Group-IB, международная компания, специализирующаяся на предотвращении киберугроз, зафиксировала активность мобильного Android-трояна Gustuff. Среди его целей — клиенты международных банков, пользователи мобильных криптокошельков, а также крупных e-commerce ресурсов. Gustuff — «представитель» нового поколения вредоносных программ с полностью автоматизированными функциями, нацеленными, в том числе, на вывод фиатных денег и криптовалюты со счетов пользователей. Троян использует Accessibility Service — сервис для людей с ограниченными возможностями.

Анализ сэмпла Gustuff показал, что потенциально троян нацелен на клиентов, использующих мобильные приложения крупнейших банков, таких как: Bank of America, Bank of Scotland, J.P.Morgan, Wells Fargo, Capital One, TD Bank, PNC Bank, а также на криптокошельки Bitcoin Wallet, BitPay, Cryptopay, Coinbase и др. На данный момент, специалистам Group-IB известно, что среди целей Gustuff’а пользователи 32 приложений для хранения криптовалют и клиенты более 100 банков, среди которых 27 — в США, 16 — в Польше, 10 — в Австралии, 9 — в Германии и 8 — Индии.

Изначально созданный, как классический банковский троян, в текущей версии Gustuff значительно расширил список потенциальных объектов для атаки. Помимо Android-приложений банков, финтех-компаний и криптосервисов, Gustuff нацелен на пользователей приложений маркетплейсов, онлайн-магазинов, платежных систем и мессенджеров. В частности, PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut, и других.

Для Gustuff характерен «классический» вектор проникновения на Android-смартфоны через СМС-рассылки со ссылками на APK (Android Package, формат архивных исполняемых файлов-приложений для Android). При заражении Android-устройства трояном, по команде сервера может произойти дальнейшее распространение Gustuff’а по базе контактов инфицированного телефона, либо по базе данных сервера. Функциональные возможности Gustuff рассчитаны на массовое заражение и максимальную капитализацию бизнеса своих операторов — в нем присутствует уникальная функция «автозалива» в легитимные мобильные банковские приложения и криптокошельки, что позволяет ускорить и масштабировать кражу денег.

Исследование трояна показало, что функция автозалива реализована в нем при помощи Accessibility Service — сервиса для людей с ограниченными возможностями. Gustuff — не первый троян, который успешно обходит защиту от взаимодействия с другими окнами с помощью данного сервиса Android. Однако использование Accessibility Service для реализации функции автозалива остается до сих пор достаточно редким явлением.

После загрузки на телефон жертвы Gustuff, используя Accessibility Service, получает возможность взаимодействовать с элементами окон других приложений (банковских, криптовалютных, а также приложений для онлайн-шоппинга, обмена сообщениями и др.), выполняя необходимые для злоумышленников действия. К примеру, по команде сервера троян может нажимать на кнопки и изменять значения текстовых полей в банковских приложениях. Использование механизма Accessibility Service позволяет трояну обходить механизмы защиты, используемые банками для противодействия мобильным троянам прошлого поколения, а также изменения в политике безопасности, внедренные Google в новые версии ОС Android. Так, Gustuff «умеет» отключать защиту Google Protect: по заверениям автора, данная функция срабатывает в 70% случаев.

Также Gustuff может демонстрировать фейковые PUSH-уведомления с иконками легитимных мобильных приложений. Пользователь кликает на PUSH-уведомление и видит загруженное с сервера фишинговое окно, куда сам вводит запрашиваемые данные банковской карты или криптокошелька. В другом сценарии работы Gustuff происходит открытие приложения, от имени которого демонстрировалось PUSH-уведомление. В этом случае вредоносная программа по команде сервера через Accessibility Service может заполнять поля формы банковского приложения для мошеннической транзакции.

В функциональные возможности Gustuff также входят отправка на сервер информации о заражённом устройстве, возможность чтения/отправления СМС-сообщений, отправление USSD-запросов, запуск SOCKS5 Proxy, переход по ссылке, отправление файлов (в том числе фотосканы документов, скриншоты, фотографии) на сервер, сброс устройства до заводских настроек.

«В целях защиты своих клиентов от угрозы мобильных троянов компании должны использовать комплексные решения, которые позволяют без установки дополнительного программного обеспечения на устройства пользователей, отслеживать и предупреждать вредоносную активность, — прокомментировал Павел Крылов, руководитель направления Group-IB Secure Bank. — Для этого сигнатурные методы обнаружения мобильных троянов необходимо усиливать технологиями анализа поведения как клиента, так и самого приложения. Так же защита должна включать в себя функцию идентификации устройств с использованием технологии цифрового отпечатка, что позволит понять, когда учётная запись используется с нетипичного устройства и уже попала в руки мошенника. Принципиально важный момент — наличие возможности кросс-канального анализа, что дает возможность компаниям контролировать риски, возникающие на стороне не только интернет-, но и мобильного канала, например, в приложениях для мобильного банкинга, для операций с криптовалютами и любых других, где может осуществляться финансовая транзакция».

Автором мобильного трояна является русскоязычный киберпреступник, при этом Gustuff «работает» исключительно на международных рынках. «Новые Android-трояны, в том числе Gustuff, предлагаемые на хакерских форумах, ориентированы, прежде всего, на использование за пределами России и нацелены международные объекты, — заметил Рустам Миркасымов, руководитель отдела динамического анализа вредоносного кода Group-IB. — В России после задержания владельцев крупнейших Android-ботсетей, количество ежедневных хищений снизилась в три раза, активность троянов сильно снизилась, их авторы переключились на международный рынок. Однако некоторые злоумышленники „патчат“ (модифицируют) приложения и продают трояны для последующих атак на пользователей в России».

Впервые система киберразведки Threat Intelligence Group-IB обнаружила Gustuff на хакерских форумах в апреле 2018 года. По словам разработчика, скрывающегося под ником Bestoffer, Gustuf стал новой улучшенной версией вредоносной программы AndyBot, которая с ноября 2017 года атакует телефоны с ОС Android, для кражи денег используя фишинговые веб-формы, маскирующиеся под мобильные приложения известных международных банков и платежных систем. Gustuff — «серьезный продукт для людей со знаниями и опытом», рекламировал создатель свой троян. Цена аренды «Gustuff Bot» составляла $800 в месяц. Клиенты Group-IB Threat Intelligence (киберразведка) были оперативно предупреждены об активности Gustuff. Команда аналитиков компании продолжает изучение трояна.