Malware Android yang baru ditemukan yang dijuluki Crocodilus Trik Pengguna untuk menyediakan frasa benih untuk dompet cryptocurrency menggunakan peringatan untuk mendukung kunci untuk menghindari kehilangan akses.
Meskipun Crocodilus adalah malware perbankan baru, ia memiliki kemampuan yang dikembangkan sepenuhnya untuk mengendalikan perangkat, memanen data, dan remote control.
Para peneliti di perusahaan pencegahan penipuan, Ancaman Fabric mengatakan bahwa malware didistribusikan melalui penetes eksklusif yang memotong perlindungan keamanan Android 13 (dan kemudian).
Penetes menginstal malware tanpa memicu Play Protect sementara juga melewati pembatasan layanan aksesibilitas.
Apa yang membuat Crocodilus istimewa adalah bahwa ia mengintegrasikan rekayasa sosial untuk membuat korban memberikan akses ke frasa benih disi kripto mereka.
Ini mencapai ini melalui overlay layar yang memperingatkan pengguna untuk “mendukung kunci dompet mereka di pengaturan dalam waktu 12 jam” atau berisiko kehilangan akses ke dompet mereka.
Sumber: Ancaman Fabric
“Trik Rekayasa Sosial ini memandu korban untuk menavigasi ke frasa benih mereka (kunci dompet), yang memungkinkan crocodilus memanen teks menggunakan logger aksesibilitasnya,” ancamanfabric menjelaskan.
“Dengan informasi ini, penyerang dapat mengambil kendali penuh atas dompet dan mengurasnya sepenuhnya,” kata para peneliti.
Dalam operasi pertamanya, Crocodilus diamati menargetkan pengguna di Turki dan Spanyol, termasuk rekening bank dari kedua negara tersebut. Dilihat dari pesan debug, tampaknya malware berasal dari Turki.
Tidak jelas bagaimana infeksi awal terjadi, tetapi biasanya, korban tertipu untuk mengunduh Droppers Melalui situs jahat, promosi palsu di media sosial atau SMS, dan toko aplikasi pihak ketiga.
Saat diluncurkan, Crocodilus mendapatkan akses ke layanan aksesibilitas, biasanya disediakan untuk membantu para penyandang cacat, untuk membuka kunci akses ke konten layar, melakukan gerakan navigasi, dan memantau peluncuran aplikasi.
Sumber: Ancaman Fabric
Ketika korban membuka aplikasi perbankan atau cryptocurrency yang ditargetkan, Crocodilus memuat overlay palsu di atas aplikasi nyata untuk mencegat kredensial akun korban.
Komponen bot dari malware mendukung satu set 23 perintah yang dapat dijalankan pada perangkat, termasuk:
- Aktifkan Penerusan Panggilan
- Luncurkan aplikasi tertentu
- Posting pemberitahuan push
- Kirim SMS ke semua kontak atau nomor yang ditentukan
- Dapatkan pesan SMS
- Meminta hak admin perangkat
- Aktifkan overlay hitam
- Aktifkan/Nonaktifkan Suara
- Layar kunci
- Jadikan dirinya Manajer SMS default
Malware ini juga menawarkan fungsionalitas Trojan (tikus) jarak jauh, yang memungkinkan operatornya untuk mengetuk layar, menavigasi antarmuka pengguna, melakukan gerakan gesek, dan banyak lagi.
Ada juga perintah tikus khusus untuk mengambil tangkapan layar dari aplikasi Google Authenticator dan menangkap kode kata sandi satu kali yang digunakan untuk perlindungan akun otentikasi dua faktor.
Saat menjalankan tindakan ini, operator crocodilus dapat mengaktifkan overlay layar hitam dan membisukan perangkat untuk menyembunyikan aktivitas dari korban dan membuatnya tampak seolah -olah perangkat dikunci.
Meskipun Crocodilus tampaknya memiliki penargetan spesifik terbatas pada Spanyol dan Turki sekarang, malware dapat segera memperluas operasi, menambahkan lebih banyak aplikasi ke daftar targetnya.
Pengguna Android disarankan untuk menghindari mengunduh APK dari luar Google Play dan untuk memastikan bahwa Play Protect selalu aktif di perangkat mereka.
