Команда zLabs провела исследование, выявив 17 новых троянцев-дропперов и 21 образец банковского троянца Crocodilus, а также обнаружив 6 новых C&C-серверов. Особое внимание привлек вредоносный вариант, использующий нативный код для загрузки и выполнения вредной нагрузки.
Описание
Crocodilus - вредоносная программа, захватывающая устройства и позволяющая злоумышленникам совершать мошеннические действия. Она использует различные техники, включая захват устройства, злоупотребление accessibility service, скрытные операции и перехват одноразовых паролей.
Оригинальная кампания Crocodilus опирается на доступность и накладные атаки для мошеннических действий с банковскими приложениями. Схема работы схожа с образцами Banker, извлеченными из новых дропперов, где скрытая полезная нагрузка устанавливается и привилегии повышаются через злоупотребление Accessibility. Вариант нативного кода Pragma был обнаружен при анализе четырех Banker APK, где нативная библиотека загружает и расшифровывает зашифрованные данные для вредоносных процедур.
Ключи шифрования в нативных библиотеках отличаются в каждом образце, что свидетельствует о возможности генерации уникальных сборок для разных кампаний. В нативном коде также обнаружена строка Pragma Project, указывающая на возможное внутреннее кодовое имя или группу вариантов. Использование нативного кода для расшифровки и загрузки файлов DEX для выполнения вредных операций отмечает значительную эволюцию в обфускации и скрытности вредоносных программ.
Индикаторы компрометации
