Zlonamerna programska oprema Albiriox MaaS

Novo odkrita grožnja za Android, znana kot Albiriox, predstavlja najnovejši razvoj goljufij na napravah. Oglašuje se v okviru modela zlonamerne programske opreme kot storitve in ponuja obsežen nabor orodij za oddaljeni nadzor, avtomatizirano zlorabo in prikrito manipulacijo z napravami žrtev.

Komercializirana grožnja, zgrajena za goljufijo

Albiriox se trži kot celovita ponudba MaaS, zasnovana za podporo goljufijam na napravi (ODF), interakciji z napravami v realnem času in nemoteni manipulaciji zaslona. Prve aktivnosti kažejo, da so operaterji sprva konec septembra 2025 izvedli omejeno fazo zaposlovanja, preden so prešli na širšo komercialno uvedbo. Kazalniki, povezani z razpravami na forumih, uporabo jezika in podporno infrastrukturo, kažejo na to, da projekt vodijo rusko govoreči kibernetski kriminalci.

Razvijalci ponujajo tudi graditelj po meri, ki se domnevno integrira s storitvijo šifriranja Golden Crypt, kar strankam omogoča, da se izognejo protivirusnim orodjem in mobilnim varnostnim ukrepom.

Ciljanje na široko področje uporabe

Zlonamerna programska oprema ima vgrajen obsežen seznam več kot 400 ciljnih aplikacij. Te zajemajo širok spekter občutljivih kategorij, vključno z bančništvom, fintechom, menjalnicami kriptovalut, ponudniki plačilnih storitev, digitalnimi denarnicami in spletnimi platformami za trgovanje. Ta širok pristop ciljanja je skladen z njenim ciljem zajemanja poverilnic, sprožanja goljufivih transakcij in ohranjanja prikritega dostopa do finančnih aplikacij.

Prikrita namestitev s pomočjo socialnega inženiringa

Distribucija se močno zanaša na zavajajoče vabe, namenjene temu, da uporabnike zavedejo v namestitev prikritih spuščalcev. Napadalci združujejo teme socialnega inženiringa s tehnikami pakiranja in zakrivanja, da bi se izognili orodjem za statično analizo. Ena kampanja, osredotočena na avstrijske uporabnike, je uporabljala nemška SMS sporočila in skrajšane URL-je, ki so vodili do ponarejenih strani trgovine Google Play za aplikacije, kot je »PENNY Angebote & Coupons«.

Žrtve, ki so izbrale lažni gumb »Namesti«, so nevede prenesle APK datoteko. Po zagonu je aplikacija zahtevala dovoljenje za namestitev dodatne programske opreme, pri čemer se je pretvarjala, da začenja rutinsko posodobitev. To dejanje je sprožilo namestitev glavnega koristnega tovora Albiriox.

Sorodna kampanja je potencialne žrtve preusmerila na goljufivo spletno mesto s temo PENNY, kjer so jih pozvali, naj posredujejo svojo telefonsko številko, da bi prejeli povezavo za prenos aplikacije WhatsApp. Sprejemali so samo avstrijske številke, vse prijave pa so bile poslane botu Telegram, ki so ga nadzorovali operaterji.

Daljinsko upravljanje in prikrito delovanje

Ko je Albiriox aktiven, vzpostavi komunikacijo s svojim strežnikom Command-and-Control prek nešifrirane vtičnice TCP. To omogoča akterjem groženj, da pošiljajo ukaze, ki se uporabljajo za popolno oddaljeno interakcijo. Ključne zmogljivosti vključujejo:

• Nadzor naprav na osnovi VNC, ki ga podpira dodatni modul za oddaljeni dostop
• Pridobivanje občutljivih podatkov na zahtevo
• Namestitev črnega ali praznega zaslona za prikrivanje zlonamerne dejavnosti
• Daljinsko prilagajanje glasnosti za ohranjanje neopaznosti delovanja

Ena različica uporablja Androidove storitve za dostopnost, da operaterjem predstavi vse elemente vmesnika. Ta tehnika je zasnovana posebej za izogibanje omejitvam Androidove funkcije FLAG_SECURE, ki preprečuje posnetke zaslona in snemanje zaslona v številnih finančnih aplikacijah.

Obhod zaščit vmesnikov pred goljufijami

Mehanizem pretakanja, ki temelji na dostopnosti, napadalcem omogoča predstavitev vmesnika naprave na ravni vozlišč. Ker se izogiba tradicionalnim tehnikam zajemanja zaslona, ne sproži vgrajenih zaščit, ki jih uporabljajo bančne in kriptovalutne aplikacije. Posledično napadalci pridobijo trajno in neomejeno vidljivost občutljivih zaslonov.

Napadi s prekrivanjem in pridobivanje poverilnic

V skladu z drugimi trojanci za Android za bančništvo tudi Albiriox uporablja prekrivne napade, povezane s svojim trdo kodiranim seznamom ciljnih aplikacij. Ti prekrivni elementi so videti kot legitimne prijavne plošče ali sistemska pogovorna okna, kar omogoča učinkovito krajo poverilnic. Poleg tega zlonamerna programska oprema prikazuje zavajajoče zaslone, kot so lažni pozivi za posodobitve ali popolnoma črni zasloni, da skrije svoje dejavnosti, medtem ko v ozadju potekajo goljufive operacije.

Popolnoma opremljena platforma ODF

Albiriox kaže vse značilne lastnosti napredne zlonamerne programske opreme za goljufije na napravi. Njegova kombinacija oddaljene manipulacije na osnovi VNC, avtomatiziranih delovnih procesov, ki jih poganja dostopnost, ciljno usmerjenih prekrivnih slojev in tehnik dinamičnega zbiranja podatkov napadalcem omogoča, da zaobidejo kontrole za preverjanje pristnosti in se izmuznejo običajnim mehanizmom za odkrivanje goljufij. Z delovanjem neposredno znotraj legitimne seje žrtve zlonamerna programska oprema svojim operaterjem zagotavlja izjemno visoko raven nadzora in enako pomembno možnost zlorabe.