Новый Android-троян SharkBot крадет средства с банковских и криптовалютных счетов

[Artifact]

SharkBot инициирует денежные переводы со взломанных устройств, минуя механизмы многофакторной аутентификации.

Исследователи в области кибербезопасности из компании Cleafy рассказали о новом трояне для Android, который использует специальные возможности устройств для хищения учетных данных банковских и криптовалютных сервисов пользователей в Италии, Великобритании и США.
Вредоносная программа, получившая название SharkBot, предназначена для поражения в общей сложности 27 сервисов, включая 22 неназванных международных банка в Италии и Великобритании, а также пять приложений для работы с криптовалютой в США.
«Основная цель SharkBot — инициировать денежные переводы со взломанных устройств с помощью системы автоматических переводов, минуя механизмы многофакторной аутентификации. После успешной установки SharkBot на устройство жертвы злоумышленники могут получить доступ к конфиденциальной банковской информации, учетным данным, личной информации, текущему балансу и пр.», — пояснили эксперты.
Вредонос маскируется под медиаплеер, приложение для прямых видео трансляций или программу для восстановления данных. SharkBot неоднократно предлагает пользователям с помощью мошеннических всплывающих окон предоставить ему разрешения для доступа к конфиденциальной информации. Вредоносное ПО также способно использовать настройки доступности для проведения ATS-атак, позволяющие операторам «автоматически заполнять поля в легитимных приложениях мобильного банкинга и инициировать денежные переводы со скомпрометированных устройств на счета денежных мулов злоумышленников».
Данный подход эффективно устраняет необходимость регистрации нового устройства для выполнения мошеннических действий, а также позволяет обойти механизмы двухфакторной аутентификации, установленные банковскими приложениями.
Методы уклонения от обнаружения вредоноса включают запуск проверок эмулятора, шифрование C&C-связи с удаленным сервером и скрытие значка приложения на главном экране после установки. В официальном магазине Google Play не было обнаружено образцов вредоносного ПО, что указывает на его установку путем сторонних загрузок или с помощью схем социальной инженерии.