بازگشت بدافزار SharkBot به فروشگاه گوگل پلی، این بار با قابلیت های جدید

به گزارش کارگروه حملات سایبری سایبربان؛ نسخه جدید و ارتقاء یافته بدافزار شارک بات به فروشگاه گوگل پلی بازگشته و لاگین های بانکی کاربران اندرویدی را از طریق اپلیکیشن هایی با ده ها هزار نصب مورد هدف قرار داده است.

این بدافزار در دو اپلیکیشن اندرویدی یافته شده است که به هنگام ارائه برای بازبینی خودکار گوگل هیچ کد مخربی نداشتند! ظاهرا شارک بات پس از نصب و راه اندازی این اپلیکیشن های رها کننده و در قالب یک به روز رسانی به برنامه اضافه شده است. 

طبق گزارش فاکس آی تی این دو اپلیکیشن آلوده، “Mister Phone Cleaner” و “Kylhavy Mobile Security,” هستند که مجموعا 60 هزار نصب را به ثبت رسانده اند. 

این دو اپلیکیشن از فروشگاه گوگل پلی حذف شده اند اما افراد نصب کننده آن باید به صورت دستی نیز این اپلیکیشن ها را حذف کنند. 

تحلیلگران بدافزار شرکت کلیفی در اکتبر 2021 این بدافزار را شناسایی کردند. ان سی سی گروپ نیز اولین اپلیکیشن های حامل این بدافزار را مارس 2022 درگوگل پلی شناسایی کرد. 

شارک بات در آن زمان قادر به انجام حملات هم پوشانی، سرقت داده از طریق کی لاگینگ، مسدود سازی پیامک ها و دادن کنترل کامل دستگاه میزبان به بازیگران مخرب بود. (با سوء استفاده از سرویس های دسترسی پذیری)

محققین سرِت فابریک در می 2022 شارک بات 2 را شناسایی کردند که علاوه بر موارد بالا دارای الگوریتم تولید دامین، پروتکل ارتباطی به روز شده و یک کد کاملا باز طراحی شده است. 

محققین فاکس آی تی نسخه جدید این بدافزار (نسخه 2.25) را 22 آگوست شناسایی کردند. از جمله قابلیت های جدید اضافه شده می توان به قابلیت سرقت کوکی ها از لاگین های حساب بانکی اشاره کرد. 

لازم به ذکر است این نسخه جدید از شارک بات سرویس های دسترسی پذیری را بر خلاف نسخه های قبل، مورد سوء استفاده قرار نمی دهد. 

هنگامی که اپلیکیشن رها کننده نصب شود، بلافاصله با سرور کنترل و فرمان ارتباط برقرار می کند و درخواست فایل اپلیکیشن آلوده شارک بات را ارائه می دهد. این رها کننده سپس به کاربر هشدار می دهد که به روز رسانی قابل دسترسی است و از آن ها می خواهد که این فایل به روز رسانی را نصب و تمامی مجوز های خواسته شده را صادر کنند. 

شناسایی خودکار شارک بات کار مشکلی است چرا که این بدافزار پیکربندی های هارد کد شده خود را با استفاده از الگوریتم RC4 در حالت رمزنگاری شده بایگانی می کند. 

فاکس آی تی در حین تحقیقات، کمپین های شارک بات جدیدی را در اروپا (اسپانیا، آلمان، اتریش، لهستان) و آمریکا شناسایی کرده است.