دانلود گزارش فنی تیم فورنزیک رازنت: دانلود فایل pdf

همه چیز با یک تبلیغ در تلگرام آغاز می‌شود. کاربر روی لینکی کلیک می‌کند که او را به صفحه‌ای با ظاهر رسمی و نشان وزارت تعاون، کار و رفاه اجتماعی هدایت می‌کند؛ صفحه‌ای که خود را مجری یک «طرح حمایتی ایجاد شغل برای جوانان» معرفی می‌کند. پس از وارد کردن اطلاعاتی مانند شماره تلفن، کد ملی و تاریخ تولد، سامانه نتیجه‌ای شبیه یک استعلام واقعی نمایش می‌دهد و در مرحله بعد از کاربر می‌خواهد برای ادامه فرایند، یک اپلیکیشن اندرویدی را نصب کند.

اما بررسی فنی تیم تحقیقاتی رازنت نشان می‌دهد این فایل که حتی متعلق به یک نهاد رسمی دولتی هم نیست، در حقیقت یک تروجان بانکی اندرویدی است که برای سرقت پیامک‌ها و کدهای یکبارمصرف، دریافت دسترسی‌های حساس و حفظ ماندگاری روی دستگاه طراحی شده‌است. در ادامه با کنار هم قرار دادن شواهد حاصل از تحلیل فنی نمونه، بازسازی زنجیره فریب، بررسی زیرساخت‌های مرتبط و راستی‌آزمایی منابع رسمی و غیررسمی، روند این حمله را که یک روایت جعلی اشتغال‌زایی به ابزاری برای توزیع بدافزار تبدیل کرده، بررسی می‌کنیم. برخی پرسش‌های مهم، از جمله هویت عاملان این عملیات همچنان بدون پاسخ است.

گزارش‌های بیشتر

ReportFA

یاد چه گاری؟عملیات سایبری مخرب

ReportFA

ریسک‌های حریم خصوصی در اپلیکیشن تقویم بادصباحریم خصوصی شهروندان

خلاصه یافته‌ها

• تحلیل فنی رازنت نشان می‌دهد فایل APK مورد بررسی با نام «Kar» و پکیج com.chvi.pool یک تروجان بانکی اندرویدی است که با اطمینان بالا به‌عنوان نمونه مخرب شناسایی شده است.
• این بدافزار برای خواندن، دریافت و ارسال پیامک مجوز دریافت می‌کند و با ثبت یک گیرنده پیامک با اولویت بالا، برای رهگیری پیامک‌ها و کدهای یکبارمصرف بانکی (OTP) طراحی شده است.
• اپلیکیشن با جعل هویت مرورگر Google Chrome، از نام و آیکونی مشابه این مرورگر استفاده می‌کند تا احتمال شناسایی آن توسط کاربر کاهش یابد.
• بررسی نمونه نشان می‌دهد این بدافزار از Firebase Cloud Messaging برای دریافت پیام‌ها و فرمان‌های راه دور استفاده می‌کند، هرچند تحلیل ایستای انجام‌شده امکان استخراج کامل زیرساخت فرماندهی و کنترل (C2) را فراهم نکرده است.
• زنجیره فریب با سوءاستفاده از نام، نشان و روایت‌های مرتبط با وزارت تعاون، کار و رفاه اجتماعی آغاز می‌شود، اما بررسی رازنت هیچ شاهدی از رسمی بودن دامنه، وب‌سایت یا فایل APK مورد استفاده در این کارزار پیدا نکرد.

