Oszustwo "na Starlinka". Zmieniają telefony w koparki kryptowalut

Nowe zagrożenie na Androida o nazwie BeatBanker rozprzestrzenia się przez strony udające oficjalny sklep Google Play. Użytkownikom podsuwa się aplikację wyglądającą jak Starlink, ale z nazwą "Star Link". W tle instalowany jest złośliwy kod DEX bezpośednio na pamięć.

Badacze Kaspersky wykryli kampanie skierowane do osób w Brazylii. Malware potrafi m.in. kraść dane logowania i manipulować transakcjami kryptowalut, jak i uczynić ze smartfonu koparkę waluty Monero.

BeatBanker jest dystrybuowany jako pakiet APK i używa natywnych bibliotek Androida do odszyfrowania oraz uruchomienia ukrytego kodu DEX bezpośrednio w pamięci, co ma utrudniać wykrycie. Przed startem sprawdza środowisko, by upewnić się, czy nie jest analizowany. Gdy przejdzie kontrolę, pokazuje fałszywy ekran aktualizacji Sklepu Play i wyłudza zgody na instalowanie kolejnych elementów.

Po instalacji złośliwa aktywność nie uruchamia się od razu. Według opisu Kaspersky BeatBanker celowo zwleka z działaniem, aby nie wzbudzać podejrzeń. Nietypowy jest też mechanizm utrzymania się w systemie: malware ma stale odtwarzać prawie niesłyszalne nagranie, by proces pozostał aktywny. "Komponent KeepAliveServiceMediaPlayback zapewnia ciągłe działanie, inicjując nieprzerwane odtwarzanie przez MediaPlayer" - wyjaśnia Kaspersky w opublikowanym raporcie.

Kaspersky wskazuje, że najnowsza wersja BeatBanker zamiast modułu bankowego wdraża trojana zdalnego dostępu BTMOB RAT. To oznacza szeroką kontrolę nad telefonem, w tym:

• możliwość pełnego sterowania urządzeniem,
• keylogging i przechwytywanie poświadczeń,
• nagrywanie ekranu, dostęp do kamery,
• śledzenie GPS.

Malware wykorzystuje też zmodyfikowaną wersję koparki XMRig 6.17.0 dla urządzeń ARM do kopania kryptowaluty Monero. Łączy się z pulami wydobycia kontrolowanymi przez atakujących z użyciem szyfrowanych połączeń TLS, a w razie problemów z przejściem pod adres przechodzi na proxy.

Z użyciem Firebase Cloud Messaging wysyła do serwera m.in. dane o baterii i temperaturze, by włączać lub wyłączać kopanie wtedy, gdy na przykład urządzenie mogłoby stać się zbyt gorące, co ułatwia ukrycie rozwiązania. Oprócz tego takie działanie pozwala utrzymać pakiet rozwiązań stale aktywnym.