تیم Group-IB یه بدافزار تازه کشف کرده که از جولای ۲۰۲۶ فعاله و مشتری‌های بیش از ۳۰ تا بانک توی ایتالیا، فرانسه، اسپانیا، لهستان، پرتغال، کانادا و کشورهای GCC رو هدف گرفته.
طعمه‌ش یه صفحه فیک Google Play با ظاهر اپ TVTap (پخش IPTV) هست و از طریق Malvertising روی تبلیغات Meta پخش میشه.
ترفند جالب Dropper اینه که با یه VPN محلی ترافیک Play Protect رو قطع می‌کنه تا موقع نصب هیچ اسکنی انجام نشه. برای هر نصب هم یه Certificate جدید می‌سازه، پس تشخیص بر اساس Hash و امضا عملاً بی‌اثر میشه.
بعد از نصب، اول از همه Accessibility Service رو می‌خواد. همین یه دسترسی کافیه تا کنترل کامل گوشی دستش بیفته.
وقتی اپ بانکی رو باز می‌کنی، یه Overlay فیشینگ روش میاد و PIN و کد بانکی و اطلاعات کارتت رو می‌گیره. کنارش Keylogger، Screen Streaming شبیه VNC و حتی دزدیدن Pattern Lock هم داره.
آدرس C2 رو داخل کد نذاشتن. از یه کانال تلگرام به‌صورت Dead-drop با رمزنگاری AES می‌خونه، پس عوض کردن سرور براشون خیلی راحته.
بخش باحالش اینه که API Docs پنل لو رفت و معلوم شد مدل MaaS دارن. توسعه‌دهنده به AI گفته بود داره اپ «Quiz» و «Parental Monitoring» می‌سازه، و حتی یه جواب کامل AI به‌طور اتفاقی وسط یه صفحه فیشینگ واقعی جا مونده بود.
اپراتورش با تگ UNKK شناخته میشه. کامنت‌های روسی هم توی کدها پیدا شده و احتمال ارتباطش با بات‌نت Medusa (تگ UNKN) هم مطرحه.
دقت کنید که:
اپ رو فقط از استور رسمی نصب کنید، هر اپی که Accessibility خواست رو جدی مشکوک بدونید، و هیچ‌وقت PIN رو توی صفحه‌ای که یهویی جلوتون باز شد وارد نکنید.
واقعا از تکنیک های که استفاده میکنند مغز آدم سوت میکشه..!
#malware | #news
A Hunter