В даркнете появился новый солдат - Gustuff - новый Android-троян, предназначенный для кражи средств из более чем 125 криптовалютных и банковских приложений.
Gustuff существует с апреля 2018 года и поддерживает Anubis, Red Alert и BankBot как одну из самых смертоносных угроз финансовому пространству. Группа по кибербезопасности Group-IB предполагает, что Gustuff может раскрыть учетные данные для входа в систему и автоматизировать транзакции для различных банковских и криптографических приложений, включая Capital One, Wells Fargo, PNC Bank, Coinbase и Bitcoin Wallet. Известно также, что вредоносное ПО нацеливается на учетные данные других приложений - платежей и обмена сообщениями, включая Western Union, PayPal, Walmart и Skype.
Gustuff хочет получить ваши деньги и крипто
Gustuff работает преимущественно, принимая на себя службу доступности Android. Используя функции, разработанные для людей с ограниченными возможностями, сервис может касаться элементов экрана и автоматизировать взаимодействие пользователей.
Рустам Миркасымов, руководитель отдела динамического анализа вредоносных программ в Group-IB, говорит, что такое поведение неудивительно для большинства троянов, но у Gustuff есть черта, которая, по-видимому, делает его более опасным:
Трояны, которые используют сервис доступности, не редкость. Уникальная особенность Gustuff заключается в том, что он выполняет ATS с помощью службы специальных возможностей. Тот факт, что Gustuff использует ATS, делает его еще более продвинутым, чем Anubis и RedAlert.
ATS означает «автоматический трансфер». Транзакции происходят через зараженные компьютеры при использовании ATS, что означает, что Gustuff не нужно находить учетные данные для входа, которые он затем мог бы использовать для кражи средств. Но вместо этого троян просто заражает компьютер или мобильное устройство и самостоятельно вводит учетные данные, позволяя осуществлять финансовые переводы.
Gustuff может якобы отключить функцию безопасности Google Play Protect и показывать «настраиваемые push-уведомления», которые изображают из себя определенные приложения, которые могут украсть информацию для входа. Он может собирать данные из документов, видео и фотографий, и, как сообщается, способен сбрасывать электронные устройства до их исходных заводских настроек, чтобы скрыть свое присутствие.
Хорошая новость заключается в том, что популярность Gustuff не увеличилась, так как его пока не загружали в приложения в магазине Google Play. На данный момент Group-IB сообщает, что троян распространяется в основном через SMS-спам, в котором размещены ссылки на его установочные файлы.
Кража крипто
Независимо от того, что мы хотели бы думать, мир криптовалюты по-прежнему наполнен людьми и продуктами, которые имеют злонамеренные цели. Потенциальные взломы криптовалютных бирж, такие как CoinBene и DragonEx в последние дни, предполагают, что безопасность и конфиденциальность в мире цифровых валют не совсем такие, какими они должны быть, но аналитики говорят, что есть способы, чтобы оставаться защищенными.
Group-IB прокомментировала, что если пользователи хотят избегать троянов, таких как Gustuff, они должны ограничивать свои загрузки приложений файлами, доступными только в Google Play, поскольку Gustuff не может обойти проверки безопасности Google.
Пользователи никогда не должны загружать приложения из сторонних магазинов и всегда должны включать режимы подписи для своих устройств. Это гарантирует, что в случае кражи учетных данных, в конечном итоге, их можно будет отследить до устройства, с которых могли производиться кражи.