🚀 A CloudSEK se torna a primeira empresa de segurança cibernética de origem indiana a receber investimentos da Estado dos EUA fundo
Leia mais
Tipo
ConsultivoCategoria
MalwarePlataforma de destino
Dispositivos móveis/AndroidO malware/trojan Joker, apelidado de Bread, tem como alvo usuários móveis Android. Ele se disfarça como aplicativos móveis legítimos na Google Play Store, mas após sua instalação, ele realiza várias atividades maliciosas, incluindo a exfiltração de dados. O Joker tem a capacidade de fazer interações automatizadas, simulando os cliques do usuário em qualquer coisa que ele quiser, levando à interação não autorizada do usuário. Os aplicativos infectados contêm uma lista de códigos móveis de país (MCC), e a segunda etapa de entrega da carga útil é baseada no cartão SIM da vítima usando um dos códigos de país listados. As regiões da UE e da Ásia são os principais alvos desse trojan. Aqui está uma lista das nações vítimas:- Austrália
- Áustria
- Bélgica
- Brasil
- China
- Chipre
- Egito
- França
- Alemanha
- Gana
- Grécia
- Honduras
- Índia
- Indonésia
- Irlanda
- Itália
- Kuwait
- Malásia
- Mianmar
- Holanda
- Noruega
- Polônia
- Portugal
- Catar
- República da Argentina
- Sérvia
- Cingapura
- Eslovênia
- Espanha
- Suécia
- Suíça
- Tailândia
- Turquia
- Ucrânia
- Emirados Árabes Unidos
- Reino Unido
- Estados Unidos
- Extração de SMS/extração OTP
- Operação em vários estágios
- Interação não autorizada do usuário
- Roubo de dinheiro
- Injeção de comando JavaScript
- Extração de contatos da lista telefônica
- O carregamento inicial é feito por meio de um componente de inicialização do Joker, que é inserido nas estruturas de publicidade de aplicativos legítimos.
- Após a inicialização, o malware baixará a configuração criptografada AES do servidor C2. E no início do segundo estágio, uma string especialmente criada é enviada ao servidor C2 para extração da carga útil.
- Eventualmente, o Joker baixará o kit de malware, um arquivo dex, ao concluir a segunda etapa.
- O carregamento dinâmico de arquivos dex é implementado para minimizar as impressões digitais do Joker no dispositivo.
Impacto
Impacto técnico
- O malware faz assinaturas de serviços premium em nome dos usuários.
- Pega mensagens de texto para roubo de OTP.
- O malware tem a capacidade de interagir com solicitações de permissão sem o consentimento do usuário, fazendo aprovações não autorizadas em nome do cliente para instalar ferramentas adicionais.
- Ele é capaz de extrair contatos do telefone, comprometendo a privacidade dos usuários.
- A injeção de comando permite que o malware acesse sistemas de arquivos e exfiltre os dados do usuário.
- Rouba dados do formulário do usuário para obter informações do cartão de crédito.
Impacto nos negócios
- O comprometimento de dados críticos dos funcionários por meio de ataques móveis dá aos atacantes acesso às redes corporativas.
- Os estados-nação têm como alvo plataformas móveis para realizar ataques de espionagem contra grandes empresas e infraestruturas críticas.
Mitigações
- Remova todos os aplicativos mencionados na seção “Indicadores de compromisso” abaixo.
- Verifique as faturas do cartão de crédito/extratos da conta.
- Instale uma solução de EDR para o seu celular.
Indicadores de compromisso
Primeiro estágio (distribuição de carga útil) C&C:
http://3.122.143[.]26/Principais C&Cs:
http://joker2.dolphinsclean[.]com/http://beatleslover[.]com/http://47.254.144[.]154/Binários de segundo estágio (Core):
https://s3.amazonaws.com/media.site-group-df[.]com/s8-releasehttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s8–5-releasehttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s8-5-dsp-releasehttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s8-allhttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s9-3-sendsmshttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s9–6-releasehttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s9–6–2-releasehttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/s9-6-3https://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/Y12-all-no-loghttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/Y12-no-loghttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/Y13-allhttps://tb-eu-jet.oss-eu-central-1.aliyuncs[.]com/Y13-all-v2-no-logSegunda etapa descompactada da compilação “Y13-all-v2-no-Log” SHA256:
a7dc4238682147012751bb853001b053527ca8031a624bbd5db1a77a3e563eadRegra YARA do carregador:
regra android_joker {
cordas:
$c = {52656D6F746520436C6F616B}//Capa remota
$cerr = {6E6574776F726B2069737375653A20747279206C61746572}//problema de rede: tente mais tarde
$ net = {2F6170692F636B776B736C3F6963633D}///api/ckwksl? icc=
$ ip = {332E3132322E3134332E3236}//3,122,143,26
condição:
($c e $cerr) ou $net ou $ip
}
