MysteryBot malware combina le funzioni di banking trojan, Registratore di tasti e ransomware

Gli esperti di ThreatFabric società ha trovato un malware mobile MysteryBot, che attacca i dispositivi in esecuzione su Android 7 e 8. La nuova minaccia combina le funzioni di banking Trojan, Registratore di tasti e ransomware.

I ricercatori riferiscono che MysteryBot è sicuramente collegato con un altro malware, che è LokiBot banca Trojan, come indicato somiglianze nel codice sorgente. Inoltre, questo nuovo malware utilizza lo stesso server di controllo e gli specialisti hanno già rilevato tra le recenti campagne nocive. Non è chiaro perché gli autori del LokiBot interruttore per lo sviluppo di un nuovo malware. Forse la perdita di LokiBot codice sorgente, che si è verificato un paio di mesi fa, è stato il motivo per farlo. Dopo un incidente, diversi gruppi di hacker, ha iniziato a utilizzare questo Trojan.

Specialisti di scrivere che MysteryBot è molto diversa dal suo predecessore, nonché concorrenti banchieri per Android (per esempio, ExoBot 2.5, Anubis II, DiseaseBot, CryEye). Secondo ThreatFabric dati, MysteryBot è il primo Trojan bancario con possibilità di visualizzare correttamente le sovrapposizioni su Android 7 e 8.

Le sovrapposizioni sono stati a lungo utilizzato da scrittori di virus e li aiutano a mostrare falsi pagine di login o di moduli di input al di sopra di altre applicazioni legittime di windows. Ma dopo il rilascio di Android 7 e 8, i criminali informatici avuto alcuni problemi, come i tecnici di Google aggiunti nuovi meccanismi di protezione per il loro OS. Dopo di che, gli sviluppatori di malware non poteva fare sovrapposizioni di essere visualizzato sullo schermo del dispositivo infetto nel tempo, hanno perso la possibilità di tenere traccia di quando la vittima si esegue un'applicazione sul proprio dispositivo.

Secondo ThreatFabric indagine, gli autori di MysteryBot risolto questo problema. Usano la PACKAGE_USAGE_STATS i permessi per visualizzare sovrapposizioni di tempo. In modo Android visualizza le statistiche di utilizzo di questa applicazione e hacker indirettamente ottenere altre informazioni sull'applicazione.

La caratteristica unica di Registratore di tasti

Questo malware è dotata anche della funzione di Registratore di tasti, piuttosto insolita. Quando l'utente digita il testo sulla tastiera su schermo, MysteryBot non prendere screenshot per ogni lettera, ma si basa sulla registrazione di touch. Malware registra l'immagine di gesti multi-touch, la confronta con la tastiera dello schermo della vittima e sulla base di questa informazione, si arriva a conclusioni in merito al testo digitato.

MysteryBot e la sua imperfetta estorsione modulo

MysteryBot è dotato di estorsione funzionalità che è ovviamente derivato dal LokiBot. I ricercatori dicono che il malware è in grado di bloccare i file dell'utente su depositi esterni. In questo caso, non crittografare i file stessi, ma li pone in separata archivi ZIP, ognuno dei quali è protetto da password.

Secondo gli esperti punto di vista, l'estorsione modulo non è abbastanza efficace, per esempio, la lunghezza di archivi password è uguale a 8 caratteri, che è, e sono anche abbastanza facili da decifrare. Inoltre, la password e l'ID univoco per ogni vittima sono inviati a Myster_L0cker pannello di controllo remoto. Tuttavia, l'ID è solo un numero da 0 a 9999, e prima di inviare, non c'è la verifica dell'esistente ID più. Che è, la password di alcune vittime possono essere facilmente sovrascritti da nuovi vittime non appena l'ID è sincronizzato con il MysteryBot backend.

MysteryBot è travestito da Flash Player per Android

Secondo gli analisti di ThreatFabric, non c'è nessuna campagna di distribuzione di MysteryBot di sicurezza, e il malware è ancora in fase di sviluppo. Tuttavia, gli esperti ritengono che i metodi di distribuzione, sarà lo stesso di quelli precedenti di LokiBot: SMS di spam e phishing.

Gli esperti ricordano che è meglio scaricare le applicazioni solo da ufficiale di Google Play Store, e l'utente dovrebbe anche essere sospettosi di prodotti che la richiesta di autorizzazione per utilizzare il servizio di Accessibilità.