{"id":2700,"date":"2021-06-28T11:15:40","date_gmt":"2021-06-28T09:15:40","guid":{"rendered":"https:\/\/fortgale.com\/news\/?p=2700"},"modified":"2021-06-28T11:15:40","modified_gmt":"2021-06-28T09:15:40","slug":"ursnif-colpisce-lonline-banking-attraverso-cerberus","status":"publish","type":"post","link":"https:\/\/fortgale.com\/blog\/cyber-security-news\/ursnif-colpisce-lonline-banking-attraverso-cerberus\/","title":{"rendered":"Ursnif e Android APP"},"content":{"rendered":"\n<p>Nelle ultime settimane \u00e8 stata rilevata una campagna malware Ursnif con l&#8217;obiettivo di colpire gli utenti italiani che utilizzano l&#8217;online banking.<\/p>\n\n\n\n<p>Una volta infettato il computer della vittima, Ursnif attende che l&#8217;utente si colleghi al proprio sito di online banking e attraverso una <strong>web injection<\/strong> avvisa gli utenti che non potranno pi\u00f9 utilizzare il servizio se non scaricano la security app. <br>Tale app \u00e8 scaricabile scannerizzando il codice QR mostrato nella pagina.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img decoding=\"async\" src=\"https:\/\/images-cdn.welcomesoftware.com\/Zz1jMWFiZGYwOGM5MjYxMWViYTAyYjFkZjRmNWUxMDE2Mw==\" alt=\"\" \/><figcaption>Da:  <a href=\"https:\/\/securityintelligence.com\/posts\/ursnif-cerberus-android-malware-bank-transfers-italy\/\">Ursnif Leverages Cerberus Android Malware to Automate Fraudulent Bank Transfers in Italy (securityintelligence.com)<\/a> <\/figcaption><\/figure>\n\n\n\n<p>Se l&#8217;utente scannerizza il QR code con il proprio cellulare viene aperto il browser web contenente una pagine di <strong>Google Play falsa<\/strong> contenente un  logo corrispondente all&#8217;app bancaria della banca a cui la vittima ha originariamente tentato di accedere.<\/p>\n\n\n\n<p>Gli indirizzi utilizzati per l&#8217;hosting della falsa pagina Google Play sfruttano il  <strong>typo-squatting<\/strong>  per apparire all&#8217;utente come legittimi:<\/p>\n\n\n\n<ul class=\"wp-block-list\"><li> google.servlce.store<\/li><li>gooogle.services<\/li><li>goooogle.services<\/li><li>play.google.servlce.store<\/li><li>play.gooogle.services<\/li><li>play.goooogle.services. <\/li><\/ul>\n\n\n\n<p>L&#8217;app scaricata in realt\u00e0 \u00e8 <strong>Cerberus<\/strong>, la quale, per continuare a mostrare delle informazioni coerenti, tiene in considerazione il nome della banca in cui la vittima ha tentato di loggarsi.<\/p>\n\n\n\n<p>In background, l&#8217;injection associa il numero di telefon inserito dalla vittima con l&#8217;ID Ursinf assegnato al computer infettato, il nome della banca e le credenziali utilizzate dalla vittima per l&#8217;accesso. <br>Cerberus viene utilizzato solo come componente per poter bypassare l&#8217;SMS con il codice di verifica. Mentre la transizione fraudolenta avviene attraverso i computer infettati.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Comunicazione con i server C2<\/h3>\n\n\n\n<p>Le comunicazioni con i server di comando e controllo (<strong>C2<\/strong>)  avvengono attraverso lo <strong>script Jambo<\/strong>, il quale comunica con srv_dom, cio\u00e8 il server di iniezione del malware, utilizzato per gestire l&#8217;attivit\u00e0 di man-in-the-browser.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img decoding=\"async\" src=\"https:\/\/images-cdn.welcomesoftware.com\/Zz00MmNjYmQ3OWM5MjcxMWViOGU0ZDE5Mjc3ZTM2ZDNjOA==\" alt=\"\" \/><figcaption>Da:  <a href=\"https:\/\/securityintelligence.com\/posts\/ursnif-cerberus-android-malware-bank-transfers-italy\/\">Ursnif Leverages Cerberus Android Malware to Automate Fraudulent Bank Transfers in Italy (securityintelligence.com)<\/a> <\/figcaption><\/figure>\n\n\n\n<p>Di seguito sono riportati i comandi utilizzati durante l&#8217;infezione: <\/p>\n\n\n\n<figure class=\"wp-block-table is-style-stripes\"><table class=\"\"><tbody><tr><td><strong>Command<\/strong><\/td><td><strong>Description<\/strong><\/td><\/tr><tr><td>ADD_INFO<\/td><td>Send data to C2: token, SMS content, telephone,\n  download an application.