नई दिल्ली: Android स्मार्टफोन यूजर्स को निशाना बनाने वाले BTMob बैंकिंग मैलवेयर प्लेटफॉर्म की व्यापकता ने साइबर सुरक्षा विशेषज्ञों की चिंता बढ़ा दी है। यह प्लेटफॉर्म कथित तौर पर Fraud-as-a-Service मॉडल पर काम करता है और साइबर अपराधियों को संक्रमित Android ऐप तैयार करने, डिवाइस पर नियंत्रण हासिल करने और बैंकिंग गतिविधियों से जुड़ी जानकारी चुराने के लिए तैयार बुनियादी ढांचा उपलब्ध कराता है। सुरक्षा शोधकर्ताओं के विश्लेषण में BTMob से जुड़े 1,402 लाइव होस्ट सामने आए हैं।
शोधकर्ताओं के मुताबिक, BTMob किसी एक दुर्भावनापूर्ण ऐप तक सीमित नहीं है। इसका इस्तेमाल करने वाले अलग-अलग ऑपरेटर स्थानीय भाषा, लोकप्रिय ब्रांड और अलग-अलग बहानों के साथ नए अभियान चला सकते हैं। पीड़ितों को नकली ऐप, क्लोन डाउनलोड पेज और ग्राहक सहायता जैसे दिखने वाले संदेशों के जरिए APK इंस्टॉल करने के लिए प्रेरित किया जाता है। ऐप इंस्टॉल होने के बाद हमलावर स्क्रीन पर नजर रखने, संवेदनशील जानकारी हासिल करने और बैंकिंग गतिविधियों में हस्तक्षेप करने की क्षमता प्राप्त कर सकते हैं।
QuimeraX के शोधकर्ताओं ने लीक हुए BTMob सोर्स पैकेज और इंटरनेट पर खुले सर्वरों का विश्लेषण कर इसके बुनियादी ढांचे का पता लगाया। रिपोर्ट के अनुसार, Shodan पर BTMob के विशिष्ट फर्जी एरर पेज से संबंधित खोज में पोर्ट 3000 पर 1,402 होस्ट मिले। शोधकर्ताओं ने इनमें से कई सिस्टम को BTMob के कमांड-एंड-कंट्रोल सर्वर के रूप में सत्यापित किया।
BTMob का मॉडल इसे पारंपरिक मैलवेयर से अधिक खतरनाक बनाता है। प्लेटफॉर्म में Android मैलवेयर, ड्रॉपर, डेस्कटॉप कंट्रोल पैनल, सर्वर बैकएंड और स्वचालित APK बिल्डर शामिल हैं। ऑपरेटर ऐप का नाम, आइकन, सर्वर एड्रेस और मांगी जाने वाली permissions निर्धारित कर तैयार पैकेज बना सकता है। इस तरह अपराधियों को खुद से पूरा मैलवेयर विकसित करने की जरूरत नहीं पड़ती।
शोध में एक reseller प्रणाली के संकेत भी मिले हैं, जिसके जरिए नए खाते और activation codes बनाए जा सकते हैं। BTMob का संबंध पहले सामने आ चुके CraxsRAT और SpySolr परिवारों से भी बताया गया है। हालांकि, शोधकर्ताओं के अनुसार इसकी सबसे बड़ी ताकत इसका कारोबारी मॉडल है, जिसमें सोर्स कोड, ब्रांडिंग विकल्प और इंफ्रास्ट्रक्चर को अलग-अलग आपराधिक समूहों द्वारा दोबारा इस्तेमाल किया जा सकता है।
ब्राजील में सामने आए एक अभियान में हमलावरों ने WhatsApp पर एक रिटेल कंपनी की ब्रांडिंग वाला प्रोफाइल इस्तेमाल किया। पीड़ित की वास्तविक व्यक्तिगत जानकारी के आधार पर उसे फर्जी loyalty offer भेजा गया। इसके बाद एक कॉलर ने ग्राहक को कई मिनट तक फोन पर समझाया और अज्ञात स्रोतों से ऐप इंस्टॉल करने की सेटिंग सक्रिय कराई। कुछ समय बाद WhatsApp के जरिए दुर्भावनापूर्ण APK भेजा गया।
शोधकर्ताओं ने चेतावनी दी है कि BTMob से जुड़े अभियान नकली Google Play पेज, पैकेज-ट्रैकिंग सेवाओं, स्ट्रीमिंग प्लेटफॉर्म, बैंकिंग सुरक्षा ऐप और सरकारी सेवाओं की आड़ ले सकते हैं। इन पेजों पर फर्जी ratings और reviews दिखाकर ऐप को भरोसेमंद बनाने की कोशिश की जाती है।
साइबर सुरक्षा विशेषज्ञों के मुताबिक, यूजर्स को अनजान नंबर से आए APK, Accessibility permissions सक्रिय करने या unknown sources से ऐप इंस्टॉल करने के निर्देशों को गंभीर चेतावनी मानना चाहिए। वित्तीय, सरकारी और डिलीवरी से जुड़े ऐप केवल आधिकारिक ऐप स्टोर या संबंधित संस्थान की वेबसाइट से ही डाउनलोड करने चाहिए। किसी संदिग्ध कॉल या संदेश में तुरंत कार्रवाई करने के बजाय संबंधित संस्था से उसके आधिकारिक संपर्क माध्यम से स्वतंत्र रूप से पुष्टि करना जरूरी है।
A Researcher at Algoritha Security के मुताबिक, ऐसे Fraud-as-a-Service प्लेटफॉर्म साइबर अपराध की लागत और तकनीकी बाधाओं को कम कर देते हैं। तैयार मैलवेयर और इंफ्रास्ट्रक्चर उपलब्ध होने से छोटे समूह भी बड़े पैमाने पर मोबाइल-आधारित धोखाधड़ी अभियान चला सकते हैं। इसलिए केवल मैलवेयर सैंपल को ब्लॉक करना पर्याप्त नहीं होगा; संबंधित सर्वर, sideloaded ऐप और असामान्य नेटवर्क गतिविधियों की भी लगातार निगरानी जरूरी है।
