Νέο κακόβουλο λογισμικό Android χρησιμοποιεί το .NET MAUI

Νέες καμπάνιες κακόβουλου λογισμικού για Android χρησιμοποιούν το διαλειτουργικό πλαίσιο της Microsoft, .NET MAUI, προσποιούμενες ότι είναι νόμιμες υπηρεσίες προκειμένου να αποφύγουν την ανίχνευση.

Δείτε επίσης: Το Astra του Gemini κυκλοφορεί για ορισμένους χρήστες Android

Η τακτική παρατηρήθηκε από την Ομάδα Mobile Research της McAfee, η οποία είναι μέλος της Συμμαχίας Άμυνας Εφαρμογών και έχει ως στόχο τη βελτίωση της ασφάλειας του Android.

Αν και οι εφαρμογές που παρατήρησε η McAfee στοχεύουν χρήστες στην Κίνα και την Ινδία, η αποκάλυψη των επιθέσεων είναι σημαντική, καθώς το πεδίο στόχευσης μπορεί να επεκταθεί και οι ίδιες τακτικές ενδέχεται να υιοθετηθούν σύντομα από άλλους κυβερνοεγκληματίες.

Το το .NET MAUI, που εισήχθη το 2022, είναι ένα πλαίσιο ανάπτυξης εφαρμογών σε C#, το οποίο παρουσίασε η Microsoft ως αντικατάσταση του Xamarin, υποστηρίζοντας τόσο επιτραπέζιες όσο και mobile πλατφόρμες.

Συνήθως, οι εφαρμογές Android αναπτύσσονται σε Java/Kotlin και αποθηκεύουν τον κώδικα σε μορφή DEX. Ωστόσο, είναι τεχνικά εφικτό να χρησιμοποιηθεί το .NET MAUI για την ανάπτυξη μιας εφαρμογής Android σε C#, με τη λογική της εφαρμογής να αποθηκεύεται σε αρχεία δυαδικών blob.

Τα σύγχρονα εργαλεία ασφαλείας για Android έχουν σχεδιαστεί ώστε να ελέγχουν τα αρχεία DEX για ύποπτη δραστηριότητα, χωρίς να εξετάζουν τα αρχεία blob. Αυτό δίνει τη δυνατότητα στους επιτιθέμενους να κρύβουν κακόβουλο κώδικα στα blobs και να παρακάμπτουν την ανίχνευση.

Δείτε ακόμα: Το Android malware OctoV2 μιμείται το DeepSeek και κλέβει διαπιστευτήρια

Αυτή η προσέγγιση είναι ακόμη πιο επιθυμητή από την ανάκτηση κακόβουλου κώδικα μετά την εγκατάσταση μέσω ενημερώσεων, που αποτελεί τη συνήθη τακτική για τα περισσότερα κακόβουλα προγράμματα Android σήμερα.

Σε αυτή την περίπτωση, η τακτική είναι αποτελεσματική διότι οι εφαρμογές που βασίζονται σε C# και τα blob αρχεία στο Android είναι ασαφή. Εκτός από τη χρήση του .NET MAUI, οι καμπάνιες που παρατηρήθηκαν από την McAffee χρησιμοποιούν πολυεπίπεδη κρυπτογράφηση (XOR + AES) και σταδιακή εκτέλεση, με ‘AndroidManifest.xml‘ file bloating με τυχαία παραγόμενες αλφαριθμητικές συμβολοσειρές, καθώς και TCP socket για επικοινωνίες διοίκησης και ελέγχου (C2).

Η McAfee εντόπισε αρκετές APKs στην αναφορά της, οι οποίες σχετίζονται με τις εκστρατείες που χρησιμοποιούν την τεχνική .NET MAUI, περιλαμβάνοντας ψεύτικες εφαρμογές τραπεζικών υπηρεσιών, επικοινωνίας, γνωριμιών και κοινωνικών μέσων όπως το X.

Οι ερευνητές χρησιμοποίησαν δύο εφαρμογές ως παραδείγματα, την IndusInd και την SNS, οι οποίες διανέμονται εκτός του Google Play, του επίσημου καταστήματος εφαρμογών του Android.

Για να μειώσετε τον κίνδυνο μόλυνσης από αυτές τις επιθετικές εφαρμογές κακόβουλου λογισμικού, αποφύγετε τη λήψη APK Android από καταστήματα εφαρμογών τρίτων ή άγνωστες ιστοσελίδες και μην κάνετε κλικ σε συνδέσμους που λαμβάνετε μέσω SMS ή email. Εάν βρίσκεστε σε περιοχές όπου το Google Play δεν είναι διαθέσιμο, ελέγξτε τα APK για κακόβουλα σημάδια και εγκαταστήστε τα μόνο από αξιόπιστες πηγές. Η λειτουργία Google Play Protect μπορεί να ανιχνεύσει και να αποκλείσει τα APK που έχει εντοπίσει η McAfee ως μέρος των τελευταίων εκστρατειών, επομένως βεβαιωθείτε ότι είναι ενεργή στη συσκευή σας.

Δείτε επίσης: Ευπάθεια Zygote Injection επιτρέπει εκτέλεση κώδικα στο Android

Οι καμπάνιες malware (κακόβουλου λογισμικού) αναφέρονται σε οργανωμένες προσπάθειες διάδοσης κακόβουλου λογισμικού μέσω διαφορετικών μεθόδων και καναλιών. Αυτές οι καμπάνιες συχνά στοχεύουν χρήστες ή οργανισμούς με σκοπό την κλοπή δεδομένων, την καταστροφή ή αλλοίωση των δεδομένων τους ή την κατάχρηση των συστημάτων τους για άλλους σκοπούς (όπως το botnet). Οι επιθέσεις malware συχνά είναι στοχευμένες, χρησιμοποιώντας τεχνικές social engineering για να εξαπατήσουν τα θύματα ώστε να ανοίξουν επικίνδυνους συνδέσμους ή να κατεβάσουν επιβλαβή αρχεία.

Πηγή: bleepingcompter