Albiriox MaaS kártevő

Egy újonnan felmerült Android-fenyegetés, az Albiriox, az eszközökön elkövetett csalások legújabb fejleményét képviseli. Szolgáltatásként nyújtott kártevő modellként hirdetik, és kiterjedt eszközkészletet biztosít az áldozatok eszközeinek távoli vezérléséhez, automatizált visszaéléséhez és lopakodó manipulálásához.

Egy csalásra létrehozott, kereskedelmi forgalomba hozott fenyegetés

Az Albirioxot teljes funkcionalitású MaaS ajánlatként forgalmazzák, amely az eszközön belüli csalás (ODF), a valós idejű eszközinterakció és a zökkenőmentes képernyőmanipuláció támogatására szolgál. A korai aktivitás arra utal, hogy az üzemeltetők kezdetben egy korlátozott toborzási fázist folytattak 2025 szeptemberének végén, mielőtt áttértek volna a szélesebb körű kereskedelmi bevezetésre. A fórumbeszélgetésekhez, a nyelvhasználathoz és a támogató infrastruktúrához kapcsolódó mutatók arra utalnak, hogy orosz anyanyelvű kiberbűnözők állnak a projekt élén.

A fejlesztők egy egyedi készítőt is biztosítanak, amely állítólag integrálódik a Golden Crypt titkosítási szolgáltatással, lehetővé téve az ügyfelek számára, hogy megkerüljék a víruskereső eszközöket és a mobil biztonsági védelmet.

Széles körű alkalmazási környezet megcélzása

A rosszindulatú program több mint 400 célzott alkalmazást tartalmazó, fixen kódolt listát tartalmaz. Ezek számos érzékeny kategóriát ölelnek fel, beleértve a banki szektort, a fintech szektort, a kriptotőzsdéket, a fizetésfeldolgozókat, a digitális pénztárcákat és az online kereskedési platformokat. Ez a széles körű célzási megközelítés összhangban van a hitelesítő adatok megszerzésére, csalárd tranzakciók kezdeményezésére és a pénzügyi alkalmazásokhoz való titkos hozzáférés fenntartására irányuló céljával.

Titkos telepítés szociális manipulációval

A terjesztés nagymértékben támaszkodik a megtévesztő csalikra, amelyek célja, hogy a felhasználókat álcázott dropperek telepítésére csapják be. A támadók a pszichológiai manipulációt célzó témákat csomagolási és obfuszkálási technikákkal párosítják, hogy megkerüljék a statikus elemző eszközöket. Az egyik, osztrák felhasználókra irányuló kampány német nyelvű SMS-üzeneteket és rövidített URL-eket használt, amelyek hamis Google Play Áruház-oldalakra vezettek olyan alkalmazásokhoz, mint a „PENNY Angebote & Coupons”.

Az áldozatok, akik a hamis „Telepítés” gombot választották, tudtukon kívül letöltöttek egy dropper APK-t. Az indítás után az alkalmazás engedélyt kért további szoftverek telepítésére, úgy téve, mintha egy rutinszerű frissítést indítana el. Ez a művelet elindította az Albiriox fő hasznos adatcsomagjának telepítését.

Egy kapcsolódó kampány egy csaló, PENNY témájú weboldalra irányította át a potenciális áldozatokat, ahol telefonszámuk megadására kérték őket, hogy megkapják a WhatsApp letöltési linket. Csak osztrák számokat fogadtak el, és minden beküldött üzenetet egy, az üzemeltetők által irányított Telegram botnak küldtek.

Távirányító és rejtett működés

Aktiválás után az Albiriox egy titkosítatlan TCP-socketen keresztül kommunikál a Command-and-Control szerverével. Ez lehetővé teszi a fenyegetések felderítői számára, hogy teljes körű távoli interakcióhoz használt parancsokat küldjenek. A főbb képességek a következők:

• VNC-alapú eszközvezérlés, amelyet egy további távoli hozzáférési modul támogat
• Érzékeny adatok igény szerinti kinyerése
• Fekete vagy üres képernyő telepítése a rosszindulatú tevékenységek elfedésére
• Távoli hangerőszabályozás a működési rejtettség fenntartása érdekében

Az egyik változat az Android akadálymentesítési szolgáltatásait használja az összes felületelem megjelenítéséhez a kezelők számára. Ez a technika kifejezetten az Android FLAG_SECURE funkciójának korlátozásainak megkerülésére szolgál, amely számos pénzügyi alkalmazásban megakadályozza a képernyőképek és képernyőfelvételek készítését.

Csalás elleni védelem megkerülése az interfészen

Az akadálymentesítésen alapuló streamelési mechanizmus csomópont-szintű reprezentációt biztosít a támadóknak az eszköz felületéről. Mivel elkerüli a hagyományos képernyőrögzítési technikákat, nem aktiválja a banki és kriptovaluta-alkalmazások által alkalmazott beépített védelmeket. Ennek eredményeként a támadók állandó, korlátlan láthatóságot kapnak az érzékeny képernyőkön.

Átfedésben lévő támadások és hitelesítő adatok gyűjtögetése

Más Androidos banki trójaiakhoz hasonlóan az Albiriox is olyan támadásokat alkalmaz, amelyek a célzott alkalmazások fixen kódolt listájához kapcsolódnak. Ezek az álcák legitim bejelentkezési panelként vagy rendszerpárbeszédablakként jelennek meg, lehetővé téve a hitelesítő adatok hatékony ellopását. Ezenkívül a rosszindulatú program félrevezető képernyőket jelenít meg, például hamis frissítési kérdéseket vagy teljesen fekete kijelzőket, hogy elrejtse tevékenységeit, miközben a háttérben csalárd műveletek zajlanak.

Teljesen felszerelt ODF platform

Az Albiriox a fejlett, eszközön telepített csaláselhárító kártevők minden jellemzőjét magán viseli. A VNC-alapú távoli manipuláció, az akadálymentesítésen alapuló automatizálási munkafolyamatok, a célzott átfedések és a dinamikus adatgyűjtési technikák kombinációja lehetővé teszi a támadók számára, hogy megkerüljék a hitelesítési ellenőrzéseket és átugorják a hagyományos csalásészlelési mechanizmusokat. Azzal, hogy közvetlenül az áldozat legitim munkamenetén belül működik, a kártevő kivételesen magas szintű kontrollt és ugyanilyen jelentős visszaélési lehetőséget biztosít üzemeltetőinek.