Jak wyeliminować Octo2 z zainfekowanych urządzeń z Androidem
Napisany przez Tomasa Meskauskasa,
Jakim rodzajem złośliwego oprogramowania jest Octo2?
Octo2 to nowa wersja trojana bankowego Octo atakującego użytkowników Androida. W porównaniu do starej wersji, Octo2 zawiera ulepszone możliwości RAT oraz techniki anty-analizy i anty-wykrywania. Jeśli istnieje powód, aby podejrzewać, że urządzenie jest zainfekowane Octo2, należy jak najszybciej przeprowadzić skanowanie za pomocą renomowanego narzędzia bezpieczeństwa.
Przegląd Octo2
Oryginalna wersja Octo umożliwia cyberprzestępcom popełnianie oszustw na urządzeniach poprzez inicjowanie transakcji. Może przechwytywać zawartość ekranu (w czasie rzeczywistym), przeprowadzać ataki nakładkowe na aplikacje bankowe i rejestrować naciśnięcia klawiszy, umożliwiając atakującym uzyskanie poufnych informacji.
Nowa wersja Octo2 ma ulepszone funkcje zdalnego dostępu, dzięki czemu połączenie jest bardziej stabilne i szybsze podczas sesji zdalnych. Pozwala atakującym na zmniejszenie ilości danych wysyłanych przez Internet do centrum dowodzenia (C2). Ustawienie to pomaga utrzymać stabilne połączenie nawet w wolnych sieciach poprzez obniżenie jakości zrzutów ekranu.
Octo jest również znany ze swoich zaawansowanych technik antyanalitycznych i antywykrywczych. W Octo2 twórcy poprawili proces zaciemniania. Dodali kroki, które odszyfrowują i dynamicznie ładują natywną bibliotekę odpowiedzialną za obsługę ładunku oraz generowanie kluczy szyfrowania i nazw domen C2.
Ponadto Octo2 wykorzystuje algorytm generowania domen (DGA) do tworzenia nazwy serwera C2, umożliwiając cyberprzestępcom szybką zmianę nazw domen bez regeneracji złośliwego oprogramowania. Pozwala to podmiotom stanowiącym zagrożenie uniknąć usunięcia serwera i blokowania list.
Warto również zauważyć, że Octo2 może uzyskać listę aplikacji do monitorowania i blokowania powiadomień push, co pomaga operatorom skuteczniej skupić się na określonych celach.
| Nazwa | Trojan bankowy Octo2 |
| Typ zagrożenia | Złośliwe oprogramowanie dla systemu Android, trojan bankowy, trojan zdalnego dostępu |
| Nazwy wykrywaczy | Avast-Mobile (Android:Evo-gen [Trj]), Combo Cleaner (Android.Riskware.Marcher.aFK), ESET-NOD32 (Wiele wykryć), Kingsoft (Android.Troj.TrojanDroppe.MGV), Pełna lista (VirusTotal) |
| Objawy | Urządzenie działa wolno, ustawienia systemowe są modyfikowane bez zgody użytkownika, pojawiają się podejrzane aplikacje, znacznie wzrasta zużycie danych i baterii, przeglądarki przekierowują na podejrzane strony internetowe, wyświetlane są natrętne reklamy. |
| Metody dystrybucji | Fałszywe aplikacje, nieoficjalne strony internetowe, zewnętrzne sklepy z aplikacjami. |
| Szkody | Kradzież danych osobowych, spadek wydajności urządzenia, szybkie rozładowanie baterii, spadek prędkości Internetu, ogromne straty danych, straty pieniężne, kradzież tożsamości. |
| Usuwanie malware (Android) | Aby usunąć możliwe infekcje malware, przeskanuj urządzenie przenośne profesjonalnym oprogramowaniem antywirusowym. Nasi analitycy bezpieczeństwa zalecają korzystanie z Combo Cleaner. |
Podsumowanie
Podsumowując, wariant Octo2 stanowi niebezpieczne zagrożenie dla bezpieczeństwa bankowego. Dzięki ulepszonemu zdalnemu dostępowi i technikom zaciemniania, stanowi on zwiększone ryzyko dla użytkowników. Ważne jest, aby zachować ostrożność i zastosować solidne środki bezpieczeństwa w celu ochrony przed zagrożeniami takimi jak Octo2.
Niektóre przykłady innego mobilnego złośliwego oprogramowania atakującego użytkowników Androida to Necro, Ajina i SpyAgent.
Jak Octo2 przeniknął na moje urządzenie?