<\/td><\/tr><tr><td>ASK<\/td><td>Send communication to the C2.<\/td><\/tr><tr><td>GET_DROP<\/td><td>Check account balance on the victim\u2019s bank account.<\/td><\/tr><tr><td>GOOD_TRF<\/td><td>Attempt to initiate a money transfer transaction.<\/td><\/tr><tr><td>LOGIN<\/td><td>Send victim\u2019s login information to attacker\u2019s C2\n  server.<\/td><\/tr><tr><td>PING<\/td><td>Check if the infected machine is currently online.<\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Scambio di IBAN<\/h3>\n\n\n\n<p>Ursnif cerca di automatizzare le transazioni che partono dal browser. Per far ci\u00f2, esegue uno scambio tra l&#8217;IBAN e il BIC di una transazione legittima con l&#8217;IBAN di un account controllato dall&#8217;attaccante.<br>Per avviare questo flusso con la transizione fraudolenta, Ursnif ha bisogno di eseguire una funzione che deve essere cliccata dalla vittima. Per cui rimpiazza il pulsante di login della pagina bancaria originale con un suo pulsante contenente la funzione &#8220;<strong>hookPay()<\/strong>&#8220;.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img decoding=\"async\" src=\"https:\/\/images-cdn.welcomesoftware.com\/Zz02MDZjYWJhNGM5MjcxMWViYjA4ZWYzZTYzNDE1NjRmNA==\" alt=\"\" \/><figcaption>Da:  <a href=\"https:\/\/securityintelligence.com\/posts\/ursnif-cerberus-android-malware-bank-transfers-italy\/\">Ursnif Leverages Cerberus Android Malware to Automate Fraudulent Bank Transfers in Italy (securityintelligence.com)<\/a> <\/figcaption><\/figure>\n\n\n\n<p>Attraverso la funzione &#8220;<strong>makeTrf<\/strong>&#8221; viene eseguito lo scambio di IBAN. L&#8217;importo viene settato solo se il bilancio dell&#8217;utente \u00e8 superiore a 3000 \u20ac.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img decoding=\"async\" src=\"https:\/\/images-cdn.welcomesoftware.com\/Zz03MmUxNTBhZWM5MjcxMWViYmFhNmE3ZGJmODA0OTg4OQ==\" alt=\"\" \/><figcaption>Da:  <a href=\"https:\/\/securityintelligence.com\/posts\/ursnif-cerberus-android-malware-bank-transfers-italy\/\">Ursnif Leverages Cerberus Android Malware to Automate Fraudulent Bank Transfers in Italy (securityintelligence.com)<\/a> <\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">Injections adattate in base alla Security Challenge<\/h3>\n\n\n\n<p>Le injection web sono state adattate ina base alla securty challenge adottata da ciascun target; per esempio, viene eseguita una injection per comunicare alla vittima di inserire il numero riportato sul token fisico.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img decoding=\"async\" src=\"https:\/\/images-cdn.welcomesoftware.com\/Zz04MmNjZjMzMWM5MjcxMWViYjA4ZWYzZTYzNDE1NjRmNA==\" alt=\"\" \/><figcaption>Da:  <a href=\"https:\/\/securityintelligence.com\/posts\/ursnif-cerberus-android-malware-bank-transfers-italy\/\">Ursnif Leverages Cerberus Android Malware to Automate Fraudulent Bank Transfers in Italy (securityintelligence.com)<\/a> <\/figcaption><\/figure>\n\n\n\n<p>Oppure viene richiesto di inserire il codice inviato tramite SMS entro 90 secondi.<\/p>\n\n\n\n<figure class=\"wp-block-image is-resized\"><img decoding=\"async\" src=\"https:\/\/images-cdn.welcomesoftware.com\/Zz05MWQxZmM0ZmM5MjcxMWViYTRkYWQ5NmQ1NmRmMDUzNQ==\" alt=\"\" width=\"503\" height=\"361\" \/><figcaption>Da:  <a href=\"https:\/\/securityintelligence.com\/posts\/ursnif-cerberus-android-malware-bank-transfers-italy\/\">Ursnif Leverages Cerberus Android Malware to Automate Fraudulent Bank Transfers in Italy (securityintelligence.com)<\/a> <\/figcaption><\/figure>\n\n\n\n<p>Poi viene mostrato alla vittima una GIF di caricamento. <br>Per prevenire azioni da parte dell&#8217;utente viene mostrato un avviso di manutenzione, cos\u00ec facendo la vittima non riesce ad accedere al proprio account dal dispositivo infettato.