Hogyan működnek a .NET MAUI hamis Android-alkalmazások

A kiberbiztonsági szakértők az Android rosszindulatú programjainak újabb hullámát azonosították, amelyek a Microsoft .NET Multi-platform App UI (.NET MAUI) keretrendszerét használják csalárd banki és közösségi média alkalmazások létrehozására. Ezek a rosszindulatú alkalmazások elsősorban a kínai és indiai nyelvet beszélő felhasználókat célozzák meg, és célja érzékeny személyes adatok ellopása.

Mi az a .NET MAUI, és miért használják ki?

A .NET MAUI a Microsoft által létrehozott többplatformos alkalmazásfejlesztési keretrendszer. Lehetővé teszi a fejlesztők számára, hogy natív alkalmazásokat készítsenek több operációs rendszerhez, beleértve az Androidot, iOS-t, macOS-t és Windows-t, egyetlen C# és XAML nyelven írt kódbázis használatával. Ez a Xamarin keretrendszer továbbfejlesztése, amely hivatalosan 2024. május 1-jén fejezte be támogatását. Ezzel az átállással a Microsoft arra ösztönözte a fejlesztőket, hogy térjenek át a .NET MAUI-ra a folyamatos támogatás és frissítés érdekében.

Míg a korábbi kártevő-kampányok a Xamarint használták ki, a kiberbűnözők mára a .NET MAUI-ra tértek át. Ennek az átmenetnek az oka abban rejlik, hogy a keretrendszer egyedülállóan képes az alapvető funkciókat a bináris blobokként tárolt C# kódba foglalni. Ellentétben a hagyományos Android-alkalmazásokkal, amelyek végrehajtása DEX-fájlokra vagy natív könyvtárakra támaszkodik, a .NET MAUI-alapú alkalmazásokból hiányoznak ezek a tipikus mutatók, így nehezebb észlelni és elemezni őket. Ez előnyt jelent a fenyegetés szereplői számára rosszindulatú alkalmazásaik hosszabb ideig tartó terjesztésében és fenntartásában, anélkül, hogy gyanút kelthetnének.

Hogyan működnek ezek a hamis alkalmazások

A „FakeApp” névre keresztelt csaló alkalmazások legitim pénzügyi vagy közösségi médiaalkalmazásoknak álcázzák magukat. A kiberbiztonsági elemzők több hamis alkalmazást azonosítottak, amelyek pénzügyi szolgáltatásoknak és közösségi médiaplatformoknak álcázzák magukat, mint például az X (korábban Twitter). Ezek az alkalmazások nem érhetők el a Google Playen, hanem üzenetküldő alkalmazásokon keresztül küldött megtévesztő linkeken keresztül terjesztik őket. A felhasználókat becsapják, hogy letöltsék azokat nem hivatalos alkalmazásboltokból, ami növeli a rosszindulatú programoknak való kitettség kockázatát.

A telepítés után ezek az alkalmazások túlzott engedélyeket kérnek, és lopva személyes adatokat gyűjtenek. Egy esetben egy indiai pénzügyi szolgáltatásnak kiállító alkalmazás kritikus információkat nyert ki, köztük a felhasználók teljes nevét, telefonszámát, e-mail címét, lakcímét, születési dátumát, hitelkártya-adatait és a kormány által kiadott azonosítószámokat. Egy másik csaló alkalmazás X-nek adta ki magát, kínaiul beszélő felhasználókat célozva, és névjegyeket, SMS-üzeneteket és fényképeket lopott el az eszközeikről.

Az észlelés elkerülésére használt technikák

Az ilyen rosszindulatú alkalmazások mögött álló fejlesztők különféle kifinomult technikákat alkalmaznak az észlelés és elemzés elkerülésére. Az egyik kulcsfontosságú módszer a .NET MAUI használata csomagolóként, amely hatékonyan elrejti a rosszindulatú kódot az alkalmazáson belül. A hagyományos Android rosszindulatú programokkal ellentétben ezek az alkalmazások egy titkosított betöltő mechanizmusra támaszkodnak a hasznos terhelések dinamikus végrehajtásához.

Ezenkívül a kártevő többlépcsős dinamikus betöltési technikákat is tartalmaz, ahol egy XOR-titkosított betöltőt használnak az AES-titkosított rakomány visszafejtésére. Ez az utolsó szakasz betölti a szükséges .NET MAUI-szerelvényeket, amelyek végrehajtják a tényleges kártevő-funkciókat. A kiberbűnözők támadásuk ilyen módon történő strukturálásával jelentősen megnehezítik a biztonsági kutatók számára fenyegetéseik elemzését és semlegesítését.