Aktorzy zagrożeń zostali zauważeni podczas dystrybucji Octo2, ukrywając go pod postacią popularnych aplikacji, takich jak Google Chrome, NordVPN i Enterprise Europe Network. Octo2 wykorzystuje usługę Zombinder do osadzania złośliwego ładunku w tych plikach APK, skutecznie omijając środki bezpieczeństwa w systemie Android 13 i nowszych wersjach.
Kiedy użytkownicy uruchamiają Zombindera, ten prosi ich o zainstalowanie dodatkowej "wtyczki", która w rzeczywistości jest złośliwym oprogramowaniem Octo2.
Jak uniknąć instalacji złośliwego oprogramowania?
Pobieraj aplikacje i pliki z oficjalnych stron internetowych i sklepów z aplikacjami (i czytaj opinie użytkowników przed instalacją). Zachowaj sceptycyzm w przypadku napotkania podejrzanych wyskakujących okienek, reklam, linków lub przycisków w podejrzanych witrynach. Zawsze sprawdzaj nieoczekiwane lub nieznane e-maile i wiadomości przed kliknięciem linków lub otwarciem załączników. Regularnie aktualizuj system operacyjny.
Używaj zaufanego oprogramowania antywirusowego lub chroniącego przed złośliwym oprogramowaniem i upewnij się, że ma najnowsze aktualizacje.
Zrzut ekranu z żądaniem od Zombindera potwierdzenia instalacji Octo2 (źródło: threatfabric.com):
Szybkie menu:
- Wprowadzenie
- Jak usunąć historię przeglądania w przeglądarce Chrome?
- Jak wyłączyć powiadomienia przeglądarki w przeglądarce Chrome?
- Jak zresetować przeglądarkę Chrome?
- Jak usunąć historię przeglądania w przeglądarce Firefox?
- Jak wyłączyć powiadomienia przeglądarki w przeglądarce Firefox?
- Jak zresetować przeglądarkę Firefox?
- Jak odinstalować potencjalnie niechciane i/lub złośliwe aplikacje?
- Jak uruchomić urządzenie z Androidem w trybie awaryjnym?
- Jak sprawdzić zużycie baterii przez różne aplikacje?
- Jak sprawdzić wykorzystanie danych przez różne aplikacje?
- Jak zainstalować najnowsze aktualizacje oprogramowania?
- Jak zresetować system do stanu domyślnego?
- Jak wyłączyć aplikacje z uprawnieniami administratora?
Usuń historię przeglądania z przeglądarki internetowej Chrome:
Dotknij przycisku "Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz "Historia" w otwartym menu rozwijanym.
Stuknij "Wyczyść dane przeglądania", wybierz zakładkę "ZAAWANSOWANE", wybierz zakres czasu i typy danych, które chcesz usunąć, a następnie stuknij "Wyczyść dane".
Wyłącz powiadomienia przeglądarki w przeglądarce Chrome:
Naciśnij przycisk "Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz "Ustawienia" w otwartym menu rozwijanym.
Przewiń w dół, aż zobaczysz opcję "Ustawienia witryny" i dotknij jej. Przewiń w dół, aż zobaczysz opcję "Powiadomienia" i dotknij jej.
Znajdź witryny, które dostarczają powiadomienia przeglądarki, dotknij ich i kliknij "Wyczyść i zresetuj". Spowoduje to usunięcie uprawnień przyznanych tym witrynom do dostarczania powiadomień. Jednak po ponownym odwiedzeniu tej samej witryny może ona ponownie poprosić o pozwolenie. Możesz wybrać, czy chcesz udzielić tych uprawnień, czy nie (jeśli zdecydujesz się odmówić, witryna przejdzie do sekcji "Zablokowane" i nie będzie już pytać o pozwolenie).
Zresetuj przeglądarkę internetową Chrome:
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Aplikacje" i dotknij go.
Przewiń w dół, aż znajdziesz aplikację "Chrome", wybierz ją i dotknij opcji "Pamięć".
Stuknij "ZARZĄDZAJ PAMIĘCIĄ", a następnie "WYCZYŚĆ WSZYSTKIE DANE" i potwierdź czynność, stukając "OK". Należy pamiętać, że zresetowanie przeglądarki spowoduje usunięcie wszystkich przechowywanych w niej danych. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, ustawienia inne niż domyślne i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się do wszystkich witryn.
Usuwanie historii przeglądania w przeglądarce Firefox:
Stuknij przycisk "Menu" (trzy kropki w prawym górnym rogu ekranu) i wybierz "Historia" w otwartym menu rozwijanym.
Przewiń w dół, aż zobaczysz "Wyczyść prywatne dane" i dotknij go. Wybierz typy danych, które chcesz usunąć i dotknij "WYCZYŚĆ DANE".