«طرح اشتغال» که وجود خارجی ندارد

زنجیره فریب با یک وب‌سایت آغاز می‌شود که با استفاده از نام، نشان و هویت بصری وزارت تعاون، کار و رفاه اجتماعی تلاش می‌کند خود را بخشی از یک برنامه رسمی اشتغال معرفی کند. صفحه، در آغاز از «طرح حمایتی ایجاد شغل برای جوانان» سخن می‌گوید و با نمایش عباراتی مانند «تعداد نیروی تاییدشده»، «استعلام وضعیت» و «وضعیت بیمه» این تصور را ایجاد می‌کند که کاربر، به عنوان کارفرما، در حال استفاده از یک سامانه دولتی است. ظاهر سایت (Look & Feel) بسیار شبیه سکوهای دولتی جمهوری اسلامی است.

در مرحله بعد، از کاربر خواسته می‌شود شماره تلفن، کد ملی و تاریخ تولد خود را وارد کند. پس از ثبت این اطلاعات، وب‌سایت نتیجه‌ای شبیه خروجی یک سامانه استعلام رسمی نمایش می‌دهد و سپس کاربر را به نصب یک فایل APK برای «ادامه فرایند» هدایت می‌کند؛ زنجیره‌ای که به یک فرایند ثبت‌نام رسمی شباهت دارد.

بررسی نشان می‌دهد که وزارت تعاون، کار و رفاه اجتماعی که برنامه‌ها و سکوهای متنوعی در حوزه اشتغال، از جمله طرح‌های کارورزی، یارانه دستمزد، مشوق بیمه‌ای و سامانه جستجوی شغل را اداره می‌کند، هیچ برنامه یا سامانه مستقلی با عنوان دقیق «طرح حمایتی ایجاد شغل برای جوانان ۱۴۰۳–۱۴۰۴» ندارد. نکته مهم‌تر آن است که وب‌سایت، پس از نمایش نتیجه استعلام، از کاربر می‌خواهد برای ادامه ثبت‌نام یک فایل APK را خارج از فروشگاه نرم‌افزاری رسمی و از روی این سایت دانلود و نصب کند.

روایت مورد استفاده در این کارزار، دست‌کم از سال ۲۰۲۵ در فضای کلاهبرداری آنلاین ایران دیده شده است. در ۲۰ اردیبهشت ۱۴۰۴ (۱۰ مه ۲۰۲۵)، پلیس فتا درباره کلاهبرداری‌هایی هشدار داد که با عناوینی نزدیک به «طرح حمایتی ایجاد اشتغال برای جوانان وزارت تعاون، کار و رفاه اجتماعی» کاربران را هدف قرار می‌دادند. در این هشدار، پلیس فتا اعلام کرد مجرمان سایبری با سوءاستفاده از نیاز شهروندان به اشتغال، آگهی‌ها و طرح‌های جعلی استخدامی را منتشر می‌کنند و از این طریق به دنبال کلاهبرداری یا جمع‌آوری اطلاعات افراد هستند.

وب‌سایت جعلی چگونه اعتماد می‌سازد؟

این کارزار که در بعضی تبلیغ‌ها در پست های تلگرام «چابکران» هم نامیده شده، از یک فرایند ساده دانلود فایل از روی تلگرام یا سایر پیام‌رسان‌ها استفاده نمی‌کند، بلکه تلاش می‌کند در نخستین‌گام، ابتدا تجربه‌ای کاربری شبیه به ثبت‌نام در یک سامانه رسمی دولتی را در ذهن کاربر خلق کند.

کاربر پس از کلیک روی لینک در کانال یا گروه یا پیغام تلگرام، وارد صفحه‌ای با ظاهر وزارت تعاون، کار و رفاه اجتماعی می‌شود. در این صفحه از او خواسته می‌شود شماره تلفن همراه، کد ملی و تاریخ تولد خود را وارد کند. نکته اینجاست که کاربر نمی‌تواند هر کد ملی را وارد کند. وب‌سایت، اعتبار ساختاری کد ملی را از طریق رقم کنترل بررسی می‌کند؛ رفتاری که برای بسیاری از کاربران، این تصور را ایجاد می‌کند که سامانه به اطلاعات هویتی کشور دسترسی دارد.

