Albiriox MaaS Malware

Një kërcënim i ri për Android, i njohur si Albiriox, përfaqëson evolucionin më të fundit në operacionet e mashtrimit në pajisje. I reklamuar sipas një modeli malware-si-shërbim, ai ofron një set të gjerë mjetesh për kontroll në distancë, abuzim të automatizuar dhe manipulim të fshehtë të pajisjeve të viktimave.

Një kërcënim i komercializuar i ndërtuar për mashtrim

Albiriox tregtohet si një ofertë MaaS me funksione të plota, e projektuar për të mbështetur mashtrimin në pajisje (ODF), ndërveprimin e pajisjes në kohë reale dhe manipulimin e ekranit pa probleme. Aktiviteti i hershëm sugjeron që operatorët fillimisht kryen një fazë të kufizuar rekrutimi në fund të shtatorit 2025 përpara se të kalonin në një shpërndarje më të gjerë komerciale. Treguesit e lidhur me diskutimet në forum, përdorimin e gjuhës dhe infrastrukturën mbështetëse tregojnë drejt kriminelëve kibernetikë rusishtfolës që drejtojnë projektin.

Zhvilluesit ofrojnë gjithashtu një ndërtues të personalizuar që thuhet se integrohet me shërbimin e kriptimit Golden Crypt, duke u mundësuar klientëve të shmangin mjetet antivirus dhe mbrojtjet e sigurisë mobile.

Synimi i një peizazhi të gjerë aplikimesh

Malware-i përfshin një listë të gjerë të koduar me më shumë se 400 aplikacione të synuara. Këto përfshijnë një gamë të gjerë kategorish të ndjeshme, duke përfshirë bankat, teknologjinë financiare, bursat e kriptomonedhave, përpunuesit e pagesave, portofolet dixhitale dhe platformat e tregtimit online. Kjo qasje e gjerë e synimit përputhet me qëllimin e saj për të kapur kredencialet, për të filluar transaksione mashtruese dhe për të ruajtur aksesin e fshehtë në aplikacionet financiare.

Vendosja e fshehtë përmes inxhinierisë sociale

Shpërndarja mbështetet shumë në karrema mashtruese të dizajnuara për të mashtruar përdoruesit që të instalojnë programe të maskuara për hedhjen e të dhënave. Sulmuesit kombinojnë temat e inxhinierisë sociale me teknikat e paketimit dhe errësimit për të shmangur mjetet e analizës statike. Një fushatë e fokusuar te përdoruesit austriakë përdori mesazhe SMS në gjuhën gjermane dhe URL të shkurtuara që çonin në faqe të falsifikuara të Google Play Store për aplikacione të tilla si 'PENNY Angebote & Coupons'.

Viktimat që zgjodhën butonin e rremë 'Instalo' pa e ditur shkarkuan një APK të tipit dropper. Pas hapjes, aplikacioni kërkoi leje për të instaluar softuer shtesë, duke u shtirur sikur po niste një përditësim rutinë. Ky veprim shkaktoi vendosjen e ngarkesës kryesore të Albiriox.

Një fushatë e lidhur me këtë çështje i ridrejtoi viktimat e mundshme në një faqe interneti mashtruese me temë PENNY, ku atyre iu kërkua të jepnin numrin e tyre të telefonit për të marrë një lidhje shkarkimi në WhatsApp. Pranoheshin vetëm numra austriakë dhe të gjitha dorëzimet u dërguan në një bot Telegram të kontrolluar nga operatorët.

Kontroll i Largët dhe Funksionim i Fshehtë

Pasi të jetë aktiv, Albiriox krijon komunikim me serverin e tij të Komandës dhe Kontrollit përmes një prize TCP të pakriptuar. Kjo u mundëson aktorëve kërcënues të shtyjnë komandat e përdorura për ndërveprim të plotë në distancë. Aftësitë kryesore përfshijnë:

• Kontroll i pajisjes bazuar në VNC, i mbështetur nga një modul shtesë me qasje në distancë
• Nxjerrja sipas kërkesës e të dhënave të ndjeshme
• Vendosja e ekranit të zi ose bosh për të fshehur aktivitetin keqdashës
• Rregullime të volumit në distancë për të ruajtur fshehtësinë operative

Një variant përdor shërbimet e aksesueshmërisë së Android për t'u paraqitur operatorëve të gjithë elementët e ndërfaqes. Kjo teknikë është projektuar posaçërisht për të anashkaluar kufizimet e veçorisë FLAG_SECURE të Android, e cila parandalon pamjet e ekranit dhe regjistrimet e ekranit brenda shumë aplikacioneve financiare.

Anashkalimi i Mbrojtjeve të Ndërfaqes për Mashtrim

Mekanizmi i transmetimit i bazuar në aksesueshmëri u jep sulmuesve një përfaqësim në nivel nyje të ndërfaqes së pajisjes. Meqenëse shmang teknikat tradicionale të kapjes së ekranit, ai nuk aktivizon mbrojtjet e integruara të përdorura nga aplikacionet bankare dhe të kriptomonedhave. Si rezultat, sulmuesit fitojnë dukshmëri të vazhdueshme dhe të pakufizuar të ekraneve të ndjeshme.

Sulmet e Mbivendosjes dhe Mbledhja e Kredencialeve

Në përputhje me trojanë të tjerë bankarë në Android, Albiriox përdor sulme mbivendosjeje të lidhura me listën e saj të koduar të aplikacioneve të synuara. Këto mbivendosje shfaqen si panele legjitime hyrjeje ose dialogje të sistemit, duke mundësuar vjedhje efektive të kredencialeve. Përveç kësaj, malware ofron ekrane mashtruese, të tilla si kërkesa të rreme për përditësim ose ekrane plotësisht të zeza, për të fshehur aktivitetet e tij ndërsa operacionet mashtruese vazhdojnë në sfond.

Një platformë ODF e pajisur plotësisht

Albiriox demonstron të gjitha karakteristikat dalluese të malware-it të avancuar për mashtrim në pajisje. Përzierja e tij e manipulimit në distancë të bazuar në VNC, rrjedhave të punës së automatizimit të orientuar drejt aksesueshmërisë, mbivendosjeve të synuara dhe teknikave dinamike të korrjes u lejon sulmuesve të anashkalojnë kontrollet e vërtetimit dhe të shmangin mekanizmat konvencionalë të zbulimit të mashtrimit. Duke vepruar direkt brenda seancës legjitime të viktimës, malware u jep operatorëve të tij një nivel jashtëzakonisht të lartë kontrolli dhe një mundësi po aq të rëndësishme për abuzim.