Crocodilus - это новый и высокоэффективный мобильный банковский троян, который обнаружен компанией ThreatFabric. В отличие от других существующих троянов, Crocodilus обладает современными методами, включая удаленное управление, наложение черного экрана и сбор данных с помощью логирования доступности. Он является полноценной угрозой и способствует краже учетных данных жертв.
Описание
Crocodilus устанавливается с помощью фирменного дроппера, который обходит ограничения версий Android 13+. После установки вредоносная программа запрашивает включение службы доступности и подключается к командно-контрольному серверу для получения инструкций. Он отслеживает запуск приложений и использует оверлеи для перехвата учетных данных.
Основные цели атак Crocodilus в настоящее время находятся в Испании и Турции, а также в криптовалютных кошельках. Банковский троян позволяет злоумышленникам получить контроль над устройством жертвы и осуществлять мошеннические операции, используя украденные личные данные и учетные данные.
Одной из особенностей Crocodilus является его способность делать удаленный доступ "скрытым" - через отображение черного экрана, чтобы действия вредоносной программы оставались незамеченными. Он также записывает все события, связанные с доступностью, и фиксирует все элементы, отображаемые на экране, включая OTP-коды из приложения Google Authenticator.
Анализ исходного кода Crocodilus также выявил отладочные сообщения, оставленные на турецком языке, что может указывать на связи с известным злоумышленником "sybra". Однако точные связи до сих пор не установлены.
Обнаружение Crocodilus подчеркивает растущую угрозу в виде мобильных банковских троянов и демонстрирует их способность обманывать пользователей и захватывать их личные данные. В свете этих угроз, пользователям Android-устройств рекомендуется принять меры предосторожности, такие как установка только доверенных приложений и обновление операционной системы до последней версии, чтобы минимизировать риск заражения троянами, такими как Crocodilus.
Indicators of Compromise
Domains
- register-buzzy.store
SHA256
- c5e3edafdfda1ca0f0554802bbe32a8b09e8cc48161ed275b8fec6d74208171f
