Как работают поддельные приложения Android .NET MAUI

Эксперты по кибербезопасности выявили еще одну волну вредоносного ПО для Android, которое использует фреймворк Microsoft .NET Multi-platform App UI (.NET MAUI) для создания мошеннических банковских и социальных приложений. Эти вредоносные приложения в первую очередь нацелены на пользователей, говорящих на китайском и индийском языках, и нацелены на кражу конфиденциальной личной информации.

Что такое .NET MAUI и почему его эксплуатируют?

.NET MAUI — это кроссплатформенная среда разработки приложений, созданная корпорацией Microsoft. Она позволяет разработчикам создавать собственные приложения для нескольких операционных систем, включая Android, iOS, macOS и Windows, используя единую кодовую базу, написанную на C# и XAML. Это эволюция среды Xamarin, которая официально прекратила поддержку 1 мая 2024 года. С этим переходом Microsoft призвала разработчиков перейти на .NET MAUI для продолжения поддержки и обновлений.

В то время как предыдущие вредоносные кампании использовали Xamarin, киберпреступники теперь перешли на .NET MAUI. Причина этого перехода заключается в уникальной способности фреймворка инкапсулировать основные функции в код C#, хранящийся в виде двоичных BLOB-объектов. В отличие от обычных приложений Android, которые используют файлы DEX или собственные библиотеки для выполнения, приложения на основе .NET MAUI не имеют этих типичных индикаторов, что затрудняет их обнаружение и анализ. Это дает злоумышленникам преимущество в распространении и поддержании своих вредоносных приложений в течение длительного времени, не вызывая подозрений.

Как работают эти поддельные приложения

Эти мошеннические приложения, получившие название «FakeApp», маскируются под легитимные финансовые приложения или приложения социальных сетей. Аналитики по кибербезопасности выявили несколько поддельных приложений, маскирующихся под финансовые сервисы и платформы социальных сетей, такие как X (ранее Twitter). Эти приложения недоступны в Google Play, но вместо этого распространяются через обманные ссылки, отправляемые через приложения для обмена сообщениями. Пользователей обманом заставляют загружать их из неофициальных магазинов приложений, что повышает риск заражения вредоносным ПО.

После установки эти приложения запрашивают избыточные разрешения и скрытно собирают персональные данные. В одном случае приложение, выдававшее себя за индийскую финансовую службу, извлекало критически важную информацию, включая полные имена пользователей, номера телефонов, адреса электронной почты, домашние адреса, даты рождения, данные кредитных карт и выданные правительством идентификационные номера. Другое мошенническое приложение выдавало себя за X, нацеливаясь на пользователей, говорящих по-китайски, и крало контакты, SMS-сообщения и фотографии с их устройств.

Методы, используемые для избежания обнаружения

Разработчики этих вредоносных приложений используют различные сложные методы, чтобы избежать обнаружения и анализа. Одним из ключевых методов является использование .NET MAUI в качестве упаковщика, эффективно скрывающего вредоносный код внутри приложения. В отличие от традиционных вредоносных программ Android, эти приложения используют зашифрованный механизм загрузчика для динамического выполнения своих полезных нагрузок.

Кроме того, вредоносная программа использует многоступенчатые методы динамической загрузки, где загрузчик с шифрованием XOR используется для расшифровки зашифрованной AES полезной нагрузки. На этом последнем этапе загружаются необходимые сборки .NET MAUI, которые выполняют реальные функции вредоносной программы. Структурируя свою атаку таким образом, киберпреступники значительно усложняют для исследователей безопасности анализ и нейтрализацию их угроз.

Другая обманная тактика заключается в добавлении бессмысленных разрешений в файл AndroidManifest.xml, например, «android.permission.LhSSzIw6q». Эти вводящие в заблуждение разрешения вставляются, чтобы сбить с толку автоматизированные инструменты анализа безопасности, затрудняя для них отметку приложения как подозрительного.

Последствия этого вредоносного ПО

Появление вредоносного ПО, использующего .NET MAUI, представляет собой развивающуюся угрозу в ландшафте кибербезопасности. По мере того, как разработчики отходят от Xamarin и принимают .NET MAUI, киберпреступники следуют их примеру, совершенствуя свои методы эксплуатации возможностей фреймворка. Этот сдвиг подчеркивает необходимость повышенной бдительности как среди пользователей, так и среди разработчиков.

Риск установки таких поддельных приложений для пользователей существенен. Украденные данные затем могут быть использованы для кражи личных данных, финансового мошенничества или продажи в даркнете. Более того, доступ к личным файлам и сообщениям может привести к серьезным нарушениям конфиденциальности.

Для специалистов по безопасности и разработчиков рост вредоносного ПО на основе .NET MAUI требует улучшения механизмов обнаружения. Существующие инструменты безопасности должны адаптироваться для распознавания угроз, скрытых в двоичных блоках C# и динамически загружаемых полезных нагрузках. Разработчики также должны убедиться, что они следуют лучшим практикам безопасности при создании приложений .NET MAUI, чтобы предотвратить потенциальные уязвимости, которыми могут воспользоваться злоумышленники.

Как оставаться в безопасности

Чтобы защититься от угроз, исходящих от FakeApp и подобных вредоносных кампаний, пользователям следует принять следующие меры предосторожности:

1. Скачивайте приложения только из официальных магазинов — используйте Google Play Store или другие проверенные источники для загрузки приложений. Избегайте установки приложений со сторонних сайтов или ссылок, полученных в сообщениях.
2. Проверьте разрешения приложений . Будьте осторожны с приложениями, запрашивающими ненужные разрешения, например, доступ к контактам, SMS или сохраненным фотографиям.
3. Проверка подлинности приложения . Перед установкой любого приложения проверьте его легитимность, проверив информацию о разработчике, отзывы и рейтинги.
4. Используйте программное обеспечение безопасности . Установите надежные приложения для обеспечения безопасности мобильных устройств, которые могут обнаруживать и блокировать потенциальные угрозы.
5. Регулярно обновляйте программное обеспечение . Регулярно обновляйте операционную систему и установленные приложения, чтобы устранить уязвимости, которыми могут воспользоваться злоумышленники.

Заключительные мысли

Использование .NET MAUI для создания поддельных приложений Android знаменует собой значительную эволюцию в разработке вредоносных программ. Киберпреступники все больше адаптируются к технологическим достижениям, используя современные фреймворки для уклонения от обнаружения и нарушения безопасности пользователей. Оставаясь в курсе событий и принимая безопасные цифровые привычки, пользователи могут снизить риски столкновения с этими обманчивыми угрозами. Поскольку проблемы кибербезопасности продолжают развиваться, бдительность остается ключом к защите личной и финансовой информации во все более взаимосвязанном мире.