Egy másik megtévesztő taktika értelmetlen engedélyek hozzáadása az AndroidManifest.xml fájlhoz, például "android.permission.LhSSzIw6q". Ezek a félrevezető engedélyek azért vannak beszúrva, hogy összezavarják az automatizált biztonsági elemző eszközöket, megnehezítve számukra az alkalmazás gyanúsként való megjelölését.

Ennek a rosszindulatú programnak a következményei

A .NET MAUI-t kihasználó rosszindulatú programok megjelenése folyamatosan fejlődő fenyegetést jelent a kiberbiztonsági környezetben. Ahogy a fejlesztők eltávolodnak a Xamarintól, és átveszik a .NET MAUI-t, a kiberbűnözők követik a példájukat, és finomítják technikáikat, hogy kihasználják a keretrendszer képességeit. Ez az elmozdulás aláhúzza a fokozott éberség szükségességét a felhasználók és a fejlesztők körében egyaránt.

Az ilyen hamis alkalmazások telepítésének kockázata jelentős a felhasználók számára. Az ellopott adatok ezután felhasználhatók személyazonosság-lopásra, pénzügyi csalásra vagy a sötét weben történő értékesítésre. Ezenkívül a személyes fájlokhoz és üzenetekhez való hozzáférés súlyos adatvédelmi jogsértésekhez vezethet.

A biztonsági szakemberek és fejlesztők számára a .NET MAUI-alapú rosszindulatú programok terjedése jobb észlelési mechanizmusokat igényel. A meglévő biztonsági eszközöknek alkalmazkodniuk kell ahhoz, hogy felismerjék a C# bináris blobokban és a dinamikusan betöltött rakományokban rejtőző fenyegetéseket. A fejlesztőknek gondoskodniuk kell arról is, hogy betartsák a legjobb biztonsági gyakorlatokat a .NET MAUI-alkalmazások létrehozásakor, hogy megelőzzék a támadók által kihasználható potenciális sebezhetőségeket.

Hogyan maradjunk biztonságban

A FakeApp és hasonló rosszindulatú programok által jelentett fenyegetésekkel szembeni védelem érdekében a felhasználóknak meg kell tenniük a következő óvintézkedéseket:

1. Alkalmazások letöltése kizárólag hivatalos üzletekből – Az alkalmazások letöltéséhez ragaszkodjon a Google Play Áruházhoz vagy más megbízható forrásokhoz. Kerülje az alkalmazások telepítését harmadik felek webhelyeiről vagy az üzenetekben kapott hivatkozásokról.
2. Ellenőrizze az alkalmazásengedélyeket – Legyen óvatos, ha az alkalmazások szükségtelen engedélyeket kérnek, például hozzáférést a névjegyekhez, SMS-ekhez vagy tárolt fényképekhez.
3. Alkalmazás hitelességének ellenőrzése – Mielőtt bármilyen alkalmazást telepítene, vizsgálja meg annak legitimitását a fejlesztői adatok, vélemények és értékelések ellenőrzésével.
4. Biztonsági szoftver használata – Telepítsen jó hírű mobil biztonsági alkalmazásokat, amelyek képesek észlelni és blokkolni a potenciális fenyegetéseket.
5. A szoftver frissítése – Rendszeresen frissítse mind az operációs rendszert, mind a telepített alkalmazásokat, hogy kijavítsa a támadók által kihasznált sebezhetőségeket.

Végső gondolatok

A .NET MAUI használata hamis Android-alkalmazások létrehozásában jelentős fejlődést jelent a rosszindulatú programok fejlesztésében. A kiberbűnözők egyre inkább alkalmazkodnak a technológiai fejlődéshez, és a modern keretrendszereket kihasználva elkerülik az észlelést és veszélyeztetik a felhasználók biztonságát. A tájékozottság és a biztonságos digitális szokások elfogadásával a felhasználók csökkenthetik a megtévesztő fenyegetésekkel való találkozás kockázatát. Ahogy a kiberbiztonsági kihívások folyamatosan fejlődnek, az éberség továbbra is kulcsfontosságú a személyes és pénzügyi információk védelmében az egyre inkább összekapcsolódó világban.