Специалисты Group-IB предупредили об активности Android-трояна Gustuff. Среди его целей – клиенты международных банков, пользователи мобильных криптокошельков, а также крупных e-commerce ресурсов.
По информации экспертов, Gustuff — представитель нового поколения вредоносных программ с полностью автоматизированными функциями, нацеленными, в том числе, на вывод фиатных денег и криптовалюты со счетов пользователей. Троян использует Accessibility Service — сервис для людей с ограниченными возможностями.
Анализ образца Gustuff показал, что потенциально троян нацелен на клиентов, использующих мобильные приложения крупнейших банков, таких как: Bank of America, Bank of Scotland, J.P.Morgan, Wells Fargo, Capital One, TD Bank, PNC Bank, а также на криптокошельки Bitcoin Wallet, BitPay, Cryptopay, Coinbase и так далее.
На данный момент, специалистам Group-IB известно, что среди целей Gustuff’а пользователи 32 приложений для хранения криптовалют и клиенты более 100 банков, среди которых 27 — в США, 16 — в Польше, 10 — в Австралии, 9 — в Германии и 8 — Индии.
Изначально созданный, как классический банковский троян, в текущей версии Gustuff значительно расширил список потенциальных объектов для атаки. Помимо Android-приложений банков, финтех-компаний и криптосервисов, Gustuff нацелен на пользователей приложений маркетплейсов, онлайн-магазинов, платежных систем и мессенджеров. В частности, PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut, и других.
Как работает Gustuff
Для Gustuff характерен «классический» вектор проникновения на Android-смартфоны через SMS-рассылки со ссылками на APK. При заражении Android-устройства трояном, по команде сервера может произойти дальнейшее распространение Gustuff по базе контактов инфицированного устройства, либо по базе данных сервера.
Функциональные возможности Gustuff рассчитаны на массовое заражение и максимальную капитализацию бизнеса своих операторов – в нем присутствует уникальная функция «автозалива» в легитимные мобильные банковские приложения и криптокошельки, что позволяет ускорить и масштабировать кражу денег.
Исследование трояна показало, что функция автозалива реализована при помощи Accessibility Service — сервиса для людей с ограниченными возможностями. Gustuff – далеко не первая малварь, которая успешно обходит защиту от взаимодействия с другими окнами с помощью данного сервиса Android. Однако использование Accessibility Service для симуляции действий пользователя до сих пор остается достаточно редким явлением.
После загрузки на устройство жертвы Gustuff, используя Accessibility Service, получает возможность взаимодействовать с элементами окон других приложений (банковских, криптовалютных, а также приложений для онлайн-шоппинга, обмена сообщениями и так далее), выполняя необходимые для злоумышленников действия. К примеру, по команде управляющего сервера троян может нажимать на кнопки и изменять значения текстовых полей в банковских приложениях. Использование механизма Accessibility Service позволяет обходить механизмы защиты, используемые банками для противодействия мобильным троянам прошлого поколения, а также изменения в политике безопасности, внедренные Google в новые версии ОС Android. Так, Gustuff «умеет» отключать защиту Google Protect: по заверениям автора малвари, данная функция срабатывает в 70% случаев.
Также Gustuff может демонстрировать фейковые PUSH-уведомления с иконками легитимных мобильных приложений. Пользователь кликает на такое PUSH-уведомление и видит загруженное с сервера фишинговое окно, куда сам вводит запрашиваемые данные банковской карты или криптокошелька. В другом сценарии работы Gustuff происходит открытие приложения, от имени которого демонстрировалось PUSH-уведомление. В этом случае вредоносная программа по команде сервера через Accessibility Service может заполнять поля формы банковского приложения для мошеннической транзакции.
В функциональные возможности Gustuff также входят отправка на сервер информации о зараженном устройстве, возможность чтения/отправления SMS-сообщений, отправление USSD-запросов, запуск SOCKS5 Proxy, переход по ссылке, отправление файлов (в том числе фотосканы документов, скриншоты, фотографии) на сервер, сброс устройства до заводских настроек.
Вне зоны .РУ
Аналитики Group-IB сообщают, что автором трояна является русскоязычный преступник, при этом Gustuff «работает» исключительно на международных рынках.
«Новые Android-трояны, в том числе Gustuff, предлагаемые на хакерских форумах, ориентированы, прежде всего, на использование за пределами России и нацелены международные объекты, — замечает Рустам Миркасымов, руководитель отдела динамического анализа вредоносного кода Group-IB. — В России после задержания владельцев крупнейших Android-ботсетей, количество ежедневных хищений снизилось в три раза, активность троянов сильно снизилась, их авторы переключились на международный рынок. Однако некоторые злоумышленники патчат приложения и продают трояны для последующих атак на пользователей в России».
Впервые система киберразведки Threat Intelligence Group-IB обнаружила Gustuff на хакерских форумах в апреле 2018 года. По словам разработчика, скрывающегося под ником Bestoffer, Gustuf стал новой улучшенной версией малвари AndyBot, которая с ноября 2017 года атакует устройства на Android, для кражи денег используя фишинговые веб-формы, маскирующиеся под мобильные приложения известных международных банков и платежных систем. Gustuff — «серьезный продукт для людей со знаниями и опытом», гласит реклама трояна. Цена аренды Gustuff Bot составляла $800 в месяц. Сообщается, что команда аналитиков компании продолжает работать над изучением трояна.
