Недавно на исследование в департамент комплексного реагирования на киберугрозы Positive Technologies (PT ESC IR) поступил ряд образцов банковского трояна для Android с функциями удаленного управления — Drama RAT. Это вредоносное семейство распространяется с помощью фишинговых сообщений в мессенджерах и маскируется под VPN-сервисы, банковские приложения и другие взломанные утилиты со встроенной платной функциональностью. Ранее о нем писали в УБК МВД.

В ходе исследования выяснилось, что все приложения являются дропперами-загрузчиками: после запуска пользователь получает уведомление об устаревшей версии и необходимости установить обновление.

После нажатия кнопки Update Now («Обновить сейчас») и выдачи прав на установку приложений из неизвестных источников на сервер злоумышленников передаются сведения об устройстве и списке установленных на нем программ. Затем на устройство загружается вредоносное приложение, выполняющее функции банковского трояна.

Работа приложения-дроппера

Во всех анализируемых приложениях обнаружена библиотека, в которой реализована логика связи с C2-сервером, а также механизмы идентификации конкретного устройства. При запуске дроппера на сервер управления отправляется «слепок устройства»: хеш-сумма SHA-256 от конкатенации ANDROID_ID и SHA-256 от подписи приложения.

В ответ C2-сервер отправляет полезную нагрузку и часть ключа, с помощью которого впоследствии она будет расшифрована. Файл полезной нагрузки расшифровывается на устройстве с помощью ключа, состоящего из трех компонентов:

• ключа, ранее полученного с C2-сервера вместе с полезной нагрузкой;

• ключа, зашитого в код приложения;

• хеш-суммы SHA-256 от подписи приложения-дроппера.

По окончании расшифровки полезной нагрузки на устройство пользователя устанавливается вредоносное приложение, а сам файл нагрузки и часть ключа удаляются.

Принцип работы трояна

После установки приложение отправляет на C2-сервер информацию об устройстве: присвоенный ему идентификатор, версию Android, уровень заряда аккумулятора, тип сетевого подключения, изображение обоев рабочего стола, данные о SIM-картах, предоставленных разрешениях и другую информацию. Кроме того, с определенной периодичностью приложение отправляет на C2-сервер фоновые запросы, чтобы подтвердить работоспособность подключения. В этих запросах также содержатся общие сведения о состоянии устройства и данные акселерометра.

Автоматическая выдача разрешений

При установке Drama RAT запрашивает разрешение на использование специальных возможностей (Accessibility). После этого вредонос с помощью библиотеки libnative_core.so самостоятельно определяет, какие дополнительные разрешения ему нужны (в их числе — права доступа к SMS-сообщениям, контактам, микрофону, к записи экрана), находит на экране кнопку «Разрешить» и выдает их себе. В этот момент поверх системного окна «Разрешить приложению доступ к…» появляется непрозрачный черный блок, который скрывает процесс выдачи прав от пользователя.

На рисунке ниже представлена функция, которая в зависимости от сценария может как отрисовать непрозрачное черное поле, так и вывести фишинговое окно.

Похожие приемы используются и для сокрытия записи экрана: приложение может включать ее фоном, чтобы анализировать действия пользователя. Начиная с Android 12 при включении камеры или записи звука на устройстве отображается заметная цветовая индикация. Чтобы обойти это, в верхней части интерфейса поверх экрана рисуется почти прозрачное изображение.

В коде трояна также предусмотрена дополнительная проверка кнопки «Запретить», чтобы приложение случайно не отозвало доступ для некоторых функций.

