Den Ginp Trojan er en Android malware, som er blevet identificeret af en sikkerhed forsker i en af sine seneste angreb kampagner. Prøverne, som menes at blive lanceret i angrebet kampagne dato til slutningen af oktober 2019 men nogle af de første eksempler på truslen er blevet opdaget i juni. Disse data viser, at ransomware aktivt bliver udviklet af hackere. Lige siden sin første udgivelse fem store opdateringer er kendt.
Det er primært spredes via mobile apps hostes på Google Play og andre repositories. Så snart det er installeret på en given enhed det vil lancere en bank malware motor, der vil høste finansielle data og bruges til forskellige forbrydelser.
Ginp Trojan marts 2020 Opdatering - coronavirus kampagne
Efter COVID-19 coronavirus pandemiske it-kriminelle er begyndt at lede forskellige virus relateret phishing kampagner. Et af de seneste eksempler er en Ginp Trojan storstilet operation. De kriminelle bag det sender ud falske sms'er mod de tilsigtede ofre. Hvis modtagerne interagere med det budskab den trojanske vil blive installeret. Indholdet af SMS drage fordel af coronavirus panik. Den faktiske link, der er sendt i meddelelsen vil udføre et script, der vil implementere Ginp Trojan. Det vil starte en kommando, der åbner en vi bpage kaldet coronavirus Finder. Sitet vil læse, at der er mennesker i nærheden, der er forurenet af COVID-19. De besøgende vil blive manipuleret til at betale siden summen af 0.75 Euro for at afdække deres placering.
Ved siden af de beskeder der er andre taktikker, som kan bruges til at tvinge ofrene i interaktion med hacker-kontrollerede website: pop-ups, omdirigeringer og etc.
Den Ginp Trojan er blandt de mest farlige Banking Malware til Android
Android malware er en af de mest udbredte trusler, som slutbrugerne står i dag. Dette skyldes det faktum, at mange hacking kollektiver er blevet dygtige til at udvikle vira til mobile styresystem. Platformen har set en masse trusler, og ifølge de foreliggende oplysninger er baseret på den velkendte Anubis malware. De første udgaver af denne trojanske blev udgivet på Google Play butikken og andre depoter under navnet Google Play Checker i et forsøg på at snyde de besøgende til at installere det. Denne taktik kredser om den fælles teknik til at skabe farlige applikation, der er maskeret som nyttige systemværktøjer.
I tilfældet med disse første prøver gjorde Ginp trojanske ikke besidder meget af den rige funktionalitet, som det er kendt. Når lanceret det vil høste de gemte SMS'er og sende den til en specificeret hacker-kontrolleret server. Kun få måneder efter den første version de kriminelle har skabt en langt mere opdateret Ginp Trojan frigivelse.
Unpatched Android Bug Sætter Ejere af Samsung, Xiaomi Telefoner at Risk
Den Ginp Trojan og dens Seneste Release
Nyheder brød om den nye version af den trussel, som er udstyret med en meget mere feature-rige adfærdsmønster. Denne gang malware luftfartsselskaber, vært bliver det kaldt Adobe Flash Player og de kan hostes både på Google Play og andre repositories. Hvis de kriminelle hensigt at skabe en stadig større fordeling kampagne de kan bruge andre steder, hvor virus filer (i arkiver eller APK formular) kan hostes:
- Dokumenter - Macro-Inficerede Dokumenter kan bruges til at levere den virus fil til målenheder. Når ofrene åbne dem op en prompt vil bede dem om at sætte dem i stand for at rigtigt se indholdet. De makroer er specielle scripts, der vil udtrække og køre virus koden uden at brugeren opdager det.
- Andre APK Pakker - Hackerne kan skabe en række andre bundter farlige app. Normalt er den mest populære programmer er målrettet som deres identitet kan nemt forfalsket.
- Malware Third-Party-værter - Ginp trojanske filer kan hostes på hacker-vedligeholdt hjemmesider og links til det føjet til sociale netværk profiler af falske eller hacket konti. Normalt interaktiv kode er placeret på de hjemmesider, som vil hele tiden “webstedet” de besøgende med alle typer af indhold (bannere, pop-ups og omdirigeringer) til at downloade eller køre en fil.
