یک بدافزار جدید Android با نام رمز FlyTrap از مارس 2021 بیش از 10000 حساب در رسانه های اجتماعی در 140 کشور جهان را ربوده است. کاربران را از طریق ربودن رسانه های اجتماعی ، برنامه های جانبی بارگیری شده و فروشگاه برنامه های شخص ثالث هدف قرار داده است.
پس از تحقیقات پزشکی قانونی ، تیم تحقیقات تهدید zLab Zimperium با استفاده از موتور بدافزار z9 Zimperium برنامه های ناشناخته ای را در تلفن همراه کشف کردند. آنها تشخیص دادند که بدافزار ناشناس بخشی از یک خانواده تروجان است که از تکنیک های مهندسی اجتماعی برای سرقت حساب های فیس بوک استفاده می کند .
تیم Zimperium zLabs یک تروجان اندروید را کشف کرد که در 144 کشور گسترش یافته است. با نام رمز FlyTrap ، این بدافزار پشت برنامه هایی برای سرقت اطلاعات اجتماعی هزاران قربانی خود و انتشار اطلاعات غلط پنهان می شود. #WeSecureMobile #FlyTrap https://t.co/h69wwatoFH pic.twitter.com/N3CgXElY7v
– ZIMPERIUM (ZIMPERIUM) 2021
تیم تحقیق شواهدی را پیدا کرد که به احزاب مخرب در ویتنام اشاره می کند که از مارس 2021 این کمپین ربودن رسانه های اجتماعی را اجرا می کنند. این بدافزار ابتدا از طریق فروشگاه Google Play و برنامه های شخص ثالث توزیع شد.
zLabs گزارش داد یافته های آن به Google ، که اطلاعات را تأیید کرد و برنامه های مخرب را از فروشگاه Play حذف کرد. با این حال ، این برنامه ها هنوز در فروشگاه برنامه های شخص ثالث موجود هستند ، " خطر برنامه های جانبی بارگیری شده در نقاط پایانی تلفن همراه و داده های کاربر را برجسته می کند" ، Zimperium اشاره می کند.
zLabs همچنین نقشه ای را ارائه می دهد که توزیع قربانیان FlyTrap در 144 کشور.
نقشه توزیع قربانیان FlyTrap. (تصویر: Zimperium)
تروجان FlyTrap چیست؟
تروجان FlyTrap تعبیه شده در برنامه ها با ربودن فیس بوک آنها هویت اجتماعی هدف را تهدید می کند. با تزریق بدافزار در دستگاه های Android خود. این اطلاعات کاربر زیر قربانیان را جمع آوری می کند:
- شناسه فیس بوک
- آدرس ایمیل
- آدرس IP
- محل
- کوکی های مرتبط با حساب فیس بوک [19659019] این حساب های ربوده شده فیس بوک می تواند برای انتشار بدافزار از یک قربانی به قربانی دیگر و همچنین گسترش کمپین های اطلاعاتی با استفاده از هدف استفاده شود مکان جغرافیایی.
بدافزار FlyTrap چگونه کار می کند؟
مجرمان سایبری پشت FlyTrap از روش های جذاب مختلف مانند کوپن های رایگان Netflix ، کوپن های Google AdWords و رای دادن به بهترین تیم یا بازیکنان فوتبال استفاده می کنند. در ابتدا ، این برنامه کاربران را فریب داد تا به برنامه اعتماد کرده و آن را بارگیری کنند. پس از بارگیری برنامه ، کاربر را با نمایش صفحات مختلف یا درخواست رای به بهترین تیم یا بیشتر ، درگیر کرد.
( تصویر: Zimperium) سپس صفحه ورود قانونی کاربر به فیس بوک را نشان می دهد و از آنها می خواهد تا به حساب کاربری خود وارد شوند تا بتوانند رای خود را صادر کرده و کد کوپن را جمع آوری کنند. هنگامی که کاربر وارد سیستم می شود و در "جعلی رای گیری "، کد کوپن جعلی و پیامی را نشان می دهد که نشان می دهد" کد کوپن منقضی شده است "، همانطور که در تصاویر زیر نشان داده شده است:
(تصویر: Zimperium) پس از ورود کاربر به حساب فیس بوک خود ، بدافزار از تزریق جاوا اسکریپت برای هواپیماربایی با استفاده از کد مخرب JS شناسه فیس بوک ، آدرس ایمیل ، آدرس IP و مکان را هدف قرار می دهد.
