|
https://forum.antichat.xyz/attachmen...1976755841.png
Сентябрь 2024 года. Пользователи в Таиланде, Индонезии и Вьетнаме скачивают приложения, которые выглядят в точности как приложения их банков. Они вводят логины и пароли, видят знакомый интерфейс, подтверждают операции. Всё как обычно. Кроме одного: всё, что они делают, видят хакеры в реальном времени. При этом само банковское приложение не взломано, устройство не рутовано, антивирус молчит. Как такое возможно? Ответ - FjordPhantom. FjordPhantom - это не просто очередной банковский троян. Это смена парадигмы. Вместо того чтобы модифицировать банковское приложение или накладывать поверх него фишинговые окна, злоумышленники запускают его внутри виртуальной среды прямо на устройстве жертвы. Эта техника, впервые задокументированная Promon в конце 2023 года, позволяет обойти практически все существующие защиты мобильных приложений. В этой статье разберем по костям, как работает эта новая генерация малвари, почему виртуализация стала идеальным оружием против банковских приложений, как именно FjordPhantom использует легитимные open-source инструменты для своих целей и, главное, как защититься, когда старые методы детекции перестали работать. https://forum.antichat.xyz/attachmen...1906279075.png Что такое FjordPhantom Открытие и хронология появления В начале сентября 2023 года специалисты компании Promon через своего давнего партнёра i-Sprint получили тревожные сообщения о новом Android-вредоносе, распространяющемся в странах Юго-Восточной Азии . К концу ноября того же года Promon публично раскрыл информацию об этой угрозе, назвав её FjordPhantom - за способность оставаться незаметной и скрытно распространяться . Позже, в марте 2025 года, вредонос был официально задокументирован в базе знаний MITRE ATT&CK под идентификатором S1208 . Определение и основная цель FjordPhantom - это вредоносное приложение для Android, главная цель которого - кража учётных данных онлайн-банков и манипуляция транзакциями непосредственно на устройстве жертвы . Вредонос нацелен на пользователей банковских сервисов и использует комбинацию технических и социально-инженерных методов для обмана жертв. Ключевые факты, определяющие прорывной характер
Атаки были зафиксированы в Индонезии, Таиланде, Вьетнаме, Сингапуре и Малайзии . Распространение идёт в основном через мессенджеры и фишинговые сообщения . Ущерб от одной только подтверждённой атаки составил 10 миллионов тайских бат (около 280 000 долларов США) на момент написания отчёта Promon . Модульная структура и множественные цели FjordPhantom спроектирован модульно, что позволяет ему атаковать различные банковские приложения . В исследованном образце вредонос был нацелен на одно конкретное банковское приложение, но код содержал возможности для атак на семь других . Конкретная атака зависит от встроенного банковского приложения . Это первый массовый вредонос, использующий виртуализацию для выполнения вредоносных операций и кражи учётных данных, что позволяет обойти практически все существующие защиты мобильных приложений. Анатомия заражения - от фишинга до финала Процесс заражения FjordPhantom - это не просто скинуть APK-файл и надеяться, что жертва его запустит. Это двухэтапная, тщательно спланированная операция, сочетающая передовые технологии виртуализации с классической, но хорошо отточенной социальной инженерией. Операторы используют живых людей в колл-центрах, чтобы довести жертву до финала. Вектор распространения: цифровая наживка FjordPhantom не прячется в Google Play. Он распространяется через фишинговые сообщения, используя методы, которые MITRE классифицирует как T1660 (Phishing). Атакующие используют для доставки email, SMS и популярные мессенджеры, особенно те, что распространены в Юго-Восточной Азии. Жертве приходит сообщение, которое выглядит как официальное уведомление от её банка. Содержание может быть разным, но суть одна:
Социальная инженерия в действии: живой голос в трубке Но самое интересное начинается после того, как жертва установила приложение. Через некоторое время (обычно от нескольких минут до часа) ей звонит "сотрудник службы поддержки банка" . Это не робот и не автоинформатор - это живой человек, часто говорящий на местном языке без акцента. Звонок может выглядеть так:
Техническая начинка APK-файла, который устанавливает жертва, устроена как матрёшка. Внутри одного установочного пакета скрываются несколько компонентов:
