Penjahat dunia maya mencuri ID Wajah

Penjahat dunia maya menargetkan pengguna iOS dengan malware yang mencuri pemindaian ID Wajah untuk membobol rekening bank dan mencuri uang dari rekening bank – yang diyakini sebagai yang pertama di dunia.

Kelompok kejahatan dunia maya berbahasa Tiongkok, yang dijuluki GoldFactory oleh peneliti Group-IB, mulai mendistribusikan aplikasi ponsel pintar yang di-trojan pada bulan Juni 2023, tetapi versi terbaru GoldPickax telah ada sejak bulan Oktober.

GoldPickaxe dan GoldPickaxe.iOS masing-masing menargetkan Android dan iOS, dengan menipu pengguna agar melakukan pemeriksaan autentikasi biometrik yang pada akhirnya digunakan untuk melewati pemeriksaan yang sama yang digunakan oleh aplikasi perbankan sah di Vietnam dan Thailand – yang merupakan fokus geografis dari serangan yang sedang berlangsung ini.

Versi iOS dikatakan hanya ditargetkan untuk pengguna di Thailand dan dimaksudkan sebagai aplikasi pensiun digital resmi pemerintah Thailand. Namun, beberapa orang percaya dia juga berhasil sampai ke Vietnam. Serangan serupa yang menyebabkan pencurian puluhan ribu dolar dilaporkan terjadi di wilayah tersebut awal bulan ini.

“Perlu dicatat bahwa GoldPickaxe.iOS adalah trojan iOS pertama yang diamati oleh Group-IB yang menggabungkan fungsi-fungsi berikut: pengumpulan data biometrik korban, dokumen ID, intersepsi SMS, dan lalu lintas proxy melalui perangkat korban,” kata para peneliti. .

“Saudaranya yang Android memiliki lebih banyak fitur dibandingkan versi iOS karena keterbatasan dan ketertutupan iOS yang lebih besar.”

Meskipun malware Android lebih umum terjadi, mengingat platform tersebut memungkinkan pengguna untuk melakukan sideload aplikasi, penemuan iOS lebih mengejutkan para peneliti mengingat kontrol keamanan yang lebih ketat pada platform Apple.

Infeksi Android lebih mudah dibandingkan versi iOS, dengan aplikasi jahat hanya tersedia untuk diunduh/dimuat melalui Google Play Store palsu namun tampaknya sah.

Para peneliti juga menemukan bahwa versi Android menggunakan lebih banyak penyamaran dibandingkan versi iOS – meniru identitas lebih dari 20 organisasi pemerintah, keuangan, dan publik di Thailand, sehingga memungkinkan penyerang mencuri kredensial login untuk semua layanan tersebut.

Bagaimana cara mereka masuk ke ponsel Apple?

Dalam kasus iOS, penyerang harus cerdik. Metode pertama mereka melibatkan eksploitasi platform TestFlight Apple, yang memungkinkan aplikasi didistribusikan sebagai beta sebelum dirilis penuh ke App Store.

Setelah metode ini digagalkan, para penyerang beralih ke rekayasa sosial yang lebih canggih. Hal ini melibatkan mempengaruhi pengguna untuk mendaftarkan perangkat mereka dalam program MDM, sehingga memungkinkan penyerang mentransfer aplikasi buruk ke perangkat dengan cara itu.

Dalam semua kasus, kontak pertama dengan para korban dilakukan oleh penyerang yang menyamar sebagai otoritas pemerintah di aplikasi pesan LINE, salah satu aplikasi paling populer di wilayah tersebut.

Misalnya, dalam beberapa kasus di bulan November, penjahat menyamar sebagai pejabat kementerian keuangan Thailand dan menawarkan tunjangan pensiun kepada kerabat korban yang lanjut usia.

Dari sana, para korban direkayasa secara sosial untuk mengambil Beliung Emas melalui berbagai cara.

Setelah pemindaian biometrik ditangkap, penyerang kemudian menggunakan pemindaian tersebut bersama dengan perangkat lunak deepfake untuk menghasilkan model wajah korban.

Penyerang akan mengunduh aplikasi perbankan target ke perangkat mereka sendiri dan menggunakan model palsu bersama dengan ID curian dan pesan teks yang disadap untuk membobol bank korban dari jarak jauh.

Penerapan teknologi deepfake sebagian besar merupakan ancaman hipotetis bagi para profesional infosec selama bertahun-tahun, namun GoldPickaxe berfungsi sebagai pengingat bahwa teknologi tersebut kini sudah cukup matang untuk digunakan dalam serangan di dunia nyata dan kemungkinan akan dieksploitasi di tahun-tahun mendatang.

Biometrik wajah baru diwajibkan di Thailand tahun lalu, dengan rencana pertama kali diumumkan pada bulan Maret dan tanggal penerapannya ditetapkan pada bulan Juli. Vietnam siap memesan pemeriksaan serupa pada bulan April tahun ini.

Mulai Juli 2023, semua aplikasi perbankan Thailand harus mematuhi inisiatif baru untuk mengganti kode akses satu kali dengan biometrik wajah guna mengurangi ancaman penipuan keuangan di wilayah tersebut. Ini secara khusus berlaku untuk transaksi yang melebihi 50.000 BAT (kira-kira $1.400 USD).

