrazKing قرار دارد:
- موشکافی برنامه ای صفحه نمایش به جای گرفتن اسکرین شات در فرمت عکس
- قابلیت های کی لاگینگ از طریق خواندن صفحه نمایش
- قابلیت های RAT- برز کینگ می تواند اپلیکیشن بانکی هدف را از طریق زدن دکمه ها دستکاری کند
- خواندن پیامک ها
- خواندن لیست مخاطبین
این نسخه جدید از برز کینگ به هنگام شناسایی لاگین در یک بانک آنلاین، حالا به جای نمایش پوشش های داخلی، به سرور کنترل و فرمان متصل می شود تا بتواند پوشش های لاگین درستی را برای نمایش دریافت کند.
این سیستم پوششی پویا، کار سرقت داده های احراز هویت طیف از بانک ها را راحت تر می کند. (طیف وسیع تری از بانک ها)
نسخه جدید BrazKing با استفاده از یک عملیات XOR و کلیدهای هارد کد شده از منابع داخلی محافظت می کند.
در صورتی که کاربر اقدام به حذف BrazKing کند این بدافزار به سرعت بر روی دکمه های ‘Back’ یا ‘Home’ می زند و از این کار جلوگیری می کند.
همین ترفند در هنگام استفاده از آنتی ویروس نیز اجرا می شود.
تکامل تروجان اندرویدی برز کینگ نشان از آن دارد که بازیگران مخرب این بدافزار خود در امتداد سیستم ها و ابزار امنیتی اندروید حرکت می کنند. این بدین معناست که با تشدید محافظت های امنیتی اندروید، این تروجان نیز آپدیت می شود و ویژگی های مخرب دیگری را به نسخه های جدید خود می افزاید.
طبق گزارش IBM ظاهرا گروه های هکری محلی، عاملین این تروجان اندرویدی هستند چون BrazKing بیشتر در وبسایت های پرتغالی مشاهده شده است.