پس از ثبت این اطلاعات، وب‌سایت پیامی مبنی بر موفقیت‌آمیز بودن استعلام نمایش می‌دهد و اطلاعاتی را که به کاربر منتسب می‌کند، از جمله نام و نام خانوادگی، کد ملی، تاریخ تولد و وضعیت بیمه، روی صفحه نشان می‌دهد. اما این سامانه جعلی است واقعا نام کاربر را چک نمی‌کند و می توان نام جعلی هم وارد کرد. به هر حال پس از جلب اعتماد آن دسته‌از کاربرانی که تا اینجا همراه بوده‌اند، در مرحله پایانی از آنها خواسته می‌شود برای «ادامه فرایند» یک فایل APK را دانلود و نصب کند.

از منظر مهندسی اجتماعی، هر مرحله به گونه‌ای طراحی شده است که مرحله بعدی را طبیعی جلوه دهد. دریافت اطلاعات هویتی، نمایش نتیجه‌ای شبیه خروجی یک سامانه رسمی و در نهایت درخواست نصب اپلیکیشن، زنجیره‌ای می‌سازد که برای بسیاری از کاربران با تجربه استفاده از خدمات الکترونیکی دولت آشنا به نظر می‌رسد. همین موضوع احتمال موفقیت حمله را افزایش می‌دهد.

کالبدشکافی بدافزار

با نصب فایل APK، مرحله مهندسی اجتماعی پایان می‌یابد و مرحله اجرای بدافزار روی دستگاه قربانی آغاز می‌شود. برای بررسی فایل توزیع‌شده در این کارزار، تیم فنی رازنت نسخه APK آن را بدون اجرا در یک محیط عملیاتی، به‌صورت تحلیل ایستا (Static Analysis) بررسی کرد. این روش امکان استخراج ساختار برنامه، مجوزها، مؤلفه‌های داخلی، گواهی امضا، فایل‌های اجرایی و پیکربندی‌های تعبیه‌شده را فراهم می‌کند، بدون آنکه بدافزار روی یک دستگاه اجرا یا با زیرساخت مهاجم ارتباط برقرار کند. همین محدودیت باعث می‌شود برخی رفتارهای پویا، مانند مقصد نهایی ارسال اطلاعات یا فرمان‌های دریافتی در زمان اجرا، در این مرحله قابل مشاهده نباشند.

مشخصات فایل بررسی‌شده:

در ادامه می‌بینیم که این اپلیکیشن با اطمینان بالا (High Confidence) به‌عنوان یک تروجان بانکی اندرویدی با قابلیت سرقت پیامک (SMS Stealer / Banking Trojan) طبقه‌بندی می‌شود که کاربران ایرانی را هدف قرار داده است. این ارزیابی بر پایه تحلیل ساختار برنامه، مجوزهای درخواستی، مؤلفه‌های داخلی، مکانیزم‌های پنهان‌سازی، پیکربندی Firebase و سایر شواهد فنی موجود در خود نمونه انجام شده است و نه بر اساس اجرای بدافزار یا مشاهده رفتار آن در محیط واقعی. مجموعه ویژگی‌های فنی مشاهده‌شده، از جمله جعل هویت یک فرآیند تجربه کاربری شناخته‌شده (در سامانه‌های حکومتی جمهوری اسلامی)، درخواست مجوزهای حساس، استفاده از روش‌های محافظت در برابر تحلیل و معماری طراحی‌شده برای پنهان‌سازی، همگی با الگوی شناخته‌شده بدافزارهای اندرویدی سازگار هستند.

جعل هویت مرورگر کروم برای پنهان ماندن

یکی از نخستین ویژگی‌هایی که در بررسی فایل APK جلب توجه می‌کند، تلاش برنامه برای شبیه‌سازی مرورگر کروم گوگل است. یکی از Activityهای اصلی برنامه با برچسب کروم تعریف شده و از نام و آیکونی استفاده می‌کند که برای بسیاری از کاربران با مرورگر رسمی گوگل تداعی می‌شود.