Artinya, grup GoldFactory mampu mengembangkan solusinya sendiri untuk inisiatif keamanan baru ini dalam hitungan bulan, yang menekankan kemampuan dan keterampilan penyerang.

“GoldFactory adalah tim yang cerdas dengan banyak trik: peniruan identitas, akses keylogging, situs web bank palsu, peringatan bank palsu, layar panggilan palsu, pengambilan identitas, dan pengenalan wajah,” kata para peneliti.

“Dilengkapi dengan berbagai alat, mereka memiliki fleksibilitas untuk memilih dan melaksanakan alat yang paling sesuai dengan skenario. Mereka adalah tim yang strategis dan terorganisir dengan baik.”

“Mereka menyadari lingkungan target mereka dan terus meningkatkan perangkat mereka untuk menyesuaikannya dengan lingkungan target mereka. Pengembang mereka juga menunjukkan keahlian mereka yang relatif tinggi dalam pengembangan perangkat lunak.”

Keluarga malware Emas

GoldPickaxe adalah versi terbaru dari banyak Trojan yang dikembangkan oleh kelompok kriminal GoldFactory.

Yang pertama – GoldDigger – terlihat pada bulan Juni 2023 dan sebagian besar berfungsi sebagai trojan perbankan Android tradisional yang memberikan kontrol atas perangkat korban.

GoldDigger dan GoldPickaxe berbagi kode tetapi memiliki tujuan utama yang berbeda. Yang pertama berfokus pada pengumpulan kredensial bank, sedangkan yang kedua mencuri informasi pribadi, termasuk menangkap wajah korban, dokumen identitas, dan sebagainya.

GoldDiggerPlus menyusul pada bulan September, menambahkan lebih banyak fitur canggih ke trojan GoldDigger dasar, termasuk APK GoldKefu, yang digunakan bersama dengan GoldDiggerPlus.

“Tidak seperti GoldDigger, yang terutama bergantung pada Layanan Aksesibilitas, GoldDiggerPlus dan GoldKefu menggunakan webfake untuk mengumpulkan kredensial atau melakukan panggilan penipuan yang ditargetkan. Kami menyimpulkan bahwa tujuan utama GoldDiggerPlus adalah untuk mengautentikasi ke server C2, melakukan klik otomatis, saat mengotorisasi rekaman layar dan streaming feed melalui Real-Time Messaging Protocol (RTMP),” kata para peneliti.

“Hal ini juga membawa peningkatan dalam pemberian izin dari GoldDigger. Kini dibutuhkan pendekatan yang lebih modular dan terkendali, yaitu izin diminta dan diberikan ketika C2 mengeluarkan perintah. Hal ini tidak memberikan semua izin sekaligus seperti GoldDigger.”

GoldKefu menawarkan fitur menarik karena mengintegrasikan Agora SDK, yang memungkinkan panggilan video dan suara secara real-time. Penyerang kemudian dapat melakukan panggilan ke korban sambil meniru perwakilan dukungan pelanggan yang sah dari merek yang mereka tiru.

Penyerang dapat mengirimkan peringatan palsu kepada pengguna aplikasi yang memperingatkan mereka bahwa 3 juta BAT telah ditransfer dari akun mereka dan menghubungi bank mereka jika transaksi tersebut tidak diotorisasi.

Peringatan lainnya termasuk pesan kesalahan palsu yang muncul ketika Trojan mencegah pembukaan aplikasi perbankan dan mendorong pengguna untuk menghubungi bank mereka dan “membekukan rekening mereka”.

Peringatan ini memiliki tombol “kontak” sekali sentuh yang, jika dimulai pada jam kerja yang ditentukan oleh penjahat dunia maya, akan memulai panggilan dengan para penjahat, yang pada dasarnya menjalankan pusat panggilan bank palsu tersebut, untuk mendapatkan informasi lebih lanjut.

Versi Android GoldPickaxe terbaru dianggap sebagai versi terbaru dari GoldDiggerPlus, yang juga menyertakan APK GoldKefu.

Versi iOS tidak memiliki kemampuan ekstensif ini karena sifat platform iOS Apple yang tertutup, kata para peneliti.

“Kemampuan beradaptasi dari musuh-musuh dunia maya ini luar biasa, sebagaimana dibuktikan oleh evolusi skema penipuan mereka,” kata Group-IB. “Selain meningkatkan kemampuan malware GoldDigger asli, mereka telah memperkenalkan kategori keluarga malware baru yang berspesialisasi dalam mengumpulkan data pengenalan wajah. Mereka juga telah mengembangkan alat yang memfasilitasi komunikasi langsung antara korban dan penjahat dunia maya yang menyamar sebagai pusat panggilan perbankan yang sah. . .

“Kesimpulannya, evolusi taktik penjahat dunia maya yang tiada henti, yang dicontohkan oleh kecanggihan malware GoldFactory, menggarisbawahi kebutuhan penting akan pendekatan keamanan siber yang proaktif dan beragam, termasuk pendidikan pengguna dan pendekatan keamanan modern yang terintegrasi untuk secara proaktif mendeteksi trojan baru dan memberi informasi kepada pengguna akhir. . ” ®