Group-IB, международная компания, специализирующаяся на предотвращении киберугроз, фиксирует активность мобильного Android-трояна Gustuff. Среди его целей клиенты международных банков, пользователи мобильных криптокошельков, а также крупных e‑commerce ресурсов. Gustuff «представитель» нового поколения вредоносных программ с полностью автоматизированными функциями, нацеленными, в том числе, на вывод фиатных денег и криптовалюты со счетов пользователей. Троян использует Accessibility Service сервис для людей с ограниченными возможностями.
Анализ сэмпла Gustuff показал, что потенциально троян нацелен на клиентов, использующих мобильные приложения крупнейших банков, таких как: Bank of America, Bank of Scotland, J.P.Morgan, Wells Fargo, Capital One, TD Bank, PNC Bank, а также на криптокошельки Bitcoin Wallet, BitPay, Cryptopay, Coinbase и др. На данный момент, специалистам Group-IB известно, что среди целей Gustuff’а пользователи 32 приложений для хранения криптовалют и клиенты более 100 банков, среди которых 27 в США, 16 в Польше, 10 в Австралии, 9 в Германии и 8 Индии.
Изначально созданный, как классический банковский троян, в текущей версии Gustuff значительно расширил список потенциальных объектов для атаки. Помимо Android-приложений банков, финтех-компаний и криптосервисов, Gustuff нацелен на пользователей приложений маркетплейсов, онлайн-магазинов, платежных систем и мессенджеров. В частности, PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut, и других.
Как работает Gustuff
Для Gustuff характерен «классический» вектор проникновения на Android-смартфоны через СМС-рассылки со ссылками на APK (Android Package), формат архивных исполняемых файлов-приложений для Android). При заражении Android-устройства трояном, по команде сервера может произойти дальнейшее распространение Gustuff’а по базе контактов инфицированного телефона, либо по базе данных сервера. Функциональные возможности Gustuff рассчитаны на массовое заражение и максимальную капитализацию бизнеса своих операторов в нем присутствует уникальная функция «автозалива» в легитимные мобильные банковские приложения и криптокошельки, что позволяет ускорить и масштабировать кражу денег.
Исследование трояна показало, что функция автозалива реализована в нем при помощи Accessibility Service сервиса для людей с ограниченными возможностями. Gustuff не первый троян, который успешно обходит защиту от взаимодействия с другими окнами с помощью данного сервиса Android. Однако использование Accessibility Service для реализации функции автозалива остается до сих пор достаточно редким явлением.
После загрузки на телефон жертвы Gustuff, используя Accessibility Service, получает возможность взаимодействовать с элементами окон других приложений (банковских, криптовалютных, а также приложений для онлайн-шоппинга, обмена сообщениями и др.), выполняя необходимые для злоумышленников действия. К примеру, по команде сервера троян может нажимать на кнопки и изменять значения текстовых полей в банковских приложениях. Использование механизма Accessibility Service позволяет трояну обходить механизмы защиты, используемые банками для противодействия мобильным троянам прошлого поколения, а также изменения в политике безопасности, внедренные Google в новые версии ОС Android. Так, Gustuff «умеет» отключать защиту Google Protect: по заверениям автора, данная функция срабатывает в 70% случаев.
Также Gustuff может демонстрировать фейковые PUSH-уведомления с иконками легитимных мобильных приложений. Пользователь кликает на PUSH-уведомление и видит загруженное с сервера фишинговое окно, куда сам вводит запрашиваемые данные банковской карты или криптокошелька. В другом сценарии работы Gustuff происходит открытие приложения, от имени которого демонстрировалось PUSH-уведомление. В этом случае вредоносная программа по команде сервера через Accessibility Service может заполнять поля формы банковского приложения для мошеннической транзакции.
В функциональные возможности Gustuff также входят отправка на сервер информации о заражённом устройстве, возможность чтения/отправления СМС-сообщений, отправление USSD-запросов, запуск SOCKS5 Proxy, переход по ссылке, отправление файлов (в том числе фотосканы документов, скриншоты, фотографии) на сервер, сброс устройства до заводских настроек.
Руководитель по развитию продуктов направления Secure Bank и Secure Portal
Вне зоны .РУ
Автором мобильного трояна является русскоязычный киберпреступник, при этом Gustuff «работает» исключительно на международных рынках.
Руководитель отдела динамического анализа вредоносного кода, эксперт по киберразведке Group-IB
Впервые система киберразведки Threat Intelligence Group-IB обнаружила Gustuff на хакерских форумах в апреле 2018 года. По словам разработчика, скрывающегося под ником Bestoffer, Gustuff стал новой улучшенной версией вредоносной программы AndyBot, которая с ноября 2017 года атакует телефоны с ОС Android, для кражи денег используя фишинговые веб-формы, маскирующиеся под мобильные приложения известных международных банков и платежных систем. Gustuff «серьезный продукт для людей со знаниями и опытом», рекламировал создатель свой троян. Цена аренды «Gustuff Bot» составляла $800 в месяц. Клиенты Group-IB Group-IB Threat Intelligence (киберразведка) были оперативно предупреждены об активности Gustuff. Команда аналитиков компании продолжает изучение трояна.