پژوهشگران امنیت سایبری جزئیات دو خانواده بدافزار جدید اندروید با نام‌های FvncBot و SeedSnatcher را منتشر کرده‌اند، در حالی که نسخه ارتقایافته‌ای از جاسوس‌افزار ClayRat نیز در فضای آنلاین مشاهده شده است.
این یافته‌ها توسط تیم‌های پژوهشی Intel 471، CYFIRMA و Zimperium ارائه شده است.
FvncBot؛ بدافزار جدیدی که از صفر نوشته شده است
بدافزار FvncBot که خود را به‌عنوان یک اپلیکیشن امنیتی وابسته به mBank معرفی می‌کند، کاربران بانکداری موبایلی در لهستان را هدف قرار داده است. نکته مهم این است که این بدافزار کامل از صفر توسعه داده شده و برخلاف تروجان‌هایی مثل ERMAC از نمونه‌های نشت داده‌شده الهام نگرفته است.
این بدافزار قابلیت‌های زیر را پیاده‌سازی کرده است:
کی‌لاگینگ با سوءاستفاده از Accessibility
حملات web-inject
استریم زنده صفحه
HVNC یا کنترل پنهان دستگاه
اجرای تقلب مالی از راه دور
بر اساس گزارش Intel 471، این بدافزار مانند Albiriox با یک سرویس رمزنگاری به نام apk0day محافظت می‌شود که توسط Golden Crypt ارائه می‌شود. اپلیکیشن آلوده نقش لودر را بازی کرده و فایل اصلی بدافزار را نصب می‌کند.
هنگامی که اپلیکیشن اجرا می‌شود، کاربر را فریب می‌دهد تا ظاهراً یک «کامپوننت امنیتی گوگل پلی» نصب کند؛ اما در واقع از این فرآیند برای نصب FvncBot و دور زدن محدودیت‌های Accessibility در اندروید ۱۳ و نسخه‌های جدید استفاده می‌کند.
بدافزار در زمان اجرا، لاگ‌ها را به دامنه‌ی naleymilva.it.com ارسال می‌کند تا وضعیت بات را ردیابی کند. شناسه‌ی ساخت بدافزار (call_pl) نشان می‌دهد که هدف اصلی آن کاربران لهستان هستند و نسخه FvncBot 1.0-P است — یعنی هنوز در مراحل اولیه توسعه قرار دارد.
این بدافزار سپس از کاربر اجازه‌ی دسترسی Accessibility دریافت می‌کند و با سطح دسترسی بالا به یک سرور خارجی متصل شده و دستگاه را از طریق پروتکل HTTP ثبت می‌کند. فرمان‌ها نیز با Firebase Cloud Messaging (FCM) دریافت می‌شوند.
قابلیت‌های اصلی FvncBot
کنترل کامل صفحه با WebSocket (اسکرول، کلیک، Swipe)
استخراج لاگ‌های رویدادهای Accessibility
استخراج فهرست اپلیکیشن‌ها
استخراج اطلاعات دستگاه و پیکربندی بات
نمایش اورلی برای سرقت داده‌های حساس
keylogging
دریافت فرمان‌های جدید از سرور
استریم صفحه با سوءاستفاده از MediaProjection
نمایش حالت “text mode” برای مشاهده محتوای صفحه حتی وقتی اسکرین‌شات بلاک شده
فعلاً مشخص نیست FvncBot از چه روشی توزیع می‌شود، اما تروجان‌های بانکی اندروید معمولاً از SMS فیشینگ و فروشگاه‌های جانبی استفاده می‌کنند.
SeedSnatcher؛ سرقت Seed کیف‌پول و ۲FA
بدافزار SeedSnatcher با نام جعلی Coin در تلگرام توزیع می‌شود و با هدف سرقت seed phrase کیف‌پول‌های رمزارز طراحی شده است.
قابلیت‌ها:
سرقت seed phrase
سرقت کدهای ۲FA از پیامک
استخراج مخاطبین، لاگ تماس‌ها، فایل‌ها و داده‌های حساس
اجرای اورلی‌های فیشینگ
استخراج اطلاعات دستگاه
نشانه‌های موجود در دستورالعمل‌های منتشرشده نشان می‌دهد توسعه‌دهندگان این بدافزار چینی‌زبان یا ساکن چین هستند.
طبق گزارش CYFIRMA، این بدافزار برای دور زدن شناسایی از تکنیک‌های پیشرفته‌ای استفاده می‌کند:
بارگذاری پویا کلاس‌ها
تزریق مخفیانه محتوای WebView
دستورهای C2 مبتنی بر integer
درخواست اولیه حداقل دسترسی‌ها و سپس افزایش سطح مجوزها در مراحل بعد
ClayRat ارتقایافته؛ کنترل کامل دستگاه با سوءاستفاده از Accessibility
Zimperium نسخه جدیدی از ClayRat کشف کرده که اکنون به شکل قابل توجهی خطرناک‌تر شده است.
قابلیت‌های نسخه جدید:
ضبط صفحه
keylogging
برداشت اعلان‌ها
نمایش اورلی‌های مداوم (حتی شبیه آپدیت سیستم)
باز کردن قفل دستگاه (PIN / Pattern / Password)
کنترل کامل دستگاه با سوءاستفاده از Accessibility
اجرای حملات مخفی بدون امکان توقف توسط کاربر
ClayRat از طریق ۲۵ دامنه فیشینگ که سرویس‌های موبایل (از جمله YouTube با نسخه Pro جعلی) را جعل می‌کنند، توزیع شده است. نسخه‌های دیگری نیز با تقلید اپ‌های تاکسی و پارکینگ روسیه مشاهده شده‌اند.
جمع‌بندی
ترکیب قابلیت‌های جدید این سه بدافزار نشان می‌دهد تهدیدات موبایلی وارد مرحله‌ای شده‌اند که:
دور زدن Accessibility به استاندارد حملات تبدیل شده
بدافزارها از استریم صفحه، HVNC و پوشش‌های پایدار پویا برای تقلب مالی استفاده می‌کنند
هدف‌گیری کاربران رمزارز به شدت افزایش یافته
کنترل کامل دستگاه حتی بدون دخالت کاربر امکان‌پذیر شده
این روند هشداری است برای کاربران اندروید و سازمان‌ها که توجه بیشتری به امنیت موبایل، کنترل مجوزها، و بررسی منابع نصب اپلیکیشن داشته باشند.
