FlyTrap Android -haittaohjelma kaappaa tuhansia Facebook-tilejä

Uusi Android-haittaohjelma koodinimellä FlyTrap on kaapannut yli 10 000 tiliä sosiaalisessa mediassa 140 maassa maaliskuusta 2021 lähtien. Se on kohdistanut käyttäjiä sosiaalisen median kaappausten, sivulta ladattujen sovellusten ja kolmansien osapuolien sovelluskauppojen kautta. 

Oikeuslääketieteellisen tutkimuksen jälkeen Zimperiumin zLabin uhkatutkimusryhmä löysi havaitsemattomia sovelluksia mobiililaitteista Zimperiumin z9-haittaohjelmamoottorin avulla. He selvittivät, että havaitsematon haittaohjelma on osa troijalaista perhettä, joka kaappaa Facebook-tilit sosiaalisen manipuloinnin tekniikoilla.

Tutkimusryhmä löysi todisteita, jotka viittaavat Vietnamissa haitallisiin osapuoliin, jotka ovat harjoittaneet tätä sosiaalisen median kaappauskampanjaa maaliskuusta 2021 lähtien . Haittaohjelmaa jaettiin alun perin Google Play Kaupan ja kolmannen osapuolen sovellusten kautta.

zLabs ilmoitti havainnoistaan ​​Googlelle, joka vahvisti tiedot ja poisti haitalliset sovellukset Play Kaupasta. Nämä sovellukset ovat kuitenkin edelleen saatavilla kolmansien osapuolien sovelluskaupoista, mikä korostaa sovellusten sivulatauksen riskiä mobiilipäätepisteisiin ja käyttäjätietoihin, Zimperium huomauttaa .

zLabs toimitti myös kartan, joka näyttää FlyTrap-uhrien jakautumisen 144 maassa.

FlyTrap uhrien jakelukartta. (Kuva: Zimperium)

Mikä on FlyTrap Trojan?

Sovelluksiin upotettu FlyTrap-troijalainen uhkaa kohteen sosiaalista identiteettiä kaappaamalla heidän Facebook-tilinsä ruiskuttamalla haittaohjelman heidän Android-laitteisiinsa. Se kerää seuraavat käyttäjätiedot uhreista:

• Facebook tunnus
• Sähköpostiosoite
• IP-osoite
• Sijainti
• Facebook-tiliin liittyvät evästeet

Näitä kaapattuja Facebook-tilejä voidaan käyttää haittaohjelmien levittämiseen uhreilta toiselle sekä disinformaatiokampanjoiden levittämiseen kohteen maantieteellisen sijainnin avulla.

Kuinka FlyTrap-haittaohjelma toimii?

FlyTrapin takana olevat kyberrikolliset käyttävät erilaisia ​​houkuttelevia menetelmiä, kuten ilmaisia ​​Netflix-kuponkeja, Google AdWords -kuponkeja ja parhaan jalkapallojoukkueen tai -pelaajien äänestämistä. Aluksi sovellus huijasi käyttäjät luottamaan sovellukseen ja lataamaan sen. Sovelluksen lataamisen jälkeen se houkutteli käyttäjää näyttämällä eri sivuja tai pyytämällä häntä äänestämään parasta joukkuetta tai enemmän.

(Kuva: Zimperium)

Sitten se näyttää käyttäjän Facebookin laillisen kirjautumissivun ja pyytää häntä kirjautumaan sisään tililleen, jotta hän voi äänestää ja kerätä kuponkikoodin. Kun käyttäjä kirjautuu sisään ja osallistuu "väärennösäänestykseen", se näyttää väärennetyn kuponkikoodin ja viestin, jonka mukaan "kuponkikoodi on vanhentunut", kuten alla olevissa kuvakaappauksissa näkyy:

(Kuva: Zimperium)

Kun käyttäjä kirjautuu sisään Facebook-tililleen, haittaohjelma kaappaa kohde Facebook-tunnuksen, sähköpostiosoitteen, IP-osoitteen ja sijainnin JavaScript-injektion avulla haitallisen JS-koodin avulla.

Koodin kuvakaappaus, joka sisältää Command and Control Center -palvelimelle suodattavien tietojen tyypin. (Kuva: Zimperium)

Verkkoresurssien manipulointia kutsutaan cross-principal manipulaatioksi (XPM). Lisätietoja saat tästä tutkimuksesta " Empiirinen tutkimus verkkoresurssien manipuloinnista reaalimaailman mobiilisovelluksissa ". Onnistuneen Facebook-kirjautumisen jälkeen uhri aloittaa tietojen suodatusprosessin, kuten alla näkyy:

FlyTrap-tietojen suodatus käynnissä. (Kuva: Zimperium)

Komento- ja ohjauspalvelin käyttää sitten kerättyjä tietoja Facebook-kirjautumistietojen avulla. Pahinta on se, että Command and Control -palvelimen tietoturva-aukkojen vuoksi koko varastetun tiedon tietokanta voi joutua kenelle tahansa Internetissä.

Komento- ja ohjauspalvelin, joka tallentaa kaapatut istunnot. (Kuva: Zimperium)

FlyTrap Trojan Android-sovellukset

Zimperiumin zLab on julkaissut seuraavan luettelon kompromissin osoittimista FlyTrap-haittaohjelmien Android-sovelluksissa:

Kuinka suojata Android-laitettasi?

FlyTrap Trojan on vain yksi esimerkki jatkuvasti lisääntyvistä ja yleisistä tietoturvauhkista, joiden tarkoituksena on varastaa henkilökohtaisia ​​tietoja. Toinen äskettäin Android-käyttäjille kohdistettu haittaohjelma oli Joker-haittaohjelma, joka käytti myös Google Play -kauppaa laitteiden tartuttamiseen.

Zimperiumin päätepisteiden turvallisuudesta vastaava johtaja Richard Melick sanoi, että Android-käyttäjät voivat vähentää tartuntariskiä estämällä sovellusten asennuksen epäluotettavista resursseista taustalla. Tämä on saatavilla myös viimeisimmässä Android-tietoturvapäivityksessä.

Jos epäilet, että Facebook-tilisi on vaarantunut, kirjaudu välittömästi ulos kaikista laitteista. Melik neuvoi myös,

"Kokonaisuudessaan kyse on siitä, että on tietoinen siitä, mitä sovellus pyytää. Jos sinun on muodostettava yhteys sosiaalisen median tileihisi saadaksesi pääsy kuponkiin tai tarjouksiin, keskeytä ja kysy miksi. Mihin sivusto/kuponkiyritys voisi nyt käyttää näitä tietoja?"

Varmistaaksesi, että Android-laitteesi on suojattu haittaohjelmilta, suosittelemme virustentorjunta-/haittaohjelmien torjuntaohjelmistoa ja VPN:ää Androidille. Voit myös hankkia VPN:n, joka tarjoaa virustorjuntaominaisuuden sekä Norton Securityn, McAfee Safe Connectin ja paljon muuta.