بررسی ساختار برنامه همچنین نشان می‌دهد بدافزار قادر است وضعیت Launcher Activity خود را تغییر دهد؛ قابلیتی که می‌تواند باعث شود آیکون برنامه پس از نصب پنهان شود یا با ظاهری متفاوت در فهرست برنامه‌ها نمایش داده شود. چنین رفتاری در بسیاری از بدافزارهای اندرویدی برای کاهش احتمال شناسایی توسط کاربر به کار می‌رود.

نتیجه این طراحی آن است که کاربر ممکن است تصور کند فایل نصب‌شده صرفاً بخشی از مرورگر یا یکی از مؤلفه‌های عادی اندروید است. در برخی سناریوها نیز، اگر آیکون برنامه از صفحه برنامه‌ها حذف یا غیرفعال شود، این تصور ایجاد می‌شود که برنامه پس از نصب «ناپدید شده» یا نصب موفقی نداشته است، در حالی که سرویس‌های اصلی آن همچنان در پس‌زمینه فعال باقی می‌مانند. این شیوه، بخشی از مجموعه تکنیک‌های شناخته‌شده پنهان‌سازی (Defense Evasion) در بدافزارهای اندرویدی است که هدف آن کاهش احتمال شناسایی و حذف برنامه توسط قربانی است.

طراحی برای رهگیری پیامک و رمزهای یکبارمصرف

بررسی فنی نمونه نشان می‌دهد یکی از مهم‌ترین قابلیت‌های این بدافزار، دسترسی به پیامک‌های دریافتی است؛ قابلیتی که در بسیاری از تروجان‌های بانکی اندرویدی برای رهگیری رمزهای یکبارمصرف (OTP)، کدهای تأیید هویت و سایر پیامک‌های حساس به کار می‌رود. ترکیب سه مجوز دسترسی حساس اندروید برای خواندن (READ_SMS)، دریافت (RECEIVE_SMS) و ارسال (SEND_SMS) پیامک‌ها، به برنامه اجازه می‌دهد پیامک‌های ورودی را مشاهده کند، از دریافت آنها آگاه شود و در صورت نیاز پیامک ارسال کند. در کنار این مجوزها، فایل Manifest یک گیرنده پیامک (SMS Receiver) با اولویت ۹۹۹ تعریف کرده است؛ قابلیتی که به آن اجازه می‌دهد پیامک‌های ورودی را زودتر از بسیاری از برنامه‌های دیگر پردازش کند.

تحلیل بر پایه بررسی ایستای فایل APK انجام شده و در این مرحله رفتار برنامه در زمان اجرا مشاهده نشده است. با این حال، ترکیب مجوزهای درخواستی، ساختار Receiver و نحوه پیاده‌سازی برنامه با الگوی شناخته‌شده بدافزارهای اندرویدی که برای رهگیری پیامک و کدهای تأیید هویت طراحی شده‌اند، همخوانی دارد و یکی از مهم‌ترین دلایل طبقه‌بندی این نمونه به‌عنوان یک تروجان بانکی به شمار می‌رود.

شناسایی دستگاه و بستر فیشینگ

برنامه، مجوزهایی را برای دسترسی به اطلاعات دستگاه نیز درخواست می‌کند. از جمله READ_PHONE_STATE و READ_PHONE_NUMBERS که امکان دسترسی به برخی اطلاعات مرتبط با وضعیت تلفن و شماره دستگاه را فراهم می‌کنند. همچنین وجود اکتیویتی‌هایی برای دسترسی به دفترچه مخاطبان نشان می‌دهد بدافزار توانایی جمع‌آوری بخشی از اطلاعات کاربر را نیز دارد. این داده‌ها می‌توانند منجر به شناسایی ویژگی‌های دستگاه برای بدافزار شود تا با شناخت از محیط اجرای برنامه، مدیریت بهتری علیه قربانی داشته باشد.