https://forum.antichat.xyz/attachmen...1906619982.png Технология атаки - как работает виртуализация на Android Технология, лежащая в основе FjordPhantom, - это не какой-то секретный военный софт. Это открытые, легитимные инструменты, которые можно найти на GitHub. Злоумышленники просто собрали их вместе и направили в нужное русло. Что такое виртуализация на Android в принципе Чтобы понять атаку, нужно понять, что такое виртуализация на Android. В мире Android существуют легитимные приложения-контейнеры, такие как Parallel Space, Island, Shelter и десятки других. Они позволяют запускать несколько копий одного и того же приложения или изолировать "рабочий" и "личный" профили на одном устройстве. Обычный use case - например, чтобы иметь два аккаунта WhatsApp на одном телефоне (чего стандартный Android не позволяет). Как это работает технически: такое приложение-хост создает собственную виртуальную файловую систему внутри себя. Вы устанавливаете в него копию нужного приложения (например, второй WhatsApp), и оно запускается внутри этого изолированного "пузыря". С точки зрения операционной системы Android, запущено только одно приложение - сам хост. А внутри него работает ваш второй мессенджер. Google разрешает такие приложения, многие из них легально доступны в Google Play Store. Они считаются полезными инструментами. Как это работает у FjordPhantom FjordPhantom берет эту легитимную технологию и ставит её на службу криминалу. Вредоносное приложение, которое устанавливает жертва, само является таким хостом. Но внутри него находится не просто копия банковского приложения, а целый арсенал. Процесс технически выглядит так:
Такой подход дает хакерам несколько критических преимуществ:
И всё это происходит без ведома пользователя. Устройство не рутовано, антивирус молчит, а банковское приложение работает как обычно. Разница лишь в том, что оно работает не в "родной" среде Android, а в "матрице", созданной хакерами. Разрушение Android-песочницы (Sandbox Escape) - Сердце атаки Если виртуализация - это контейнер, в котором всё происходит, то разрушение песочницы - это тот самый момент, когда вредонос получает ключи от королевства. FjordPhantom не просто запускает банковское приложение рядом с собой - он делает их частью одного целого, полностью уничтожая главный защитный механизм Android. Как работает Android Sandbox в норме Чтобы понять масштаб катастрофы, нужно понять, что такое Android Sandbox. Android использует песочницы для изоляции ресурсов и выполнения кода между приложениями и операционной системой. Это фундаментальный принцип безопасности, заложенный в ядро системы. Как это работает технически:
Что происходит в виртуальном контейнере FjordPhantom FjordPhantom грубо ломает этот механизм через виртуализацию. Когда хост-приложение создает виртуальный контейнер и запускает внутри него банковское приложение, происходит нечто принципиально иное. В нормальной Android-среде каждое приложение - отдельная песочница. В среде FjordPhantom все приложения внутри одного хоста работают в едином sandbox'е . Это означает, что вредоносный код и банковское приложение существуют в одном адресном пространстве, имеют доступ к файлам друг друга и могут взаимодействовать напрямую. Более того, виртуализационное решение, используемое вредоносом, сначала загружает свой собственный код (и все остальное, что находится в его приложении) в новый процесс, а затем загружает код размещаемого приложения . Таким образом, вредонос оказывается в памяти раньше, чем банковское приложение. Критическое преимущество для атакующих Это разрушение песочницы даёт хакерам несколько колоссальных преимуществ:
Что это значит на практике На практике это выглядит так: банковское приложение считает, что оно работает в идеально безопасной среде. Оно выполняет все свои проверки, все они проходят успешно. Оно открывает сессию, загружает данные пользователя, отображает баланс. И всё это время рядом в том же процессе сидит вредонос, который видит абсолютно всё и может в любой момент вмешаться. Как объясняет MITRE, виртуализация позволяет выполнять вредоносные операции без ведома пользователя . Например, вредонос может имитировать функциональность легитимного банковского приложения в виртуальной среде, пока вредоносный код перехватывает учётные данные. И самое страшное: банковское приложение не