اسکرین شات کد حاوی نوع داده هایی که در فرمان و کنترل تصفیه می شوند سرور مرکز (تصویر: Zimperium) دستکاری منابع وب دستکاری متقابل اصلی (XPM) نامیده می شود. برای کسب اطلاعات بیشتر ، می توانید این مطالعه ، "مطالعه تجربی دستکاری منابع وب در برنامه های تلفن همراه واقعی" را بررسی کنید. پس از ورود موفقیت آمیز به فیس بوک ، قربانی فرآیند حذف اطلاعات را آغاز می کند ، همانطور که در زیر مشاهده می کنید:
لایه برداری داده های FlyTrap در حال انجام. (تصویر: Zimperium) سپس سرور فرمان و کنترل از اطلاعات ورود به سیستم فیس بوک برای دسترسی به داده های برداشت شده استفاده می کند . بدترین چیز این است که به دلیل آسیب پذیری های امنیتی در سرور فرمان و کنترل ، کل پایگاه داده اطلاعات سرقت شده می تواند در دسترس هر کسی در اینترنت قرار گیرد. [19659009]
سرور فرمان و کنترل که جلسات ربوده شده را ذخیره می کند. [تصویر: Zimperium] FlyTrap Trojan Android Applications
Zimperium's zLab لیست زیر از شاخص های سازش را که در برنامه های کاربردی اندروید بدافزار FlyTrap مشاهده شده است ، منتشر کرده است:
- com.luxcarad.cardid: GG Voucher
- ] com.gardenguides.plantingfree: رای دادن به فوتبال اروپا
- com.free_coupon.gg_free_coupon: GG Coupon Ads
- com.m_application.app_moi_6
- com.free.voucher: GG Voucher
- com.ynsuper.chatfuel: Chatfuel
- Com.free_coupon.net_coupo n: Net Coupon
- com.movie.net_coupon: Net Coupon
- com.euro2021: رسمی EURO 2021
سرورهای فرمان و کنترل:
- hxxp: //47.57. 237.26
- hxxp: //165.232.173.244: 3023
- hxxps: //manage-ads.com
- hxxp : //quanlysanpham.work
چگونه از دستگاه Android خود محافظت کنیم؟
FlyTrap Trojan تنها یک نمونه از تهدیدات امنیتی روزافزون و شایع است که هدف آنها سرقت اطلاعات شخصی است. بدافزار اخیر دیگری که کاربران اندروید را هدف قرار می داد ، بدافزار Joker بود که از Google Play Store برای آلوده کردن دستگاه ها نیز استفاده می کرد.
ریچارد ملیک ، مدیر امنیت پایانی Zimperium ، گفت که کاربران Android می توانند با مسدود کردن احتمال عفونت را کاهش دهند. نصب برنامه ها از منابع نامعتبر در پس زمینه. این همچنین در آخرین به روزرسانی امنیتی Android موجود است.
اگر مشکوک هستید که حساب فیس بوک شما به خطر افتاده است ، بلافاصله از همه دستگاه ها خارج شوید. ملیک همچنین توصیه کرد ،
"به طور کلی ، این مربوط به آگاهی از درخواست یک برنامه است. اگر برای دسترسی به کوپن یا معامله نیاز به اتصال به حساب های رسانه های اجتماعی خود دارید ، مکث کنید و دلیل آن را بپرسید. سایت/ شرکت کوپن اکنون برای چه مواردی می تواند از این داده ها استفاده کند؟ " همچنین می توانید یک VPN دریافت کنید که دارای ویژگی آنتی ویروس و همچنین Norton Security ، McAfee Safe Connect و موارد دیگر است.