Wyłącz powiadomienia przeglądarki w przeglądarce Firefox:
Odwiedź witrynę, która dostarcza powiadomienia przeglądarki, dotknij ikony wyświetlanej po lewej stronie paska adresu URL (ikona niekoniecznie będzie "kłódką") i wybierz "Edytuj ustawienia witryny".
W otwartym wyskakującym okienku wybierz opcję "Powiadomienia" i dotknij "WYCZYŚĆ".
Zresetuj przeglądarkę Firefox:
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Aplikacje" i dotknij go.
Przewiń w dół, aż znajdziesz aplikację "Firefox", wybierz ją i dotknij opcji "Pamięć".
Stuknij "WYCZYŚĆ DANE" i potwierdź akcję, stukając "USUŃ". Należy pamiętać, że zresetowanie przeglądarki spowoduje usunięcie wszystkich przechowywanych w niej danych. Oznacza to, że wszystkie zapisane loginy/hasła, historia przeglądania, ustawienia inne niż domyślne i inne dane zostaną usunięte. Konieczne będzie również ponowne zalogowanie się do wszystkich witryn.
Odinstaluj potencjalnie niechciane i/lub złośliwe aplikacje:
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Aplikacje" i dotknij go.
Przewiń w dół, aż zobaczysz potencjalnie niechcianą i/lub złośliwą aplikację, wybierz ją i dotknij "Odinstaluj". Jeśli z jakiegoś powodu nie możesz usunąć wybranej aplikacji (np. pojawia się komunikat o błędzie), spróbuj użyć "Trybu awaryjnego".
Uruchom urządzenie z Androidem w "trybie awaryjnym":
"Tryb bezpieczny" w systemie operacyjnym Android tymczasowo wyłącza działanie wszystkich aplikacji innych firm. Korzystanie z tego trybu jest dobrym sposobem na diagnozowanie i rozwiązywanie różnych problemów (np. usuwanie złośliwych aplikacji, które uniemożliwiają użytkownikom wykonywanie tych czynności, gdy urządzenie działa "normalnie").
Naciśnij przycisk "Power" i przytrzymaj go, aż zobaczysz ekran "Power off". Stuknij ikonę "Wyłącz" i przytrzymaj ją. Po kilku sekundach pojawi się opcja "Tryb bezpieczny", którą będzie można uruchomić po ponownym uruchomieniu urządzenia.
Sprawdź zużycie baterii przez różne aplikacje:
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Konserwacja urządzenia" i dotknij go.
Stuknij "Bateria" i sprawdź zużycie energii przez poszczególne aplikacje. Legalne/oryginalne aplikacje są zaprojektowane tak, aby zużywać jak najmniej energii, aby zapewnić jak najlepsze wrażenia użytkownika i oszczędzać energię. Dlatego wysokie zużycie baterii może wskazywać, że aplikacja jest złośliwa.
Sprawdź zużycie danych przez różne aplikacje:
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Połączenia" i dotknij go.
Przewiń w dół, aż zobaczysz "Wykorzystanie danych" i wybierz tę opcję. Podobnie jak w przypadku baterii, legalne / oryginalne aplikacje są zaprojektowane tak, aby zminimalizować zużycie danych w jak największym stopniu. Oznacza to, że duże zużycie danych może wskazywać na obecność złośliwej aplikacji. Należy pamiętać, że niektóre złośliwe aplikacje mogą być zaprojektowane do działania, gdy urządzenie jest podłączone tylko do sieci bezprzewodowej. Z tego powodu należy sprawdzić wykorzystanie danych zarówno w sieci komórkowej, jak i Wi-Fi.
Jeśli znajdziesz aplikację, która zużywa dużo danych, mimo że nigdy jej nie używasz, zdecydowanie zalecamy odinstalowanie jej tak szybko, jak to możliwe.
Zainstaluj najnowsze aktualizacje oprogramowania:
Utrzymywanie aktualnego oprogramowania jest dobrą praktyką, jeśli chodzi o bezpieczeństwo urządzenia. Producenci urządzeń stale wydają różne poprawki bezpieczeństwa i aktualizacje Androida w celu naprawienia błędów i usterek, które mogą być wykorzystywane przez cyberprzestępców. Nieaktualny system jest znacznie bardziej podatny na ataki, dlatego zawsze należy upewnić się, że oprogramowanie urządzenia jest aktualne.
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Aktualizacja oprogramowania" i dotknij go.
