Loading malware…
22 distinct techniques documented for this family, organized by ATT&CK tactic.
Questo servizio si occupa di collezionare informazioni generiche sul dispositivo, come: Le app installate Il modello del telefono L’operatore del telefono
stock_injection : Save the injections (phishing html payload) provided by C2 in the Jedi / Injections.txt file
run_application : Run an application
2FA : Launch the Google 2FA app (then Oscorp is able to steal the codes abusing the Accessibility service)
i malware per Android seguono tutti lo stesso copione: inducono l’utente ad installare un servizio di accessibilità con il quale possono leggere cosa è presente e cosa viene digitato nello schermo... Questo malware non fa eccezione
switch_sms : Change the default SMS application with Oscorp
2FA : Launch the Google 2FA app (then Oscorp is able to steal the codes abusing the Accessibility service)
i malware per Android seguono tutti lo stesso copione: inducono l’utente ad installare un servizio di accessibilità con il quale possono leggere cosa è presente e cosa viene digitato nello schermo... Questo malware non fa eccezione
Le stringhe ... decifra le stringhe ... Cipher.getInstance("AES/CBC/PKCS5Padding") ... Entrambi i parametri sono cifrati
This usually takes the form of an imitation app or a WebView launched “on-top” of a legitimate application
delete_message : Remove an SMS
delete_message . Elimina un SMS. delete_application . Rimuove un applicazione.
Le applicazioni che contengono queste stringhe nel loro nome sono disabilitate: security, pcprotect, totalav, clean, virus, junk, malware, anti, guard, boost, scan, trendmicro, symantec, protect, avast, kms, avira, eset, lookout, drweb, cleaner
switch_sms : Change the default SMS application with Oscorp
“The Overlay attack is a well-known technique implemented on modern Android banking trojans... This usually takes the form of an imitation app or a WebView launched ‘on-top’ of a legitimate application (such as a banking app).”
il servizio di accessibilità permette infatti di: Abilitare funzionalità di keylogger.
switch_sms : Change the default SMS application with Oscorp
2FA : Launch the Google 2FA app (then Oscorp is able to steal the codes abusing the Accessibility service)
Le applicazioni che contengono queste stringhe nel loro nome sono disabilitate: security, pcprotect, totalav, clean, virus, junk, malware, anti, guard, boost, scan, trendmicro, symantec, protect, avast, kms, avira, eset, lookout, drweb, cleaner
“The Overlay attack is a well-known technique implemented on modern Android banking trojans... This usually takes the form of an imitation app or a WebView launched ‘on-top’ of a legitimate application (such as a banking app).”
il servizio di accessibilità permette infatti di: Abilitare funzionalità di keylogger.
screencap . Avvia la registrazione audio e video (dello schermo) attraverso WebRTC
screencap . Avvia la registrazione audio e video (dello schermo) attraverso WebRTC
La comunicazione con il C2 avviene tramite richieste HTTP POST.
Si nota l’utilizzo di due server STUN, utilizzati per aggirare le limitazioni dei NAT nelle comunicazioni peer-to-peer.
All the injections payloads which consist mainly of HTML, CSS and JS files, will be downloaded from the C2 server in a specific directory
La prima è l’invio degli SMS al C2, all’URL /app/device/sms ... Il ping contiene le statistiche di uso del dispositivo, oltre all’id della vittima
le azioni di queste app malevole si “limitano” ... al blocco del dispositivo (inteso come blocco dello schermo)
forward_call : Call forwarding through the code *21* + number + ##
9 indicators attributed across vendor reports, sandbox runs, and researcher write-ups. Values are masked here and available in full in Mallory.
2 sources tracked across advisories, community write-ups, and news. New activity surfaces here as Mallory finds it.