اهداف و دامنه فعالیت بدافزار Manic
این بدافزار دست‌کم 169 اپلیکیشن مرتبط با بانکداری، سامانه‌های دولتی و هویت دیجیتال (eID)، پرداخت، کیف پول‌های رمزارزی، پیام‌رسان‌ها و ابزارهای احراز هویت و احراز هویت دومرحله‌ای (2FA) را هدف قرار داده است. در این کمپین، تمرکز اصلی مهاجمان بر کاربران اوکراین است.
شرکت امنیت موبایل ThreatFabric در بررسی بدافزار Manic دریافت که این بدافزار با قرار دادن یک لایه پوششی نامحسوس (Overlay) روی صفحه‌کلید عددی اپلیکیشن‌های قانونی، ورودی‌های کاربر را بدون اطلاع او ثبت می‌کند. این لایه پوششی از دید کاربر قابل تشخیص نیست و به مهاجمان اجازه می‌دهد تعاملات کاربر با صفحه‌کلید را ثبت کنند. سپس ورودی‌های ثبت‌شده را با استفاده از قابلیت دسترس‌پذیری اندروید (Android Accessibility) به اپلیکیشن اصلی منتقل می‌کند تا اپلیکیشن بدون ایجاد اختلال به عملکرد عادی خود ادامه دهد.
قابلیت‌های سرقت اطلاعات و کنترل از راه دور
بدافزار Manic پس از دریافت مجوز دسترس‌پذیری و دسترسی به اعلان‌ها (Notification)، می‌تواند پین (PIN) و رمز عبور صفحه قفل، اعلان‌ها و پیامک‌ها را سرقت کند و به فایل‌ها، اطلاعات موقعیت مکانی و محتوای صفحه‌نمایش نیز دسترسی داشته باشد. همچنین این بدافزار از طریق نشست‌های WebRTC امکان کنترل از راه دور دستگاه را برای اپراتورهای خود فراهم می‌کند.
این بدافزار اطلاعات جمع‌آوری‌شده را بر اساس نوع دسته‌بندی می‌کند تا داده‌ها برای اپراتورهای آن قابل‌استفاده‌تر باشند. به گفته ThreatFabric، این بدافزار از سرویس دسترس‌پذیری اندروید به‌عنوان یک کی‌لاگر رابط کاربری (UI Keylogger) استفاده می‌کند. این بدافزار قادر است ورودی‌های صفحه قفل، عبارات احتمالی بازیابی ، کدهای چهار تا شش‌رقمی ارسال‌شده از طریق پیامک، رمزهای عبور، پیام‌های طولانی و اطلاعات ورود به حساب‌های ایمیل را از متن‌های معمولی تشخیص دهد. این قابلیت باعث می‌شود مهاجمان بتوانند راحت‌تر از اطلاعات حساس و ارزشمند جمع‌آوری‌شده سوءاستفاده کنند.
مکانیزم استخراج داده‌ها در بدافزار Manic
توسعه‌دهندگان بدافزار Manic مکانیزمی غیرمعمول برای استخراج داده‌ها طراحی کرده‌اند که در صورت قطع ارتباط دستگاه آلوده با سرور فرماندهی و کنترل (C2) فعال می‌شود.
به گفته پژوهشگران داده‌های جمع‌آوری‌شده ابتدا رمزگذاری می‌شوند و سپس از طریق دستگاه‌های آلوده نزدیک و با استفاده از ارتباط وای‌فای دایرکت (Wi-Fi Direct) یا بلوتوث انتقال پیدا می‌کنند.
بر اساس بررسی ThreatFabric، این بدافزار ابتدا تلاش می‌کند از یک دستگاه متصل از طریق وای‌فای دایرکت استفاده کند. سپس دستگاه‌های اطراف را از طریق بلوتوث و بلوتوث کم‌مصرف (BLE) بررسی می‌کند تا مشخص شود کدام‌یک به اینترنت دسترسی دارند.
در صورت نیاز، بدافزار می‌تواند از مسیرهای چندمرحله‌ای برای انتقال داده‌ها استفاده کند. در این روش، داده‌ها به‌صورت پیش‌فرض می‌توانند از حداکثر چهار رله (Relay) عبور کنند و در نهایت به دستگاهی برسند که به اینترنت دسترسی دارد.
این مکانیزم امکان استخراج داده‌ها حتی از دستگاه‌های آفلاین را فراهم می‌کند، به شرط آنکه یک دستگاه آلوده دیگر در محدوده ارتباطی وای‌فای یا بلوتوث دستگاه قربانی قرار داشته باشد.
دامنه اهداف و تغییرات زیرساخت حمله
به گفته ThreatFabric، بدافزار Manic اپلیکیشن‌های مورد استفاده در کشورهای اروپای مرکزی و غربی، از جمله بریتانیا، و همچنین روسیه را هدف قرار داده است. با این حال، به نظر می‌رسد تمرکز اصلی مهاجمان بر اپلیکیشن‌های بانکی و دولتی و هویت دیجیتال (eID) در اوکراین و همچنین سرویس‌های جهانی فین‌تک (FinTech) و رمزارزی باشد. با این حال، هنوز مشخص نیست این بدافزار دقیقاً از چه روشی به دستگاه قربانی نفوذ می‌کند.
پژوهشگران در اواخر ماه می متوجه استفاده از یک Wrapper شدند که پیلود اصلی را به دستگاه قربانی منتقل می‌کرد. در ماه‌های بعد نیز زیرساخت مورد استفاده مهاجمان به‌تدریج توسعه پیدا کرد.
پژوهشگران در ماه جولای نسخه به‌روزرسانی شده از این Wrapper را نیز در حملات شناسایی کردند که از قابلیت‌های قدرتمندتر ضدتحلیل و بارگذاری DEX در حافظه برخوردار بود. هم‌زمان، یک پنل مدیریتی و API جدید نیز به زیرساخت این عملیات اضافه شد.
توصیه‌های امنیتی به کاربران اندروید
برای کاهش ریسک آلودگی به بدافزار Manic و تهدیدهای مشابه، کاربران اندروید باید از دانلود فایل‌های APK از منابع ناشناس و وب‌سایت‌ها یا پورتال‌های غیررسمی خودداری کنند. همچنین توصیه می‌شود مجوز دسترس‌پذیری تنها زمانی در اختیار یک اپلیکیشن قرار گیرد که این دسترسی برای عملکرد آن ضروری باشد و اپلیکیشن نیز از منبعی معتبر و قابل اعتماد دریافت شده باشد.
همچنین کاربران باید به‌صورت منظم قابلیت گوگل پلی پروتکت (Google Play Protect) را برای اسکن دستگاه اجرا کنند. این قابلیت امکان شناسایی و حذف نسخه‌های شناخته‌شده بدافزارهای اندرویدی را فراهم می‌کند.
گوگل نیز در بیانیه‌ای اعلام کرده است که بر اساس بررسی‌های فعلی، هیچ اپلیکیشنی حاوی این بدافزار در گوگل پلی شناسایی نشده است.
همچنین سخنگوی گوگل اعلام کرد که گوگل پلی پروتکت به‌صورت خودکار از کاربران اندروید در برابر نسخه‌های شناخته‌شده این بدافزار محافظت می‌کند. این قابلیت به‌صورت پیش‌فرض در دستگاه‌های اندرویدی مجهز به سرویس‌های گوگل پلی فعال است.