Stuknij "Pobierz aktualizacje ręcznie" i sprawdź, czy dostępne są jakieś aktualizacje. Jeśli tak, zainstaluj je natychmiast. Zalecamy również włączenie opcji "Pobieraj aktualizacje automatycznie" - umożliwi to systemowi powiadamianie o wydaniu aktualizacji i/lub jej automatyczną instalację.
Zresetuj system do stanu domyślnego:
Wykonanie "Factory Reset" jest dobrym sposobem na usunięcie wszystkich niechcianych aplikacji, przywrócenie domyślnych ustawień systemu i ogólne wyczyszczenie urządzenia. Należy jednak pamiętać, że wszystkie dane w urządzeniu zostaną usunięte, w tym zdjęcia, pliki wideo / audio, numery telefonów (przechowywane w urządzeniu, a nie na karcie SIM), wiadomości SMS i tak dalej. Innymi słowy, urządzenie zostanie przywrócone do stanu pierwotnego.
Możesz również przywrócić podstawowe ustawienia systemowe i/lub po prostu ustawienia sieciowe.
Przejdź do "Ustawienia", przewiń w dół, aż zobaczysz "Informacje o telefonie" i dotknij go.
Przewiń w dół, aż zobaczysz "Resetuj" i dotknij go. Teraz wybierz czynność, którą chcesz wykonać:
"Resetuj ustawienia" - przywróć wszystkie ustawienia systemowe do wartości domyślnych;
"Resetuj ustawienia sieciowe" - przywróć wszystkie ustawienia związane z siecią do wartości domyślnych;
"Przywracanie danych fabrycznych" - zresetuj cały system i całkowicie usuń wszystkie zapisane dane;
Wyłącz aplikacje, które mają uprawnienia administratora:
Jeśli złośliwa aplikacja uzyska uprawnienia administratora, może poważnie uszkodzić system. Aby zapewnić maksymalne bezpieczeństwo urządzenia, należy zawsze sprawdzać, które aplikacje mają takie uprawnienia i wyłączać te, które nie powinny.
Przejdź do "Ustawień", przewiń w dół, aż zobaczysz "Ekran blokady i zabezpieczenia" i dotknij go.
Przewiń w dół, aż zobaczysz "Inne ustawienia zabezpieczeń", dotknij go, a następnie dotknij "Aplikacje administratora urządzenia".
Zidentyfikuj aplikacje, które nie powinny mieć uprawnień administratora, stuknij je, a następnie stuknij "DEAKTYWUJ".
Często zadawane pytania (FAQ)
Moje urządzenie jest zainfekowane Octo2, czy powinienem sformatować urządzenie pamięci masowej, aby się go pozbyć?
Formatowanie urządzenia pamięci masowej może pomóc pozbyć się złośliwego oprogramowania, ale powinno być traktowane jako ostatnia opcja, ponieważ formatowanie usuwa wszystkie dane. Zaleca się użycie niezawodnego oprogramowania antywirusowego lub anty-malware, aby spróbować usunąć Octo2.
Jakie są największe problemy, które może powodować złośliwe oprogramowanie?
Szkody wyrządzone przez złośliwe oprogramowanie mogą się różnić w zależności od jego funkcji. Typowe skutki ataków złośliwego oprogramowania obejmują kradzież tożsamości, straty finansowe, możliwość dalszych infekcji, utratę danych i spadek wydajności urządzenia.
Jaki jest cel Octo2?
Octo2 umożliwia cyberprzestępcom przechwytywanie tego, co jest wyświetlane na ekranie w czasie rzeczywistym, przeprowadzanie ataków nakładkowych na aplikacje bankowe i rejestrowanie naciśnięć klawiszy, umożliwiając atakującym dostęp do poufnych informacji.
Jak Octo2 przeniknął na moje urządzenie?
Aktorzy zagrożeń rozpowszechniają Octo2, maskując go jako popularne aplikacje, takie jak Google Chrome, NordVPN i Enterprise Europe Network. Złośliwe oprogramowanie wykorzystuje usługę Zombinder do osadzania swojego ładunku w plikach APK. Kiedy użytkownicy otwierają Zombindera, są proszeni o zainstalowanie dodatkowej "wtyczki", którą jest złośliwe oprogramowanie Octo2.
Czy Combo Cleaner ochroni mnie przed złośliwym oprogramowaniem?
Tak, Combo Cleaner może zidentyfikować i wyeliminować prawie wszystkie znane infekcje złośliwym oprogramowaniem. Ponieważ jednak zaawansowane złośliwe oprogramowanie często ukrywa się głęboko w systemie, zaleca się wykonanie pełnego skanowania systemu.
Znakomita!
▼ Pokaż dyskusję