I betragtning af, at Ginp Trojan er klassificeret som en bank trojansk en af de mest anvendte strategier ville være at udtænke phishing-kampagner. De kan bruge både e-mails eller hacker-kontrollerede websteder, der er fundet på lignende klingende domænenavne til kendte tjenester eller virksomheder.
Capabilities Of The Ginp Trojan på Android
Har adgang til de forskellige Ginp trojanske prøver og de nyeste udgivelser, vi kan konstatere, at de nuværende versioner er avanceret. Mens der er ingen oplysninger om hacking kollektive om det, de kriminelle har været i stand til at udtænke en rig liste over funktioner.
Så snart truslen udføres på en given maskine app vil fjerne dens ikon fra launcher, som vil gøre det umuligt for dem at få adgang til det ved hjælp af almindelig måde. Det næste skridt er at gyde en prompt, der vil bede ofrene for at aktivere Tilgængelighed service. Dette kan synes som en almindelig og uskyldige søger anmodning dog dette vil give den største infektion motor til at udføre mere farlige handlinger. Den fulde liste over funktioner, som findes i de nyeste versioner er følgende:
- Afsendelse af en SMS-besked til et bestemt antal
- Opdatering af URL for hacker-kontrollerede server
- Deaktivering af virus
- Opdatering af refresh interval
- Liste tømning af de overlejrede apps
- Target Liste opdatering
- Device administration anmodning privilegier
- Indhentning af SMS-beskeder
- Deaktivering brugeren forsøger at overvinde den prompt aftrækkeren
- Indstilling af et malware som standard sms-app
- Fjernelse af malware fra standard sms-app
- Aktivering af Overlay angreb
- Deaktivering af Overlay angreb
- Aktivering af Google Play Overlay
- Deaktivering af Google Play Overlay
- Debug mode Start
- Logfiler Retrieval
- Debug mode Deaktiver
- List alle installerede programmer
- List alle kontaktpersoner
- Sender sms til flere numberes
- pakke opdatering
- Ny Overlay Addition
- Viderestilling
- Tilladelser Anmod Start
- TEXT_HERE
Oversigt over en Ginp Trojan angreb
Ligesom andre lignende banking trojanske heste motoren automatisk scanne den inficerede Android-enhed til almindeligt anvendte sociale netværk apps eller mobile banktjenester. Viruset vil setup en usynlig overlay på toppen af hvilket betyder at alle brugerinteraktioner vil blive styres og overvåges af hackere. Ved hjælp af en særlig netværksforbindelse alle data vil blive sendt til de kriminelle i realtid. Den Ginp Trojan som en sofistikeret Android trussel gør det muligt for kriminelle gruppe til også at foretage en omfattende liste over funktioner (se ovenfor).
Hensigten er at overvåge for brugeren input af personlige oplysninger og oplysninger om et betalingskort. De analyserede prøver er blevet fundet at være kompatibel med følgende apps:
Facebook, WhatsApp, Skype, Twitter, Krom, Instagram, Snapchat og Viber
En liste over de mobile banking, der støttes, er følgende:
Play butik, CaixaBank Pay: Mobile betalinger , CaixaBank, Log CaixaBank – Digital Koordinere Card, CaixaBank Tablet, imaginBank – Din mobil bank, Familie, Bankinter Mobil, Bankinter Wallet, COINC Wallet, bankintercard, Bankia, Bankia Wallet, Bankia Tablet, BBVA Spanien, BBVA Net Cash | ES & PT, EVO Banco Mobil, EVO Büsum, Kutxabank, KutxabankPay, Santander, Santander Tablet, Bekræftelse Santander og Santander Cash Nexus.
Den overlay kan præsentere et kreditkort prompt som i nogle situationer kan opfattes som legitime og sikker. Oplysningerne høst motor kan også opdateret til at understøtte mange af de populære bank apps. Nogle af de tilfangetagne prøver ud til at omfatte funktionel støtte af løsninger drives af spanske finansielle institutioner. Da angrebene fortsætter med at udfolde forventer vi, at mere detaljerede oplysninger vil blive tilgængelige på identiteten af de hackere samt kompromitterede mål.
Martin Beltov
Martin dimitterede med en grad i Publishing fra Sofia Universitet. Som en cybersikkerhed entusiast han nyder at skrive om de nyeste trusler og mekanismer indbrud.
Følg mig: