کمیته رکن چهارم – کسپرسکی، یک تروجان بانکی جدید در تلفن‌های همراه به نام Faketoken را کشف کرد که به‌منظور سرقت اطلاعات بانکی، پوششی را در بالای برنامه‌های رزرو تاکسی نشان می‌دهد. کارشناسان امنیتی کسپرسکی یک تروجان بانکی جدید در تلفن‌های همراه به نام Faketoken را کشف کردند که قابلیت‌های شناسایی و ضبط تماس‌های دستگاه آلوده را پیاده‌سازی کرده و به‌منظور سرقت اطلاعات بانکی، پوششی را در بالای برنامه‌های رزرو تاکسی نشان می‌دهد.
در تجزیه و تحلیل منتشرشده توسط کسپرسکی آمده است: «در حالی‌که گسترش جغرافیایی این بدافزار در حال رشد است، نویسندگان اصلاحات جدیدتر، همچنان به‌روزرسانی بدافزار را ادامه می‌دهند. برخی از این اصلاحات شامل سازوکارهای پوشش برای حدود ۲ هزار برنامه‌ی مالی است. در یکی از جدیدترین نسخه‌ها، ما یک سازوکار حمله به برنامه‌های رزرو تاکسی‌ها و پرداخت بلیط‌های ترافیکی صادر شده توسط اداره‌ی کل ایمنی ترافیک جاده‌ها شناسایی کردیم.»
در ماه دسامبر، کسپرسکی باج‌افزار اندرویدی Faketock را مشاهده کرد که توانایی‌های آن در رمزنگاری پرونده‌ها افزایش یافته بود. درحال حاضر نوع جدیدی از این بدافزار به نام Faketoken.q به‌منظور سرقت گواهی‌نامه‌های Uber و دیگر برنامه‌های رزرو، دوباره بهبود یافته است. Faketoken.q که با استفاده از توده‌ای از پیام‌های کوتاه توزیع می‌شود، کاربران را به بارگیری یک پرونده‌ی تصویری که درواقع بارگیری یک بدافزار می‌باشد، فریب می‌دهد.
این تروجان تلفن همراه متشکل از دو بخش است، بخش اول یک نصب‌کننده‌ی مبهم و بخش دوم یک پرونده با پسوند DAT می‌باشد که ویژگی‌های اصلی بدافزار را شامل می‌شود. هنگامی‌که قربانیان این بدافزار اندرویدی را بارگیری کردند، بدافزار ماژول‌های لازم و برنامه‌ی اصلی را نصب می‌کند تا آیکون میان‌بر آن را پنهان نماید و به‌منظور راه‌اندازی برنامه‌ها، نظارت بر فعالیت‌های کاربر، از جمله تماس‌ها، را آغاز می‌کند.
در ادامه‌ی این تجزیه و تحلیل آمده است: «پس از آغاز به‌کار کردن تروجان، آیکون میان‌بر خود را پنهان کرده و شروع به نظارت بر تمامی تماس‌ها و هرکدام از برنامه‌هایی که توسط کاربر راه‌اندازی می‌شود، می‌کند. پس از دریافت یک تماس از (یا برقراری تماس با) یک شماره‌ی تلفن خاص، بدافزار شروع به ضبط مکالمه کرده و بلافاصله پس از پایان مکالمه، آن را برای مهاجمان ارسال می‌کند.»
هنگامی‌که تماسی از شماره تلفن‌های خاص دریافت و یا برقرار می‌شود، Faketoken.q مکالمات را ضبط کرده و آن‌ها را به کارگزار مهاجم ارسال می‌نماید. این کد مخرب همچنین برنامه‌هایی را که قربانی از آن‌ها استفاده می‌کند، بررسی کرده و هنگامی‌که راه‌اندازی برنامه‌ای را شناسایی کرد که می‌تواند واسطه‌ها را رونویسی کند، این برنامه را با یک رابط کاربری جعلی پوشش می‌دهد.
رابط کاربری جعلی ارائه شده توسط Faketoken.q قربانیان را به وارد کردن اطلاعات کارت پرداخت خود، از جمله کد تأیید بانک، وادار می‌کند. محققان مشاهده کردند که این بدافزار قادر به نمایش رابط کاربری جعلی برای بسیاری از برنامه‌های بانکی تلفن همراه و سایر برنامه‌های کاربردی می‌باشد، مانند:
- پرداخت اندرویدی
- فروشگاه گوگل‌پلی
- برنامه‌های پرداخت بلیط‌های ترافیکی
- برنامه‌های رزرو پرواز و اتاق‌های هتل
- برنامه‌های رزرو تاکسی
این تروجان می‌تواند از دریافت کد ارسال‌شده توسط بانک برای تأیید معاملات جلوگیری کرده و سپس آن را به کارگزار C & C منتقل نماید. به‌نظر می‌رسد که Faketoken.q برای هدف قرار دادن کاربران روسی زبان توسعه داده شده است، چرا که در رابط کاربری آن تنها از زبان روسی استفاده شده است. برای جلوگیری از آلوده شدن به Faketoken و بدافزارهای مشابه، برنامه‌ها را از فروشگاه‌های شخص ثالث نصب نکنید و به پیام کوتاه‌ها و رایانامه‌های ناخواسته‌ای که در دستگاه تلفن همراه خود دریافت می‌کنید، توجه کنید.
منبع : asis
