نزدیک به 9 میلیون دستگاه اندرویدی از قبل به بدافزار Guerrilla آلوده شده اند: در اینجا نحوه تأثیرگذاری آن بر شما آورده شده است.

تحقیق که اخیراً در کنفرانس BlackHat آسیا در سنگاپور نشان داده شده است، چگونگی آلوده شدن این دستگاه ها و پلاگین های مخرب را توضیح می دهد. استفاده می شود و اینکه گروه ها چگونه با هم کار می کنند. نگاهی به آن بیندازید.

کشورهای تحت تأثیر بدافزار چریکی

10 کشور برتری که به دلیل بدافزار Guerrilla تحت تاثیر قرار گرفته اند عبارتند از هند، آرژانتین، آنگولا، اندونزی، مکزیک، فیلیپین، روسیه، آفریقای جنوبی، تایلند و ایالات متحده.

بدافزار چریکی بر روی 8.9 میلیون دستگاه اندروید

تحلیلگران متوجه این عملیات جنایتکارانه بزرگ شدند و برخی از زیرساخت‌های مهاجمان با زیرساخت مهاجمان مطابقت دارد. عملیات تروجان Triada 2016. Triada یک تروجان بانکی بود که روی 42 مدل گوشی اندرویدی از برندهای ارزان چینی که کالاهای خود را در سرتاسر جهان می فروشند، یافت شد.

این گزارش می گوید که آنها برای اولین بار در فوریه 2022 از گروه Lemon مطلع شدند. مدت کوتاهی پس از آن، گفته می شود که این گروه نام خود را به “Durian Cloud SMS” تغییر داده است. اما معماری و روش‌های مهاجمان ثابت ماند.

Trend Micro در مورد اینکه چگونه Lemon Group دستگاه ها را با سیستم عامل مخرب شامل Guerilla آلوده می کند، توضیح بیشتری نداده است، اما گفته است که دستگاه هایی که کارشناسان آن را بررسی کردند دارای رام های جدیدی بودند که دوباره فلش شده بودند. کارشناسان بیش از 50 رام مختلف را پیدا کردند که به لودرهای بدافزار اولیه آلوده شده بودند و تولیدکنندگان مختلف دستگاه‌های Android را هدف قرار داده بودند.

افزونه اصلی بدافزار Guerrilla مسئول بارگیری افزونه‌های اضافی است که برای ایجاد آن ایجاد شده‌اند. انجام کارهای خاص، از جمله:

• افزونه پیامک: افزونه پیامک برای رهگیری رمزهای عبور یکبار مصرف برای WhatsApp، JingDong و Facebook طراحی شده است که از طریق پیامک دریافت می شوند. .
• افزونه پروکسی و فروشنده پروکسی: افزونه پروکسی مهاجمان را قادر می سازد تا با ایجاد یک پروکسی معکوس از تلفن آلوده، از منابع شبکه قربانی استفاده کنند.
• افزونه کوکی/افزونه واتساپ/افزونه ارسال و پلت فرم تبلیغاتی: افزونه کوکی برای استخراج کوکی های فیس بوک از فهرست داده های برنامه و ارسال آنها به سرور C2 طراحی شده است. دستگاه آسیب‌دیده می‌تواند جلسات واتس‌اپ را ربوده و پیام‌های ناخواسته ارسال کند.
• افزونه Splash: نوعی بدافزار است که در حالی که کاربران از برنامه‌های کاربردی قانونی استفاده می‌کنند، تبلیغات مزاحم را به نمایش می‌گذارد. .
• افزونه خاموش: افزونه خاموش ابزاری است که می‌تواند فایل‌های APK اضافی را که از سرور C2 ارسال می‌شوند نصب کند یا برنامه‌های موجود را بر اساس دستورالعمل داده شده است. نصب و راه اندازی برنامه بدون هیچ نشانه قابل توجهی در پس زمینه انجام می شود.

با این ویژگی ها، گروه Lemon می تواند راه های مختلفی برای کسب درآمد ارائه دهد. برای مثال، آن‌ها می‌توانند حساب‌های در معرض خطر را بفروشند، منابع شبکه را تصاحب کنند، خدمات نصب برنامه را ارائه دهند، تبلیغات جعلی ایجاد کنند، خدمات پروکسی را ارائه دهند، و خدمات حساب‌های تأییدشده با تلفن SMS (PVA) ارائه دهند.