28 марта 2019

Мобильный троян Gustuff угрожает клиентам международных банков, криптосервисам и маркетплейсам

Group-IB, международная компания, специализирующаяся на предотвращении киберугроз, фиксирует активность мобильного Android-трояна Gustuff. Среди его целей — клиенты международных банков, пользователи мобильных криптокошельков, а также крупных e‑commerce ресурсов. Gustuff — «представитель» нового поколения вредоносных программ с полностью автоматизированными функциями, нацеленными, в том числе, на вывод фиатных денег и криптовалюты со счетов пользователей. Троян использует Accessibility Service — сервис для людей с ограниченными возможностями.

Анализ сэмпла Gustuff показал, что потенциально троян нацелен на клиентов, использующих мобильные приложения крупнейших банков, таких как: Bank of America, Bank of Scotland, J.P.Morgan, Wells Fargo, Capital One, TD Bank, PNC Bank, а также на криптокошельки Bitcoin Wallet, BitPay, Cryptopay, Coinbase и др. На данный момент, специалистам Group-IB известно, что среди целей Gustuff’а пользователи 32 приложений для хранения криптовалют и клиенты более 100 банков, среди которых 27 — в США, 16 — в Польше, 10 — в Австралии, 9 — в Германии и 8 — Индии.

Изначально созданный, как классический банковский троян, в текущей версии Gustuff значительно расширил список потенциальных объектов для атаки. Помимо Android-приложений банков, финтех-компаний и криптосервисов, Gustuff нацелен на пользователей приложений маркетплейсов, онлайн-магазинов, платежных систем и мессенджеров. В частности, PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut, и других.

 

Как работает Gustuff

Для Gustuff характерен «классический» вектор проникновения на Android-смартфоны через СМС-рассылки со ссылками на APK (Android Package), формат архивных исполняемых файлов-приложений для Android). При заражении Android-устройства трояном, по команде сервера может произойти дальнейшее распространение Gustuff’а по базе контактов инфицированного телефона, либо по базе данных сервера. Функциональные возможности Gustuff рассчитаны на массовое заражение и максимальную капитализацию бизнеса своих операторов — в нем присутствует уникальная функция «автозалива» в легитимные мобильные банковские приложения и криптокошельки, что позволяет ускорить и масштабировать кражу денег.

Исследование трояна показало, что функция автозалива реализована в нем при помощи Accessibility Service — сервиса для людей с ограниченными возможностями. Gustuff — не первый троян, который успешно обходит защиту от взаимодействия с другими окнами с помощью данного сервиса Android. Однако использование Accessibility Service для реализации функции автозалива остается до сих пор достаточно редким явлением.

После загрузки на телефон жертвы Gustuff, используя Accessibility Service, получает возможность взаимодействовать с элементами окон других приложений (банковских, криптовалютных, а также приложений для онлайн-шоппинга, обмена сообщениями и др.), выполняя необходимые для злоумышленников действия. К примеру, по команде сервера троян может нажимать на кнопки и изменять значения текстовых полей в банковских приложениях. Использование механизма Accessibility Service позволяет трояну обходить механизмы защиты, используемые банками для противодействия мобильным троянам прошлого поколения, а также изменения в политике безопасности, внедренные Google в новые версии ОС Android. Так, Gustuff «умеет» отключать защиту Google Protect: по заверениям автора, данная функция срабатывает в 70% случаев.

Также Gustuff может демонстрировать фейковые PUSH-уведомления с иконками легитимных мобильных приложений. Пользователь кликает на PUSH-уведомление и видит загруженное с сервера фишинговое окно, куда сам вводит запрашиваемые данные банковской карты или криптокошелька. В другом сценарии работы Gustuff происходит открытие приложения, от имени которого демонстрировалось PUSH-уведомление. В этом случае вредоносная программа по команде сервера через Accessibility Service может заполнять поля формы банковского приложения для мошеннической транзакции.

В функциональные возможности Gustuff также входят отправка на сервер информации о заражённом устройстве, возможность чтения/отправления СМС-сообщений, отправление USSD-запросов, запуск SOCKS5 Proxy, переход по ссылке, отправление файлов (в том числе фотосканы документов, скриншоты, фотографии) на сервер, сброс устройства до заводских настроек.

