Analitičari malvera iz CRIL-a otkrili su novu varijantu Android bankovnog trojanca Kerber, malvera koji se pojavio na hakerskim forumima 2019. godine kao alat za finansijske prevare koji se mogao iznajmiti.
Od tada je Kerber evoluirao tako da sada dinamički mijenja komandne i kontrolne servere, a njegov sofisticirani lanac infekcije komplikuje otkrivanje i uklanjanje, upozorava se u izvještaju CRIL-a. Situaciju dodatno komplikuje i to što sajber kriminalci od septembra pojačavaju napade ovim malverom.
Nijedan antivirus nije detektovao novu verziju Kerbera. Domeni se generišu u hodu korišćenjem DGA (Domain Generation Algorithm) za promjenu komandnih i kontrolnih (C&C) servera.
Istraživači Kubla su najprije mislili da je pred njima potpuno novi malver. Ali detaljna analiza otkrila je sličnosti koda sa Kerberom, koji je prvi put identifikovan 2019. Oni su novu kampanju nazvali ЕrorFačer prema ID-u Telegram bota i identifikovali 15 uzoraka malvera povezanih sa kampanjom ЕrorFačer. Istraživači napominju da su napadi u toku, a neki C&C serveri su i dalje aktivni.
Napadači se oslanjaju na to da će korisnici napraviti grešku. Malver je maskiran u legitimne aplikacije banaka ili aplikacije za autentifikaciju ili ažuriranja i koristi ikone Gugl Plej i Hrom. Napadači koriste fišing sajtove za distribuciju ovih aplikacija.
Kerber prikuplja i napadačima šalje podatke kao što su liste aplikacija, kontakti, skrinšotovi, status uređaja i drugi podaci. Takođe može da krade SMS ili šalje poruke, snima zvuk i upućuje pozive.
Kada se identifikuje potencijalna meta (aplikacija), malver je prekriva lažnom fišing stranicom da bi prevario žrtvu da unese podatke za prijavu ili detalje o kreditnoj kartici.
Malver može da oponaša interakciju korisnika, klikove i razne pokrete za unos podataka i da se deinstalira kada napadači završe posao.
Istraživači Kybla preporučuju korisnicima Androida da aplikacije preuzimaju samo iz zvaničnih izvora, da provjere da li je Gugl Plej Protekt aktivan na uređaju, da budu oprezni sa dozvolama koje daju aplikacijama i ne otvaraju sumnjive linkove koje dobiju putem SMS-a ili mejla, prenosi "Kurir".
.webp)
