Изследователи на заплахи са открили платформа за замаскиране, която прикрепя зловреден софтуер към легитимни приложения за Android. С лекота примамва потребителите да инсталират зловредния товар.
По този начин се затрудняват инструментите за сигурност, които по-трудно елиминират заплахата.
Анализаторите на доставчика на киберсигурност ThreatFabric са открили платформата, наречена „Zombinder“. Те стигат до нея след разследване на кампания, която е заразила много потребители на Android и Windows. Zombinder излезе наяве, докато изследователите анализираха кампания, включваща банковия троянец Ermac за Android.
Тези усилия доведоха до доказателства за друга кампания, използваща множество троянски коне, насочени както към системи с Android, така и към Windows. Заедно с Ermac тя е разпространявала зловреден софтуер за настолни компютри, включително Erbium, Aurora stealer и Laplas clipper.
В конкретния случай е използвано приложение за Wi-Fi
Използва се фалшив уебсайт от една страница, съдържащ само два бутона. Бутоните предлагат изтегляне на файлове за Windows или Android. Щракването върху втория изтегля Ermac, който може да краде съобщения от Gmail, кодове за двуфакторна автентикация и фрази за портфейли за криптовалути. Той също така е кийлогър.
Да, обаче не се изтегля директно зловредния товар.
Изтегля се легитимно приложение, което в рамките на нормалната си работа инсталира малуер. То е модифицирано и може да бъде всякакво – от такова за стрийминг на спорт, до някаква игра или нещо друго.
Този процес се случва именно чрез платформата Zombinder, която служи за “лепило”.
След като изтеглите и инсталирате приложението, то работи нормално. В един момент се появява съобщение за актуализация. Именно с ъпдейтът се тегли зловредния код. Инструментът е наличен от март и вече се използва активно.
Най-новата кампания, използваща Zombinder, разпространява банковия троянец Xenomorph.