ERMAC V3.0 Banktrojan

Cybersikkerhedsforskere har dissekeret ERMAC 3.0, den seneste version af en Android-banktrojan, og afsløret både avancerede funktioner og kritiske svagheder i operatørernes infrastruktur. Denne malware repræsenterer et bemærkelsesværdigt skridt fremad inden for mobilbanktrusler og er rettet mod en bred vifte af finansielle og digitale platforme.

Fra Cerberus til ERMAC 3.0: En ondsindet udvikling

ERMAC, der først blev dokumenteret i september 2021, har sine rødder i de berygtede Cerberus- og BlackRock-familier. Malwaren tilskrives en trusselsaktør kendt som DukeEugene og har støt udviklet sig fra tidlige overlay-angreb til en sofistikeret malware-as-a-service (MaaS)-operation.

ERMAC 3.0 truer nu over 700 applikationer, der spænder over bank-, shopping- og kryptovalutatjenester. Andre malware-stammer, såsom Hook (ERMAC 2.0), Pegasus og Loot, deler slægtskab med ERMAC, idet de låner og ændrer kodekomponenter, der er blevet videregivet gennem successive versioner.

Dissektion af malware-værktøjskassen

Forskere afdækkede den komplette kildekode til ERMAC 3.0 og afslørede dermed dens modulære struktur. Værktøjssættet består af flere sammenkoblede komponenter, der hver især spiller en afgørende rolle i at udføre store cyberkriminalitetskampagner:

Backend C2-server – Gør det muligt for angribere at administrere inficerede enheder, hente SMS-logfiler, stjålne legitimationsoplysninger og enhedsdata.

Frontend-panel – Giver en operatørgrænseflade til at udstede kommandoer, implementere overlays og se kompromitterede oplysninger.

Exfiltration Server – En Golang-drevet server dedikeret til datatyveri og administration af kompromitterede enheder.

ERMAC-bagdør – Et Kotlin-baseret Android-implantat, der er i stand til fjernbetjening, dataindsamling og undvigelse af enheder placeret i SNG-lande.

ERMAC Builder – Et konfigurationsværktøj, der automatiserer oprettelsen af ondsindede APK'er ved at tilpasse serverdetaljer og bagdørsparametre.

Nye funktioner i ERMAC 3.0

Tredjegenerations-trojaneren introducerer adskillige opgraderinger i forhold til sine forgængere. Disse omfatter:

• Udvidede formularindsprøjtningsteknikker til tyveri af legitimationsoplysninger.
• Et nydesignet kommando-og-kontrolpanel (C2) for strømlinet drift.
• En ny Android-bagdør med forbedrede funktioner til enhedsmanipulation.

• Sikker kommunikation via AES-CBC-kryptering.

Sprækker i den kriminelle infrastruktur

Trods sine forbedrede funktioner lider ERMAC 3.0 af alvorlige operationelle fejltrin. Forskere har afdækket fejl, herunder en hardcoded JWT-hemmelighed, et statisk admin-bærertoken, standard root-legitimationsoplysninger og endda ubegrænset registrering på administratorkontrolpanelet. Disse svagheder fremhæver ikke kun operatørernes dårlige sikkerhedshygiejne, men giver også værdifulde indgangspunkter for forsvarere, der søger at overvåge, opdage og forstyrre trojanerens aktivitet i virkelige kampagner.

Sikkerhed mod mobiltrusler

Afsløringen af ERMAC 3.0's indre funktioner tjener som en påmindelse om den voksende sofistikering af Android-banktrojanere. Mens cyberkriminelle fortsætter med at forfine deres værktøjer, kan deres fejl stadig udnyttes til fordel for sikkerhedsteams. For almindelige brugere er det fortsat den mest effektive forsvarslinje at opretholde årvågenhed. Installation af applikationer fra pålidelige kilder, at holde enheder opdateret med de nyeste sikkerhedsrettelser og at undgå mistænkelige links eller vedhæftede filer er alle kritiske fremgangsmåder. Ved at forblive forsigtige og proaktive kan brugerne reducere deres risiko for at blive ofre for trusler som ERMAC 3.0 betydeligt.