​📢 بررسی فنی و گام‌به‌گام تروجان بانکی پیشرفته GoldPickaxe؛ وقتی چهره شما کلید گاوصندوق می‌شود!

​تیم تحقیقاتی Zlabs به‌تازگی نسخه جدید و بسیار خطرناکی از تروجان بانکی موبایل به نام GoldPickaxe را شناسایی کرده است. این بدافزار که توسط گروه سایبری مجرب GoldFactory توسعه یافته، برخلاف تروجان‌های سنتی، تمرکز ویژه‌ای روی سرقت داده‌های بیومتریک (تشخیص چهره) و هویت کاربران دارد تا بتواند سیستم‌های احراز هویت پیشرفته بانکی (e-KYC) را دور بزند.

​در ادامه، جزئیات عملکرد این بدافزار را به صورت مرحله‌به‌مرحله و ریزبه‌ریز بررسی می‌کنیم:

​1️⃣ مرحله اول: فریب و ورود اولیه (Infection Vectors)

​مهاجمان سایت‌های فیشینگ حرفه‌ای طراحی کرده‌اند که ادعا می‌کنند نسخه رایگان پلتفرم استریم ویدئوی چینی معروف به نام KuaiBo را ارائه می‌دهند.
​کاربر فریب خورده و یک فایل اولیه به نام Dropper APK را دانلود می‌کند. طراحان بدافزار برای فرار از سیستم‌های شناسایی استاتیک و آنتی‌ویروس‌ها، در این مرحله کدهای مخرب اصلی را درون این فایل قرار نداده‌اند تا حجم و رفتار آن کاملاً عادی به نظر برسد.

​2️⃣ مرحله دوم: نصب مخفیانه با سوءاستفاده از سیستم‌عامل

​برنامه Dropper پس از اجرا، مستقیماً برای نصب برنامه مخرب اصلی اقدام می‌کند. اما به جای روش‌های سنتی که پیام هشدار واضح به کاربر نشان می‌دهد، از یک قابلیت رسمی اندروید به نام SessionInstaller API سوءاستفاده می‌کند.

​این تکنیک هوشمندانه به بدافزار اجازه می‌دهد تا محدودیت‌های سخت‌گیرانه نسخه‌های جدید اندروید در مورد Sideloading (نصب برنامه از منابع ناشناس) و دسترسی‌های Accessibility را به طور کامل دور بزند.

​3️⃣ مرحله سوم: رمزگشایی و بارگذاری پویا در حافظه (DCL)

​کدهای مخرب اصلی بدافزار درون فایلی به نام payload_dex.bin به صورت رمزنگاری‌شده مخفی شده‌اند.

​در لحظه اجرا، برنامه با استفاده از الگوریتم AES و استخراج کلیدها از دو فایل درون برنامه به نام‌های dex_IV.bin و dex_key.bin، فایل اصلی را رمزگشایی کرده و آن را مستقیماً درون حافظه موقت (RAM) دستگاه بارگذاری (Load) می‌کند تا هیچ اثری از فایل رمزگشایی‌شده روی حافظه گوشی باقی نماند.

​4️⃣ مرحله چهارم: تکنیک‌های پنهان‌کاری و فرار از شناسایی

​حذف آیکون (Stealth Mode):
بدافزار کدهای مربوط به نمایش آیکون برنامه (LAUNCHER/MAIN) را در فایل ساختار اندروید (AndroidManifest) حذف می‌کند. در نتیجه، هیچ آیکونی روی صفحه گوشی ظاهر نمی‌شود و کاربر عادی یا محیط‌های تحلیل خودکار (Sandbox) به سادگی متوجه حضور آن نمی‌شوند.

​دستکاری فایل مانیفست:
ساختار XML فایل مانیفست به گونه‌ای عمداً خراب شده است که ابزارهای مهندسی معکوس معروف مانند JADX و Apktool هنگام باز کردن آن کرش می‌کنند، در حالی که سیستم‌عامل اندروید بدون مشکل آن را اجرا می‌کند!

​رمزنگاری ترافیک شبکه:
تمام داده‌های ارسالی به سرور فرماندهی (C2) توسط یک کتابخانه بومی اندروید (libnalib.so) رمزنگاری می‌شوند. این کتابخانه بر اساس زمان هر درخواست (Timestamp) یک بردار اولیه (IV) جدید تولید می‌کند تا سیستم‌های امنیت شبکه متوجه الگوی ثابتِ ترافیک مخرب نشوند.

​5️⃣ مرحله پنجم: قابلیت‌های جاسوسی و سرقت بیومتریک

​بدافزار پس از استقرار کامل، دستورات مخربی را از سرور دریافت و اجرا می‌کند:

​غیرفعال کردن تشخیص چهره گوشی:
با دستور <disable_face_true> قابلیت بیومتریک رسمی گوشی را غیرفعال می‌کند تا سیستم گوشی مجبور به استفاده از الگو (Pattern) یا پین‌کد شود.

​سرقت قفل صفحه: یک صفحه قفل جعلی (Overlay) نمایش داده و رمز عبور یا الگوی کاربر را سرقت می‌کند.

​جاسوسی کامل از صفحه (Screen Scraping):
با سوءاستفاده از Accessibility تمام متون روی صفحه را به صورت لایو سرقت کرده و با Media Projection API، صفحه نمایش را برای مهاجمان پخش زنده می‌کند.

​سرقت کارت شناسایی و ویدئوی چهره: با نمایش صفحات جعلی، از کاربر می‌خواهد عکس کارت شناسایی و یک ویدئو از چهره خود ضبط کند. بدافزار حتی با دستوراتی مثل <face_video_judu> خطای جعلی نشان می‌دهد تا کاربر چندین بار ویدئو ضبط کند و زاویه‌های مختلف چهره او مخدوش نشود!

​تخلیه پیامک‌ها و مخاطبین:
تمام پیامک‌ها (شامل کدهای OTP تایید دو مرحله‌ای) و لیست تماس‌ها به سرور مهاجم فرستاده می‌شود.

​🎯 هدف نهایی

​مهاجمان با ترکیب رمز عبور قفل صفحه، ویدئوی باکیفیت از چهره کاربر و دسترسی به پیامک‌های تایید هویت بانکی، می‌توانند سیستم‌های احراز هویت بیومتریک بانکی را کاملاً فریب داده و حساب‌های قربانی را به طور کامل خالی کنند. در این کمپین، بیش از ۱۱۸ اپلیکیشن بانکی (به ویژه در منطقه اندونزی و مالزی) هدف قرار گرفته‌اند.

​🔗 لینک مقاله اصلی برای مطالعه جزئیات بیشتر: