Компания “Group-IB” 21 декабря 2022 года сообщила о распространении нового банковского трояна по всему миру – Godfather. Его жертвы – пользователи финансовых сервисов.
Согласно информации Group-IB, на данный момент жертвами трояна стали пользователи 215 международных банков, 94 криптокошельков и 110 криптопроектов. Максимальная интенсивность атак была зафиксирована в США, Турции, Испании, Канаде, Франции и Великобритании. Интересно, что Godfather обходит стороной пользователей из России и СНГ: если настройки системы содержат один из языков этих стран, троян прекратит свою работу. В отчете сказано, что разработчиками Godfather могут быть русскоязычные злоумышленники.
Group-IB’s #ThreatIntelligence detected more than 400 international financial companies targeted by the #Godfather #Android banking #Trojan between June 2021 and October 2022. Godfather’s predecessor is another #banking Trojan named #Anubis:https://t.co/Kf2IGvrLnk pic.twitter.com/JERnAuNfAC
— Group-IB Global (@GroupIB_GIB) December 21, 2022
Этот троян не является чем-то кардинально новым. В его основе лежит одна из версий хорошо известного банковского трояна Anubis, чей исходный код был слит еще в 2019 году. С выходом новых версий Android многие из возможностей Anubis перестали функционировать, однако его не стали списывать со счетов. Исходный код Anubis был взят за основу разработчиками Godfather, его модернизировали под более новые версии Android, а также усилили механизмы противодействия обнаружению средствами антифрода.
Также Godfather унаследовал метод распространения. Например, загрузчик Godfather располагался в официальном магазине Google Play под видом криптокалькулятора. После запуска приложение предлагало пользователю проверить безопасность смартфона — якобы запускалось стандартное приложение Google Protect — однако после показа 30 секундной анимации, появлялось сообщение, что никаких вредоносных приложений не найдено.
Но в это же время Godfather устанавливал себя в автозапуск, скрывал иконку из списка установленных приложений, а самое главное — получал права к AccessibilityService (это одна из функций Android для пользователей, имеющих ограниченные возможности). Благодаря этому Godfather мог вести запись экрана зараженного устройства, запускать «клавиатурный шпион» — keylogger, рассылать SMS-сообщения и выполнять USSD-запросы и тд.
После того, как пользователь запускал мобильное или веб-приложение банка, криптобиржи или электронного кошелька, Godfather «подсовывал» ему webfake (отображаемые поверх легитимных приложений html-страницы). Все введенные в эти страницы данные, в том числе логины и пароли — отправлялись злоумышленникам.
Одна из особенностей Godfather в том, что его командный сервер находится в описании Telegram-канала (техника получения С2 адреса из Telegram-канала ранее использовалась в некоторых версиях Anubis).
Не купил крипту по низу рынка?
Не беда, есть шанс выиграть в криптоказино! Тренируйся бесплатно и выигрывай криптовалюту в рекомендованных казино! Наш сайт wheretospin.com предлагает не только лучшие обзоры казино, но и возможность выиграть крупные суммы в увлекательных играх.
Присоединяйся прямо сейчас и начни путь к финансовой свободе с нами!
