🚀 أصبحت CloudSek أول شركة للأمن السيبراني من أصل هندي تتلقى استثمارات منها ولاية أمريكية صندوق
اقرأ المزيد
النوع
استشارةالفئة
برامج ضارةالمنصة المستهدفة
الأجهزة المحمولة/أندرويدتستهدف برامج جوكر الضارة/تروجان، التي يطلق عليها اسم Bread، مستخدمي الهواتف المحمولة التي تعمل بنظام Android. إنها تتنكر كتطبيقات جوال شرعية على متجر Google Play، ولكن بعد تثبيتها تقوم بالعديد من الأنشطة الضارة بما في ذلك سرقة البيانات. يتمتع Joker بالقدرة على إجراء تفاعلات تلقائية، والتي من خلالها يحاكي نقرات المستخدم على أي شيء يريده مما يؤدي إلى تفاعل غير مصرح به من قبل المستخدم. تحتوي التطبيقات المصابة على قائمة برموز البلد المحمول (MCC)، ويعتمد تسليم الحمولة في المرحلة الثانية على بطاقة SIM الخاصة بالضحية باستخدام أحد رموز البلدان المدرجة. مناطق الاتحاد الأوروبي وآسيا هي الأهداف الرئيسية لهذا حصان طروادة. فيما يلي قائمة بالدول الضحية:- أستراليا
- النمسا
- بلجيكا
- البرازيل
- الصين
- قبرص
- مصر
- فرنسا
- ألمانيا
- غانا
- اليونان
- هندوراس
- الهند
- إندونيسيا
- أيرلندا
- إيطاليا
- الكويت
- ماليزيا
- ميانمار
- هولندا
- النرويج
- بولندا
- البرتغال
- دولة قطر
- جمهورية الأرجنتين
- صربيا
- سنغافورة
- سلوفينيا
- إسبانيا
- السويد
- سويسرا
- تايلاند
- تركيا
- أوكرانيا
- الإمارات العربية المتحدة
- المملكة المتحدة
- الولايات المتحدة
- استخراج الرسائل القصيرة/استخراج OTP
- عملية متعددة المراحل
- تفاعل المستخدم غير المصرح به
- سرقة الأموال
- إدخال أوامر جافا سكريبت
- استخراج جهات الاتصال في دفتر الهاتف
- يتم التحميل الأولي عبر مكون Joker Initialization، والذي يتم إدراجه في أطر الإعلان للتطبيقات الشرعية.
- بعد التهيئة، ستقوم البرامج الضارة بتنزيل تكوين AES المشفر من خادم C2. وفي بداية المرحلة الثانية، يتم إرسال سلسلة مصممة خصيصًا إلى خادم C2 لاستخراج الحمولة.
- في النهاية، سيقوم Joker بتنزيل مجموعة البرامج الضارة، وهي ملف dex، عند الانتهاء من المرحلة الثانية.
- يتم تنفيذ التحميل الديناميكي لملفات dex لتقليل بصمات Joker على الجهاز.
التأثير
التأثير الفني
- تقوم البرامج الضارة بعمل اشتراكات في الخدمات المتميزة نيابة عن المستخدمين.
- يلتقط رسائل نصية لسرقة OTP.
- تتمتع البرامج الضارة بالقدرة على التفاعل مع مطالبات الأذونات دون موافقة المستخدم لإجراء موافقات غير مصرح بها نيابة عن العميل لتثبيت أدوات إضافية.
- إنه قادر على استخراج جهات الاتصال من الهاتف، مما يعرض خصوصية المستخدمين للخطر.
- يتيح إدخال الأوامر للبرامج الضارة الوصول إلى أنظمة الملفات واستخراج بيانات المستخدم.
- يسرق بيانات نموذج المستخدم للحصول على معلومات بطاقة الائتمان.
تأثير الأعمال
- يتيح اختراق بيانات الموظفين الهامة عبر هجمات الأجهزة المحمولة للمهاجمين الوصول إلى شبكات المؤسسات.
- تستهدف الدول القومية منصات الهواتف المحمولة لتنفيذ هجمات تجسس ضد الشركات الكبيرة والبنى التحتية الحيوية.
عوامل التخفيف
- قم بإزالة جميع التطبيقات المذكورة في قسم «مؤشرات التسوية» أدناه.
- تحقق من فواتير بطاقات الائتمان/كشوف الحساب.
- قم بتثبيت حل EDR لهاتفك المحمول.
مؤشرات التسوية
المرحلة الأولى (توزيع الحمولة) C&C:
http://3.122.143[.]26/الشروط والأحكام الرئيسية:
http://joker2.dolphinsclean[.]com/http://beatleslover[.]com/http://47.254.144[.]154/ثنائيات المرحلة الثانية (الأساسية):
https://s3.amazonaws.com/media.site-group-df[.]com/s8-releasehttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s8–5-releasehttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s8-5-dsp-releasehttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s8-allhttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s9-3-sendsmshttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s9–6-releasehttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s9–6–2-releasehttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s9-6-3https://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/Y12-all-no-loghttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/Y12-no-loghttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/Y13-allhttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/Y13-all-v2-no-logالمرحلة الثانية التي تم فك حزمها من الإصدار «Y13-all-v2-no-log» SHA256:
a7dc4238682147012751b853001 b053527 ca8031a624 bbd5d1a77a3e563قاعدة لودر يارا:
قاعدة أندرويد_جوكر {
سلاسل:
$c = {52656D6F746520436C6F616B}//عباءة التحكم عن بعد
$cerr = {6E6574776F726B2069737375653A20747279206C61746572}//مشكلة في الشبكة: حاول لاحقًا
$net = {2F6170692F636B776B736C3F6963633D}///API/ckwksl? المحكمة الجنائية الدولية =
$ بروتوكول الإنترنت = {332E3132322E3134332E3236}//3.122.143.26
الشرط:
($c و $cerr) أو $net أو $ip
}