модифицировано. Код остался родным, подпись цела. Все защиты, основанные на проверке целостности, бесполезны. Инъекция кода без модификации приложения - Троянский конь нового поколения Это, пожалуй, самый изящный и технически сложный элемент атаки FjordPhantom. Хакерам нужно было внедрить свой код в процесс банковского приложения, чтобы контролировать его, но при этом оставить само приложение нетронутым. И они нашли способ, который MITRE классифицирует как T1631 (Process Injection). Традиционный метод: грубая сила (репаккинг) Чтобы понять гениальность подхода FjordPhantom, нужно сначала посмотреть, как работали злоумышленники раньше. Традиционный метод инъекции кода в Android-приложения называется репаккингом. Схема простая:
Метод FjordPhantom: хирургическая точность FjordPhantom обходит эту проблему кардинально другим способом. Они не модифицируют банковское приложение. Вообще. APK банка остаётся абсолютно нетронутым, со всей оригинальной подписью и кодом. Как же тогда вредоносный код попадает в процесс? Секрет в порядке загрузки, который обеспечивает виртуализация:
Результат: идеальная маскировка Для банковского приложения ситуация выглядит абсолютно нормальной. Оно запускается в своём собственном процессе (как оно думает), его код и подпись не изменены, все проверки целостности проходят успешно . Но на самом деле оно запустилось в процессе, где уже живёт вредонос. Это как зайти в свой дом и не заметить, что там уже сидят чужие люди. Почему это работает так хорошо:
FjordPhantom обходит это ограничение, используя виртуализацию не как способ инъекции, а как способ создания среды, где приложения "добровольно" оказываются в одном процессе. Банковское приложение не подвергается инъекции - оно просто запускается там, где вредонос уже есть. Этот метод делает бесполезными все защиты, основанные на проверке целостности кода и подписи приложения. Как отмечают эксперты, традиционные методы обнаружения модификации кода не работают, потому что код не модифицирован . Вредоносный код живёт в хосте, банковское приложение живёт в контейнере, а вместе они образуют смертоносный тандем, который невозможно обнаружить стандартными средствами. Хукинг-фреймворки и обход защит - Как FjordPhantom дурит детекторы Итак, у нас есть виртуальный контейнер, внутри которого банковское приложение мирно работает, даже не подозревая, что рядом сидит вредонос. Но этого мало. Чтобы остаться незамеченным и беспрепятственно воровать данные, нужно ещё заставить замолчать системы безопасности, встроенные в само банковское приложение. Именно здесь в игру вступают хукинг-фреймворки - мощные инструменты, которые обычно используют разработчики для отладки, а хакеры - для обхода защит. FjordPhantom использует технику, классифицированную MITRE как T1617 (Hooking) . Это перехват системных вызовов и API-функций, чтобы подменить ответ, который приложение ожидает от операционной системы. Что такое хукинг и почему это мощно Представь, что банковское приложение регулярно звонит в техподдержку Android с вопросом: "Есть ли на устройстве включенные сервисы доступности?" или "Не заблокировано ли устройство?". В нормальной ситуации техподдержка (ядро) отвечает честно. Хукинг - это когда вредонос ставит на телефонную линию "прослушку" и перехватывает разговор. Приложение задаёт вопрос, а вредонос отвечает вместо системы: "Всё чисто, босс, никаких проблем". Приложение успокаивается и продолжает работать. Обход детекции Accessibility Service (Сервисы доступности) Сервисы доступности (Accessibility Service) - это палка о двух концах. Изначально они созданы, чтобы помогать людям с ограниченными возможностями: читать текст с экрана, управлять голосом и так далее. Но уже много лет это главный инструмент банковских троянов для считывания данных с экрана и перехвата нажатий. Поэтому все уважающие себя банковские приложения проверяют, не включены ли на устройстве подозрительные сервисы доступности. Если какой-то левый сервис активен, банк может заблокировать вход или показать предупреждение. FjordPhantom обходит эту защиту с помощью хукинга. Вредонос перехватывает API-вызовы, связанные с проверкой Accessibility Service. Когда банковское приложение запрашивает у системы список активных сервисов, FjordPhantom подменяет ответ и возвращает пустой список . Приложение думает, что всё чисто, хотя на самом деле вредоносный сервис работает на полную катушку. Обход SafetyNet и Root-детекции SafetyNet - это набор сервисов Google Play, который позволяет приложениям проверять, не взломано ли устройство, не установлен ли рут, не разблокирован ли загрузчик. Многие банковские приложения полагаются на SafetyNet для принятия решения, стоит ли доверять устройству. FjordPhantom применяет здесь другой трюк. Он хукает API GooglePlayServices и заставляет банковское приложение думать, что эти сервисы недоступны . Многие приложения, сталкиваясь с отсутствием GooglePlayServices, не блокируют доступ, а просто пропускают проверки на рут, так как не могут их выполнить. В результате приложение запускается даже на устройстве с рутом, а уж на чистом, но скомпрометированном через виртуализацию - и подавно. Самый наглый приём - перехват UI-функций для автоматического закрытия любых диалоговых окон, которые банк пытается показать пользователю. Банковское приложение может выдать предупреждение: "Обнаружена подозрительная активность, продолжить?" или "Ваше устройство небезопасно". В нормальной ситуации пользователь должен нажать "Отмена" или "Выход". Но FjordPhantom хукает методы, отвечающие за отображение этих окон, и просто закрывает их, как только они появляются. Жертва даже не видит предупреждений. Многие из этих диалоговых окон нельзя закрыть обычным способом, но вредонос делает это программно, и пользователь остаётся в неведении. В коде FjordPhantom исследователи Promon обнаружили множество хуков, которые логируют различные действия целевых приложений, не изменяя их поведение. Это, скорее всего, отладочная функциональность, оставленная разработчиками вредоноса. Они хотят видеть, что именно происходит в атакуемом приложении, чтобы адаптировать свои следующие шаги. Это явный признак того, что FjordPhantom находится в активной разработке и, вероятно, будет эволюционировать для атак на новые приложения. Почему это работает Хукинг-фреймворки, используемые FjordPhantom, сами по себе не являются вредоносными. Это open-source инструменты, созданные для легитимных целей: отладки, автоматизации тестирования, кастомизации. Вредонос просто берёт готовый код и встраивает его в свою схему. Это делает его ещё более опасным, потому что сигнатурный анализ таких фреймворков бесполезен - они есть в каждой второй "песочнице" разработчика. В результате банковское приложение оказывается в идеальной ловушке: все его защитные механизмы дают зелёный свет, а пользователь не получает никаких предупреждений. Тем временем вредонос спокойно собирает данные и передаёт их атакующим. Кейсы и методы атак - от кейлоггинга до манипуляции транзакциями После того как вредонос получил контроль над виртуальным окружением, обошёл все защиты и заставил банковское приложение работать в "матрице", начинается самое интересное - непосредственно кража денег. Методы, которые используют операторы FjordPhantom, делятся на несколько уровней: от пассивного наблюдения до активного управления транзакциями в реальном времени. Уровень 1: Скринскрэппинг и кейлоггинг - сбор данных Самый базовый уровень атаки - это просто чтение всего, что происходит на экране, и перехват всего, что вводит пользователь. Для этого FjordPhantom использует сервисы доступности (Accessibility Service), которые, как мы помним из части 6, успешно скрыты от детекции банковского приложения. Как это работает технически:
Уровень 2: Манипуляция транзакциями в реальном времени Это уже высший пилотаж. Когда жертва инициирует перевод, вредонос может вмешаться в процесс и изменить параметры транзакции прямо перед подтверждением. Схема выглядит так:
Уровень 3: Роль живого колл-центра FjordPhantom - это не просто техническая атака, это киберпреступление с человеческим лицом. В схеме задействованы живые операторы, которые сидят в колл-центре и звонят жертвам. Как это работает:
Уровень 4: Кража OTP (одноразовых паролей) Двухфакторная аутентификация, основанная на SMS, традиционно считалась надёжной защитой. Но для FjordPhantom это не проблема. У вредоноса есть как минимум три способа получить OTP:
Реальные кейсы: что удалось украсть Promon зафиксировал как минимум один подтверждённый случай успешной атаки с использованием FjordPhantom. Ущерб составил 10 миллионов тайских бат, что на момент написания отчёта равнялось примерно 280 000 долларов США . Это только один эпизод, который удалось отследить. Реальное количество украденных денег может быть значительно выше, так как банки не всегда раскрывают информацию о таких инцидентах. Эволюция: GodFather идёт дальше Техника, использованная FjordPhantom, не осталась единичным экспериментом. В 2025 году исследователи Zimperium обнаружили новую версию Android-зловреда GodFather, которая пошла ещё дальше и подтвердила, что виртуализация становится новым стандартом для банковских троянов. GodFather создаёт изолированную виртуальную среду прямо на смартфоне жертвы и запускает в ней настоящие банковские приложения. Но его главная инновация - техника StubActivity:
Что это значит для индустрии GodFather показывает, что техника FjordPhantom не просто работает, она масштабируется и совершенствуется. Если FjordPhantom был proof-of-concept для ограниченного числа банков в Юго-Восточной Азии, то GodFather - это уже промышленный масштаб: полтысячи приложений по всему миру. Методы атак эволюционируют от простого считывания данных к активному управлению транзакциями, а комбинация технологий и живой социальной инженерии делает защиту от таких угроз чрезвычайно сложной задачей. https://forum.antichat.xyz/attachmen...1976727311.png Жертвы и география - кто в зоне риска Понимание того, кого именно атакует FjordPhantom и почему выбор пал на конкретные регионы, даёт ключ к осознанию масштабов угрозы и её эволюции. Это не случайный разброс, а тщательно спланированная кампания, учитывающая особенности местных рынков, поведения пользователей и уровня защиты банков. Первичный регион: Юго-Восточная Азия Атаки FjordPhantom были впервые задокументированы в пяти странах Юго-Восточной Азии: Индонезия, Таиланд, Вьетнам, Сингапур и Малайзия . Выбор этих стран не случаен и продиктован несколькими факторами.
Основная цель FjordPhantom - банковские и финансовые приложения. Исследованный Promon образец был нацелен на одно конкретное банковское приложение в этом регионе. Однако код содержал в себе заготовки для атак как минимум на семь других банковских приложений . Это говорит о том, что операторы изначально планировали масштабировать атаку и имели список целей. Конкретная атака зависит от того, какое банковское приложение встроено в распространяемый APK . Злоумышленники создают несколько версий вредоноса, каждая под конкретный банк, и распространяют их среди клиентов этого банка. Это делает фишинг более убедительным: жертва получает ссылку на "обновление" именно своего банка. Жертвы: кто в группе риска Портрет типичной жертвы FjordPhantom:
Детекция - почему старые методы не работают и что делать Обнаружение FjordPhantom - это вызов для всей индустрии мобильной безопасности. Традиционные методы, на которые полагались банки и антивирусы годами, здесь просто бесполезны. Чтобы понять, как детектить такую угрозу, нужно сначала осознать, почему старые подходы проваливаются. Почему сигнатурный анализ бесполезен Сигнатурный анализ - это когда антивирус ищет в коде известные последовательности байт или хеши файлов, характерные для вредоносов. В случае с FjordPhantom этот метод не работает по трем причинам:
Почему поведенческий анализ на уровне ОС тоже пасует Android не видит ничего необычного. Запущено приложение (хост). Внутри него работает другое приложение, но для ядра Android это просто часть процесса хоста. Песочница работает штатно, никаких нарушений прав доступа не происходит. Все API-вызовы, которые делает банковское приложение, выглядят нормально, потому что их перехватывает и модифицирует хукинг-фреймворк уже после того, как они покинули приложение, но до того, как они достигли ядра. Стратегия детекции от MITRE MITRE ATT&CK предлагает несколько методов для обнаружения таких угроз. Они не дают 100% гарантии, но значительно повышают шансы. Метод 1: Проверка прав доступа (DS0042 - User Interface) Самый простой и доступный метод - это ручная или автоматизированная проверка того, какие приложения имеют расширенные права доступа.
Этот метод предназначен для магазинов приложений и корпоративных каталогов.
Это уже метод для защищенных сред и продвинутых решений безопасности (RASP).
FjordPhantom использует открытые хукинг-фреймворки, такие как Frida или Xposed. У этих фреймворков есть свои детектируемые признаки.
Это наиболее продвинутый метод, который должны внедрять сами банковские приложения.
Метод 6: Обучение пользователей (User Guidance) MITRE также подчеркивает важность обучения пользователей (M1011 - User Guidance).