Возможности трояна

Приложение выполняет широкий набор действий:

• перехват и отправка SMS-сообщений, установка в качестве приложения для работы с SMS по умолчанию;

• использование Accessibility-сервиса для чтения элементов активного экрана, для получения доступа к содержимому буфера обмена и его подмены, для кражи данных из браузеров;

• кейлоггинг — позволяет в режиме реального времени отслеживать нажатия (например, при вводе пароля для телефона или внутри конкретного приложения);

• оверлей-фишинг — подмена экрана приложения с целью кражи данных пользователя;

• сбор информации об установленных приложениях и извлечение из них данных, представляющих интерес для злоумышленника;

• контроль аудиовызовов — для подмены отображаемого номера на устройстве и выполнения звонков на номера, указанные злоумышленником;

• запись и трансляция происходящего на экране с помощью функции удаленного доступа (virtual network computing);

• ведение записи с помощью микрофона и камеры — при этом у пользователя отсутствует индикация происходящей записи;

• сбор всей доступной информации — контактов, логинов и паролей от аккаунтов, геопозиции устройства;

• смена и сокрытие иконки приложения;

• сокрытие уведомлений сторонних приложений.

Устройство также может использоваться для участия в DDoS-атаках на ресурс, указанный C2-сервером.

Для выполнения ряда действий приложение ожидает соответствующую команду от C2-сервера. Обработку поступающих команд выполняет диспетчер SaveMonitorUtilsPanelHandlers – для каждой из них реализован отдельный обработчик с уникальным кодом. Ниже представлен пример функции handDds, отвечающей за DDoS-атаки.

Кроме того, C2-сервер дополнительно отправляет на устройство список приложений, из которых планируется похищать данные.

В коде трояна обнаружены мультиязычные оверлеи: введите PIN/пароль, завершите настройку, другие разрешения, ожидание входа. Шаблоны представлены для 29 языков: азербайджанского, английского, арабского, венгерского, вьетнамского, греческого, датского, иврита, индонезийского, испанского, итальянского, казахского, китайского, корейского, немецкого, нидерландского, польского, португальского, румынского, русского, тайского, турецкого, узбекского, украинского, финского, французского, чешского, шведского, японского.

Общение с сервером

Основной канал для взаимодействия с сервером — WebSocket поверх TLS с взаимной аутентификацией (mTLS). В библиотеке libnative_core.so зашит собственный сертификат (получен из функции nb_getClientP12) с приватным ключом (получен из функции nb_getClientP12Pass).

Есть и резервный канал связи: на случай, если WebSocket заблокируют, команды передаются посредством HTTPS-запросов через CDN-домены, а трафик маскируется под обращение к легитимным ресурсам.

Закрепление в системе

В коде трояна присутствует функциональность закрепления в системе:

1. Планировщик заданий с помощью системного сервиса AlarmManager ставит два «будильника»: основной на 8 секунд и резервный на 30 секунд — на случай, если основной не сработает.

2. Каждые 8 секунд проверяются подключение к C2-серверу, наличие требуемых разрешений и доступность Accessibility, а также работоспособность всех функций приложения. Если сетевое подключение отсутствует или не выполняется какая-либо активность, неактивные компоненты перезапускаются.

В приложении реализован обход встроенного в Android режима экономии заряда батареи (Doze), а также перезапуск служб после перезагрузки устройства (BOOT_COMPLETED/QUICKBOOT_POWERON).

Что при этом видит пользователь

После установки полезной нагрузки пользователю демонстрируется серия экранов, которые представляют собой HTML-страницы, хранящиеся в assets приложения.

«Установите PIN-код» (pin_setup.html) — экран выглядит как окно настройки защиты, но введенный PIN-код или паттерн сохраняется в приложении.

«Требуется VPN» (vpn_required.html) — уведомление о том, что сервис недоступен в стране и необходимо подключиться к VPN.

Окно отображается, если приложению не удается подключиться к C2-серверу. Ниже приведен фрагмент кода, отвечающий за отображение этого окна при недоступности сервера злоумышленников:

«Устройство несовместимо, приложение удаляется…» (compat_check.html) — экран устроен так, чтобы пользователь решил, что приложение удалено. На самом деле оно скрывает свою иконку с рабочего стола и продолжает работать в фоновом режиме.

Если пользователь пытается открыть настройки устройства, чтобы удалить приложение или отозвать предоставленные ему разрешения, троян перенаправляет его на главный экран либо обратно в основное меню настроек устройства. В результате чего удалить приложение или отозвать выданные разрешения без помощи сторонних средств невозможно. Это можно сделать только с помощью ADB или если загрузить устройство в безопасном режиме.

