01/11/24
FakeCall использует вишинг — вид фишинговой атаки, при которой мошенники звонят жертве и обманом заставляют предоставить конфиденциальные данные. Вирус позволяет злоумышленникам получить доступ к личной информации пользователей, включая учетные данные, номера кредитных карт и банковскую информацию, пишет Securitylab.
FakeCall использует поддельные звонки и интерфейс, который выглядит как стандартное приложение для звонков на Android. Жертва может подумать, что звонит в банк или другую организацию, но на самом деле разговор перенаправляется на номер, контролируемый злоумышленниками. При этом интерфейс поддельного приложения маскируется под привычный интерфейс, что помогает скрыть факт подмены.
После загрузки с помощью APK на устройство, вирус загружает вредоносные данные с C2-сервера, что позволяет атакующим перехватывать исходящие и входящие звонки. Вирус также активно использует командный сервер для выполнения различных действий на устройстве, в том числе отправки и удаления сообщений, получение доступа к контактам и журналам вызовов, а также записи разговоров.
Атака начинается с загрузки файла, который выполняет роль дроппера и внедряет вирус второго этапа. Затем FakeCall связывается с C2-сервером, что позволяет выполнять команды, полученные от злоумышленников. Основные функции вируса включают:
- Переадресация звонков: Вирус перехватывает вызовы, перенаправляя их на номера мошенников.
- Удаленный доступ: Злоумышленники могут управлять интерфейсом устройства, включая нажатия кнопок, прокрутку экрана и переходы между приложениями.
- Удаление сообщений и приложений: Возможность удалять сообщения и приложения с устройства, а также получать доступ к информации о звонках, местоположению и контактам.
Новые версии FakeCall включают несколько усовершенствований. Вирус использует такие функции, как мониторинг состояния Bluetooth и экрана, а также добавляет службу доступности, что предоставляет вредоносному ПО доступ к пользовательскому интерфейсу устройства и позволяет получать информацию о действиях пользователя. Также среди функций появилась возможность скрытого автоматического предоставления разрешений и контроля над системными функциями устройства.
В новых версиях вируса также добавлены команды для отключения Bluetooth, получения списка миниатюр фотографий и управления основными функциями устройства, такими как симуляция нажатия кнопки «Домой» и управления доступом к устройству через экран блокировки.
FakeCall находится в стадии активной разработки, и его операторы работают над тем, чтобы сделать его более скрытным и опасным банковским трояном. Zimperium опубликовал список индикаторов компрометации (IoC), включая имена пакетов приложений и контрольные суммы APK.