Подводя итог по детекции, можно составить следующий чек-лист:
MITRE ATT&CK Mapping - как классифицируется атака Фреймворк MITRE ATT&CK - это база знаний, которая систематизирует тактики и техники, используемые киберпреступниками. Он помогает специалистам по безопасности говорить на одном языке, классифицировать угрозы и выстраивать защиту. FjordPhantom, будучи сложной многоступенчатой атакой, использует целый набор техник, которые идеально ложатся в эту матрицу. Понимание этих техник позволяет не только детектировать конкретный вредонос, но и предвидеть, как могут действовать его последователи. В марте 2025 года вредонос был официально задокументирован в базе знаний MITRE ATT&CK под идентификатором S1208 . Рассмотрим подробно каждую технику, которую применяет FjordPhantom, и как именно она реализована в этой атаке. T1670 - Virtualization Solution (Виртуализация) Это сердце атаки, её главная инновационная техника. MITRE определяет её как использование технологии виртуализации для выполнения вредоносных операций. Как это реализовано в FjordPhantom: Вредоносное приложение выступает в роли хоста, внутри которого создаётся виртуальная среда. В эту среду устанавливается и запускается оригинальное, не модифицированное банковское приложение. Для Android-системы виден только процесс хоста, а банковское приложение работает внутри него как часть того же процесса . Это позволяет:
Связь с другими техниками: Виртуализация создаёт среду, в которой становятся возможны Process Injection (T1631) и Hooking (T1617). T1631 - Process Injection (Инъекция кода в процесс) Традиционно инъекция кода в процессы на Android требует либо root-доступа, либо эксплуатации уязвимости. FjordPhantom обходит это ограничение через виртуализацию. Как это реализовано в FjordPhantom: Вредонос не внедряет свой код в уже работающий процесс банковского приложения. Вместо этого он создаёт новый процесс и сначала загружает в него свой код (хост, вредоносные модули, хукинг-фреймворк), а затем уже в этот же процесс загружается код банковского приложения . Таким образом, вредонос оказывается в памяти раньше, и банковское приложение запускается в уже "заражённом" процессе. Для самого приложения это выглядит как нормальный запуск, проверки целостности проходят успешно, но вредоносный код уже присутствует. MITRE отмечает, что этот метод позволяет выполнять произвольный код в контексте другого приложения, что даёт доступ к его данным и функциональности. T1617 - Hooking (Перехват системных вызовов) Хукинг - это техника перехвата и модификации системных вызовов и API-функций. Вредонос использует её, чтобы обмануть системы безопасности банковского приложения. Как это реализовано в FjordPhantom:
T1655 - Masquerading (Маскировка) Злоумышленники маскируют свои вредоносные приложения под легитимные, чтобы обмануть пользователей и обойти защиту. Как это реализовано в FjordPhantom:
T1660 - Фишинг Распространение вредоноса осуществляется через фишинговые сообщения и звонки. Как это реализовано в FjordPhantom:
Дополнительные техники и тактики Помимо перечисленных, атака также включает элементы других тактик MITRE:
То, что FjordPhantom был внесён в базу MITRE как S1208, подтверждает его значимость как новой модели угроз. Анализ его техник показывает, что будущие мобильные вредоносы будут комбинировать виртуализацию, хукинг и социальную инженерию для обхода даже самых современных защит. GodFather, атакующий более 500 приложений, уже использует ту же комбинацию, подтверждая этот тренд. Для защитников понимание этих техник - ключ к созданию эффективных контрмер. Например, зная, что вредонос использует T1617 (Hooking), можно внедрить в приложение проверки целостности вызовов API. Зная, что используется T1670, можно добавить детекцию виртуальных сред. MITRE ATT&CK превращает разрозненные факты об атаке в системную картину, позволяя выстраивать защиту осмысленно и комплексно. Заключение FjordPhantom стал поворотным моментом в истории мобильных угроз. Впервые виртуализация, легитимная технология для мультиаккаунтинга, была использована как прямой вектор атаки на банковские приложения. Вредонос не модифицирует код банка, не требует root-доступа и не оставляет классических следов, обходя все традиционные методы защиты. Главные уроки:
|
| Время: 03:38 |