تحلیل ساختار فایل همچنین وجود دو اکتیویتی اندروید با نام‌های WebViewActivity و WebViewFb را نشان می‌دهد که بیانگر آن است که برنامه برای نمایش صفحات وب در داخل خود طراحی شده؛ قابلیتی که در بدافزارهای اندرویدی معمولا برای نمایش صفحات فیشینگ و دریافت اطلاعات حساس کاربران، زیاد به کار می‌رود.

ماندگاری و ارتباط با زیرساخت مهاجم

یکی از ویژگی‌های مهم نمونه بررسی‌شده، تلاش برای حفظ حضور روی دستگاه حتی پس از پایان فرایند نصب است. تحلیل نشان می‌دهد بدافزار از چندین سازوکار شناخته‌شده اندروید برای تداوم فعالیت استفاده می‌کند. وجود Boot Receiver به برنامه اجازه می‌دهد پس از راه‌اندازی مجدد دستگاه دوباره فعال شود. علاوه بر آن، استفاده از Foreground Service، SyncAdapter و سازوکارهای راه‌اندازی مجدد (Self-Restart) نشان می‌دهد برنامه برای ادامه فعالیت در پس‌زمینه طراحی شده و بستن برنامه یا راه‌اندازی مجدد دستگاه، منجر به توقف عملکرد آن نمی‌شود. وجود این قابلیت‌ها به‌تنهایی به معنای اجرای موفق همه آنها در هر نسخه از اندروید نیست، زیرا عملکرد نهایی به سیاست‌های امنیتی سیستم‌عامل، نسخه اندروید و دسترسی‌های اعطاشده از سوی کاربر نیز بستگی دارد.

این نمونه از Firebase Cloud Messaging برای برقراری ارتباط با زیرساخت فرمان استفاده می‌کند. فایل نصب شامل شناسه‌های مربوط به پروژه فایربیس با شناسه vnisi-feec9، شناسه فرستنده و شناسه برنامه است که نشان می‌دهد برنامه برای دریافت پیام‌ها یا فرمان‌های ارسالی از طریق زیرساخت فایربیس پیکربندی شده است.

استفاده از فایربیس برای مهاجمان مزیت‌های عملیاتی مهمی دارد. ارتباطات برنامه از طریق زیرساخت رسمی گوگل انجام می‌شود و در نتیجه ترافیک شبکه ظاهری عادی و مشروع پیدا می‌کند. همچنین این سرویس امکان ارسال پیام به تعداد زیادی دستگاه را فراهم می‌کند و مسدود کردن کامل آن، بدون ایجاد اختلال در سایر برنامه‌های مشروع، معمولاً دشوار است. به همین دلیل، در سال‌های اخیر بسیاری از بدافزارهای اندرویدی از فایربیس به‌عنوان کانال دریافت فرمان یا اعلان استفاده کرده‌اند.

با این حال، باید میان وجود پیکربندی فایربیس و شناخت کامل زیرساخت فرماندهی و کنترل (C2) تفاوت قائل شد. در زمان انتشار این گزارش تنها می‌توان با اطمینان گفت که فایربیس یکی از کانال‌های ارتباطی تأییدشده این بدافزار است؛ اما معماری کامل فرماندهی، کنترل و انتقال داده‌های آن همچنان نامشخص باقی مانده است.

جریان عملیات و زنجیره حمله

این کارزار بر پایه بهره‌برداری از یک آسیب‌پذیری فنی پیشرفته بنا نشده، بلکه بر مهندسی اجتماعی و سوءاستفاده از اعتماد عمومی به یک نهاد دولتی استوار است. مهاجمان با هدایت قربانی از یک وب‌سایت جعلی به نصب یک برنامه مخرب، به‌تدریج سطح دسترسی خود را افزایش می‌دهند و در نهایت به قابلیت‌هایی مانند سرقت اطلاعات، رهگیری پیامک‌ها، حفظ دسترسی پایدار به دستگاه و ایجاد بستر برای کلاهبرداری مالی دست پیدا می‌کنند. جدول زیر، مراحل این زنجیره حمله را از نخستین تعامل قربانی تا فعالیت‌های پس از آلودگی به‌صورت مرحله‌به‌مرحله خلاصه می‌کند.