Accessibility-сервис постоянно следит за тем, какой экран открыт. Как только пользователь заходит в настройки устройства, чтобы отозвать разрешения, остановить или удалить приложение, сервис распознает «опасный» экран и нажимает кнопку «Назад» или «Отмена».

Антианализ

Интересно, что файл полезной нагрузки дополнительно защищен от анализа:

• При исследовании приложения обнаружено более 1200 «мусорных» артефактов и несколько фейковых DEX-файлов: они содержат некорректные идентификаторы и структуры, которые не несут никакой пользы и, вероятно, предназначены для затруднения работы аналитика.

• Файл AndroidManifest.xml поломан: злоумышленники специально повредили его на уровне бинарных структур, чтобы затруднить проверку популярными декомпиляторами. Восстановить AndroidManifest.xml можно с помощью утилиты apkInspector.

• Присутствует дополнительная самозащита (в libnative_core.so): детектирование root-прав su/Magisk/KernelSU (/data/adb/ksu)/SuperSU/Xposed/EdXposed, антиотладка и перехват функций Frida (checkHooksJava, initSecurity), проверка отладки ptrace.

В коде приложения также реализована собственная логика обфускации строк: они представлены в формате Base64 и расшифровываются в рантайме, а у каждого  класса есть своя функция расшифровки, отличающаяся операциями и ключами.

Расшифровка осуществляется примерно по такому алгоритму:

plaintext[i] = base64_decoded[i] <±/^> (coef & 0xFF) ^ key[i % key.length]

То есть весь процесс выглядит следующим образом:

1) декодирование строки формата Base64;

2) генерация ключа переменной длины путем вычисления каждого байта простой арифметической операцией (пример на рис. 17);

3) непосредственно расшифровка.

Различия заключаются в арифметических операциях сложения, вычитания или исключающего «или», а также в дополнительном коэффициенте, который для каждой строки кода свой.

В библиотеке libnative_core.so также присутствуют дополнительные функции для расшифровки отдельных строк кода приложения:

• функция nb_nativeDecStr — расшифровывает строки, которые раскрывают логику работы некоторых вредоносных функций, включая внедрение кода, наложение поддельных окон для кражи пользовательских данных, кражу пароля для разблокировки экрана, перечисление списка пакетов приложений для кражи с помощью Accessibility, автоматическую выдачу прав, захват экрана устройства и другие;

• функция nb_nativeDcrptStr — расшифровывает отображаемые пользователю HTML-шаблоны, которые поступают с C2-сервера.

Заключение

Drama RAT — это не просто банковский троян, а инструмент для захвата полного контроля над устройством: он автоматически выдает себе разрешения, скрывается в системе, противодействует удалению и поддерживает независимые каналы связи с сервером. Приложение затрудняет анализ и старается максимально скрыть вредоносную функциональность.

Как защитить ваши устройства

• Устанавливайте обновления ОС и средств защиты.

• Включите «Google Play Защиту» и не игнорируйте предупреждения антивирусных программ.

• Устанавливайте приложения только из официальных магазинов и с сайтов разработчиков.

• Не включайте установку из неизвестных источников.

• Выдавайте разрешение на использование специальных возможностей (Accessibility) только проверенным приложениям, которым оно действительно необходимо.

• Регулярно проверяйте разрешения, предоставленные приложениям: откройте «Настройки», выберите нужное приложение и ознакомьтесь со списком доступом.

• Будьте внимательны к приложениям, которые сразу после установки предлагают установить обновление: под видом обновления на устройство может загрузиться вредоносное ПО.

• Отслеживайте сетевой трафик вашего устройства: к каким доменам или серверам выполнялось подключение, какой объем данных отправляется на эти ресурсы и принимается с них.

• Следите за расходом аккумулятора: если в неактивном состоянии устройство сильно греется или быстро разряжается, возможно, на нем выполняется нелегитимная активность.

• Обращайте внимание на необычное поведение устройства: например, если после установки приложения исчезла его иконка, не удается отозвать предоставленные разрешения или попытка удалить или отключить приложение возвращает вас на главный экран.

Департамент комплексного реагирования на киберугрозы, Positive Technologies