В целях защиты своих клиентов от угрозы мобильных троянов компании должны использовать комплексные решения, которые позволяют без установки дополнительного программного обеспечения на устройства пользователей, отслеживать и предупреждать вредоносную активность. Для этого сигнатурные методы обнаружения мобильных троянов необходимо усиливать технологиями анализа поведения как клиента, так и самого приложения. Так же защита должна включать в себя функцию идентификации устройств с использованием технологии цифрового отпечатка, что позволит понять, когда учётная запись используется с нетипичного устройства и уже попала в руки мошенника. Принципиально важный момент — наличие возможности кросс-канального анализа, что дает возможность компаниям контролировать риски, возникающие на стороне не только интернет-, но и мобильного канала, например, в приложениях для мобильного банкинга, для операций с криптовалютами и любых других, где может осуществляться финансовая транзакция.

Павел Крылов

Павел Крылов

Руководитель по развитию продуктов направления Secure Bank и Secure Portal

Вне зоны .РУ

Автором мобильного трояна является русскоязычный киберпреступник, при этом Gustuff «работает» исключительно на международных рынках.

Новые Android-трояны, в том числе Gustuff, предлагаемые на хакерских форумах, ориентированы, прежде всего, на использование за пределами России и нацелены на международные объекты. В России после задержания владельцев крупнейших Android-ботсетей, количество ежедневных хищений снизилось в три раза, активность троянов сильно упала, их авторы переключились на международный рынок. Однако некоторые злоумышленники „патчат“ (модифицируют) приложения и продают трояны для последующих атак на пользователей в России.

Рустам Миркасымов

Рустам Миркасымов

Руководитель отдела динамического анализа вредоносного кода, эксперт по киберразведке Group-IB

Впервые система киберразведки Threat Intelligence Group-IB обнаружила Gustuff на хакерских форумах в апреле 2018 года. По словам разработчика, скрывающегося под ником Bestoffer, Gustuff стал новой улучшенной версией вредоносной программы AndyBot, которая с ноября 2017 года атакует телефоны с ОС Android, для кражи денег используя фишинговые веб-формы, маскирующиеся под мобильные приложения известных международных банков и платежных систем. Gustuff — «серьезный продукт для людей со знаниями и опытом», рекламировал создатель свой троян. Цена аренды «Gustuff Bot» составляла $800 в месяц. Клиенты Group-IB Group-IB Threat Intelligence (киберразведка) были оперативно предупреждены об активности Gustuff. Команда аналитиков компании продолжает изучение трояна.

Group-IB — один из ведущих разработчиков решений для детектирования и предотвращения кибератак, выявления мошенничества, расследования высокотехнологичных преступлений и защиты интеллектуальной собственности в сети со штаб-квартирой в Сингапуре. Центры исследования киберугроз компании находятся на Ближнем Востоке (Дубай), в Азиатско-Тихоокеанском регионе (Сингапур), в Европе (Амстердам) и в России (Москва).

Система сбора данных о киберугрозах Group-IB Threat Intelligence & Attribution признана одной из лучших в мире по версии Gartner, Forrester, и IDC. Решение Group-IB Threat Hunting Framework (ранее — TDS) для проактивного поиска и защиты от сложных и неизвестных киберугроз получило признание ведущего европейского аналитического агентства KuppingerCole Analysts AG, а компания Group-IB вошла в число лидеров рынка в категориях «Product Leader» и «Innovation Leader». Технологии Group-IB по защите от онлайн-мошенничества в интернет-банкинге и сервисах электронной коммерции Fraud Hunting Platform получили признание Gartner, агентство присвоило Group-IB статус надежного поставщика в категории «Решения по выявлению онлайн-мошенничества». Решение Digital Risk Protection для выявления и устранения цифровых рисков, а также противодействия атакам с неправомерным использованием бренда получило престижную премию Innovation Excellence от глобального консалтингового агентства Frost & Sullivan.

В основе технологического лидерства компании и ее возможностей в сфере научных исследований и разработки — 18-летний практический опыт расследования киберпреступлений по всему миру и более 65 000 часов реагирования на инциденты информационной безопасности, аккумулированные в одной из крупнейших лабораторий компьютерной криминалистики, департаменте расследований и круглосуточном центре оперативного реагирования CERT-GIB.

Компания является резидентом «Сколково» и Иннополиса. Group-IB — партнер Europol.

Опыт Group-IB в поиске угроз и киберразведке был интегрирован в спектр решений, объединивший чрезвычайно сложное программное и системное обеспечение, с целью мониторинга, обнаружения и предотвращения кибератак.

Миссия Group-IB — защищать наших клиентов в киберпространстве, создавая и используя инновационные продукты и решения.

>

Сообщить об инциденте

Центр круглосуточного реагирования на инциденты
информационной безопасности +7 495 984-33-64

Отправляя форму, даю согласие на обработку своих персональных данных в соответствии с Федеральным законом «О персональных данных» от 27.07.2006 № 152-ФЗ
Спасибо, мы свяжемся с Вами в самое ближайшее время
Сообщить об инциденте