<\/p>\n\n\n\n<figure class=\"wp-block-image\"><img decoding=\"async\" src=\"https:\/\/images-cdn.welcomesoftware.com\/Zz0zMTdlMjZmMGM5MjgxMWViOGU0ZTE5Mjc3ZTM2ZDNjOA==\" alt=\"\" \/><figcaption>Da: <a href=\"https:\/\/securityintelligence.com\/posts\/ursnif-cerberus-android-malware-bank-transfers-italy\/\">Ursnif Leverages Cerberus Android Malware to Automate Fraudulent Bank Transfers in Italy (securityintelligence.com)<\/a> <\/figcaption><\/figure>\n\n\n\n<h3 class=\"wp-block-heading\">ICOs<\/h3>\n\n\n\n<h5 class=\"wp-block-heading\">C2 Servers<\/h5>\n\n\n\n<p>*\/statppaa\/*<\/p>\n\n\n\n<p>hxxp:\/\/sanpoloanalytics[.]org\/pp_am\/<\/p>\n\n\n\n<p>*\/statmoflsa\/*<\/p>\n\n\n\n<p>hxxp:\/\/sanpoloanalytics[.]org\/lancher\/<\/p>\n\n\n\n<p>MD5 Gozi: b6921ce0f1b94a938acb6896cc8daeba<br>MD5 Cerberus + APK:<br>40b8a8fd2f4743534ad184be95299a8e17d029a7ce5bc9eaeb28c5401152460d<br><br><strong>Phishing domains and C&amp;C servers:<\/strong><br><br><strong>C&amp;C:<\/strong><br><a href=\"\/\/ecertificateboly.us\/lancher\/\" target=\"_blank\" rel=\"noreferrer noopener\">hxxps:\/\/ecertificateboly.us\/lancher\/<\/a><br><a href=\"\/\/sanpoloanalytics.org\/lancher\/\" target=\"_blank\" rel=\"noreferrer noopener\">hxxp:\/\/sanpoloanalytics.org\/lancher\/<\/a><br><br><strong>Phishing:<\/strong><br><a href=\"\/\/play.google.servlce.store\/store\/apps\/details.php?id=it.phoenixspa.inbank\" target=\"_blank\" rel=\"noreferrer noopener\">hxxps:\/\/play.google.servlce.store\/store\/apps\/details.php?id=it.phoenixspa.inbank<\/a><br><a href=\"\/\/play.gooogle.services\/store\/apps\/details.php?id=com.paypal.android.p2pmobile\" target=\"_blank\" rel=\"noreferrer noopener\">hxxps:\/\/play.gooogle.services\/store\/apps\/details.php?id=com.paypal.android.p2pmobile<\/a><br><a href=\"\/\/google.servlce.store\" target=\"_blank\" rel=\"noreferrer noopener\">hxxps:\/\/google.servlce.store<\/a><br><a href=\"\/\/gooogle.services\" target=\"_blank\" rel=\"noreferrer noopener\">hxxps:\/\/gooogle.services<\/a><br><a href=\"\/\/goooogle.services\" target=\"_blank\" rel=\"noreferrer noopener\">hxxps:\/\/goooogle.services<\/a><br><a href=\"\/\/play.google.servlce.store\" target=\"_blank\" rel=\"noreferrer noopener\">hxxps:\/\/play.google.servlce.store<\/a><br><a href=\"\/\/play.gooogle.services\" target=\"_blank\" rel=\"noreferrer noopener\">hxxps:\/\/play.gooogle.services<\/a><br><a href=\"\/\/play.goooogle.services\" target=\"_blank\" rel=\"noreferrer noopener\">hxxps:\/\/play.goooogle.services<\/a><br><br><strong>IP addresses:<\/strong><br><br>SOCKS Proxy:<br>37.120.222.138:9955<br><br>VNC:<br>194.76.225.91<br><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Nelle ultime settimane \u00e8 stata rilevata una campagna malware Ursnif con l&#8217;obiettivo di colpire gli utenti italiani che utilizzano l&#8217;online banking. Una volta infettato il computer della vittima, Ursnif attende che l&#8217;utente si colleghi al proprio sito di online banking e attraverso una web injection avvisa gli utenti che non potranno pi\u00f9 utilizzare il servizio [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":2489,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[3],"tags":[],"class_list":["post-2700","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cyber-security-news"],"_links":{"self":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts\/2700","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/comments?post=2700"}],"version-history":[{"count":0,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/posts\/2700\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/"}],"wp:attachment":[{"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/media?parent=2700"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/categories?post=2700"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/fortgale.com\/blog\/wp-json\/wp\/v2\/tags?post=2700"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}