بازسازی فنی جریان کامل این عملیات بر اساس شواهد نشان می‌دهد حمله با انتشار یک وب‌سایت جعلی منتسب به وزارت تعاون، کار و رفاه اجتماعی در شبکه‌های اجتماعی آغاز می‌شود؛ جایی که قربانی پس از وارد کردن اطلاعات هویتی خود، به دانلود یک فایل نصب اندروید مخرب هدایت می‌شود. این بدافزار پس از نصب، خود را با ظاهری شبیه مرورگر Google کروم می‌کند، دسترسی‌های حساس را دریافت می‌کند، سازوکار ماندگاری خود را فعال می‌سازد و از طریق سرویس فایربیس ارتباط خود را با زیرساخت مهاجم برقرار می‌کند. این فرایند در نهایت امکان نظارت مستمر بر دستگاه قربانی و سوءاستفاده از داده‌ها و قابلیت‌های آن را فراهم می‌سازد.

زیرساخت و ارتباط با خانواده بدافزار

این نمونه به احتمال زیاد یک بدافزار کاملاً جدید و مستقل نیست، بلکه با خانواده‌ای از نمونه‌های اندرویدی که پیش‌تر در سرویس‌های تحلیل عمومی و گزارش‌های امنیتی مستند شده‌اند، اشتراک‌های قابل توجهی دارد؛ نام بسته (com.chvi.pool)، شناسه پروژه فایربیس vnisi-feec9 و آی‌دی گوگل اپ پیش از این در نمونه‌های عمومی تحلیل‌شده نیز مشاهده شده‌اند (any.run و فیلتربان).

این کارزار به‌طور مشخص کاربران ایرانی را هدف قرار داده، از هویت بصری نهادهای عمومی جمهوری اسلامی ایران به خصوص با توجه به شرایط اقتصادی حاضر، برای مهندسی اجتماعی استفاده کرده و در قالب یک تروجان بانکی اندرویدی با قابلیت رهگیری پیامک و سرقت اطلاعات حساس عمل می‌کند. در زمان تهیه این گزارش هیچ شاهد فنی یا اطلاعاتی معتبری برای انتساب این عملیات به یک گروه مجرمانه مشخص، یک بازیگر دولتی، پیمانکار فناوری، یا هر نهاد وابسته به حکومت جمهوری اسلامی ایران به دست نیامد. در چارچوب شواهد موجود، این پرونده را باید یک کارزار فیشینگ و بدافزار مالی با جعل هویت نهادهای دولتی دانست و هرگونه انتساب فراتر از این، نیازمند شواهد فنی و اطلاعاتی جدید است.

چرا تحلیل کامل این بدافزار دشوار است؟

یکی از ویژگی‌های مهم نمونه بررسی‌شده، استفاده از چندین لایه محافظتی برای جلوگیری از تحلیل و مهندسی معکوس است. در بسیاری از اپلیکیشن‌های اندرویدی، تحلیل ایستا امکان مشاهده و بازسازی بخش قابل توجهی از منطق برنامه را فراهم می‌کند. اما در این نمونه، قسمت مهمی از منطق اجرایی به‌صورت رمزگذاری‌شده نگهداری می‌شود و تنها هنگام اجرا در حافظه دستگاه آشکار می‌شود.

سازندگان بدافزار تلاش کرده‌اند پژوهشگر امنیتی نتواند تنها با باز کردن فایل APK، عملکرد واقعی برنامه را به‌طور کامل مشاهده کند. برای رسیدن به این هدف، بخشی از منطق برنامه از فایل اصلی APK جدا شده و در قالب یک Payload رمزگذاری‌شده نگهداری می‌شود که فقط هنگام اجرای برنامه در حافظه دستگاه بارگذاری و رمزگشایی می‌شود.

وجود فایل assets/client.proto، آنتروپی بسیار بالای Payload (۷٫۹۹۹ از ۸)، استفاده از یک Native Protector و همچنین به‌کارگیری تکنیک‌هایی مانند In-memory DEX Loading و Reflective Injection نشان می‌دهد این بدافزار به‌گونه‌ای طراحی شده است که بخش مهمی از منطق خود را تنها در زمان اجرا آشکار کند. این رویکرد، مهندسی معکوس را به‌مراتب دشوارتر می‌کند و باعث می‌شود تحلیل ایستا نتواند همه قابلیت‌های واقعی برنامه را آشکار سازد

همچنین به دلیل آنکه این ارزیابی بر پایه تحلیل استاتیک انجام شده و بدافزار در یک محیط کنترل‌شده اجرا نشده است، برخی جنبه‌های عملیاتی آن همچنان قابل مشاهده یا تایید نیستند. مهم‌ترین مسائل ناشناخته عبارتند از:

• استخراج نشانی دقیق زیرساخت فرماندهی و کنترل (C2)
• مقصد نهایی پیامک‌ها یا اطلاعات سرقت‌شده
• فرمان‌های قابل دریافت از طریق Firebase Cloud Messaging
• رفتار کامل Payload پس از بارگذاری در حافظه
• مسیر نهایی انتقال داده‌ها (Exfiltration Flow)

پاسخ به این پرسش‌ها نیازمند تحلیل پویا (Dynamic Analysis)، اجرای کنترل‌شده نمونه و مشاهده ترافیک شبکه در محیط آزمایشگاهی است.

اقدامات فوری در صورت نصب اپلیکیشن

اگر این اپلیکیشن روی دستگاه شما نصب شده است، باید فرض کنید دستگاه در معرض نفوذ قرار گرفته است. با توجه به قابلیت‌های مشاهده‌شده در تحلیل رازنت، از جمله دسترسی به پیامک‌ها، اطلاعات دستگاه و سازوکارهای ماندگاری، حذف ساده برنامه لزوما به معنای رفع کامل خطر نیست. در این صورت اقدامات زیر را در اولویت انجام قرار دهید:

• دستگاه را از اینترنت و سایر شبکه‌ها جدا کنید تا احتمال ادامه ارتباط بدافزار با زیرساخت مهاجم کاهش یابد.
• از همان دستگاه برای تغییر رمزهای عبور استفاده نکنید. گذرواژه‌های حساب‌های بانکی، ایمیل، پیام‌رسان‌ها و سایر حساب‌های مهم را با استفاده از یک دستگاه سالم و مورد اعتماد تغییر دهید.
• سوابق حساب‌های بانکی، پیام‌رسان‌ها و سایر حساب‌های حساس را برای شناسایی ورودهای غیرمجاز یا تراکنش‌های مشکوک بررسی کنید.
• اگر از پیامک (SMS) برای دریافت رمزهای یکبارمصرف (OTP) استفاده می‌کنید، سوابق ورود و تنظیمات احراز هویت چندمرحله‌ای (2FA) را بازبینی کرده و در صورت امکان از روش‌های امن‌تر مانند برنامه‌های تولیدکننده کد یا کلیدهای امنیتی استفاده کنید.
• صرف حذف (Uninstall) اپلیکیشن را کافی تلقی نکنید. با توجه به سازوکارهای ماندگاری مشاهده‌شده در این نمونه، در صورت وجود شواهدی از سوءاستفاده یا دسترسی غیرمجاز، انجام یک بازنشانی امن دستگاه به تنظیمات کارخانه (Factory Reset) توصیه می‌شود.