APT Bahamut загружает на Android-устройства шпиона под видом VPN

APT Bahamut загружает на Android-устройства шпиона под видом VPN

APT Bahamut загружает на Android-устройства шпиона под видом VPN

Специалисты ESET выявили новую шпионскую кампанию APT-группы Bahamut. Злоумышленники раздают со своего сайта троянизированные VPN-приложения для Android, запуск которых возможен лишь при наличии кода активации. Это условие, а также отсутствие данных телеметрии об атаках позволили сделать вывод об узкой направленности текущей киберкампании.

Деятельность Bahamut обычно ограничена Южной Азией и Ближним Востоком. Данная APT-группа специализируется на кибершпионаже и для достижения своей цели использует spearphishing-рассылки и поддельные приложения. Преступники также проводят хакерские атаки на заказ.

Попавшая на радары ESET вредоносная кампания была запущена в начале этого года — об этом говорит дата регистрации поддельного сайта SecureVPN (2022-01-27), отдающего зараженные APK-файлы. Злоумышленники позаимствовали только имя легитимного VPN-сервиса, по стилю и контенту фейк thesecurevpn[.]com совсем не похож на оригинал (securevpn.com). Каким образом Bahamut привлекает визитеров, не установлено.

 

В загрузках на thesecurevpn[.]com обнаружено восемь вариантов фальшивого Android-приложения SecureVPN (номер версии включен в имя APK); ни один из них, по данным ESET, не появлялся в Google Play — в отличие от фейка, которым пользуется APT-группа SideWinder.

Анализ вредоносных APK показал, что их можно условно разделить на две группы — репаки SoftVPN (версии с 104 по 108) и OpenVPN (SecureVPN_109, SecureVPN_1010, secureVPN_1010b). И в том, и в другом случае в состав пакета включен известный по прежним атакам Bahamut кастомный шпион, а легитимный VPN-клиент исправно работает.

Первое поддельное приложение SecureVPN в рамках текущей APT-кампании было загружено на VirusTotal вместе со ссылкой на thesecurevpn[.]com 17 марта, с IP-адреса в Сингапуре.

Ключ активации, без которого и шпион, и легитимное VPN-приложение не будут работать, передается жертве, видимо, вместе со ссылкой на thesecurevpn[.]com — на самом сайте его не обнаружено. Вредонос проверяет введенный жертвой код, обращаясь к C2; если ввод корректен, сервер возвращает токен для дальнейших коммуникаций. К сожалению, подобный способ запуска помогает зловреду обходить песочницы.

При запуске шпион по команде начинает выкачивать сл смартфона информацию:

  • список контактов,
  • смс-сообщения,
  • журнал вызовов,
  • список установленных приложений,
  • данные геолокации,
  • учетные данные владельца устройства,
  • информацию об устройстве (тип интернет-соединения, IMEI, IP, данные сим-карты),
  • записи телефонных разговоров,
  • список файлов на внешнем накопителе.

Доступ к Accessibility Services позволяет зловреду воровать записи из SafeNotes и отслеживать сообщения и звонки в мессенджерах, в том числе в WhatsApp, Telegram, Signal, Viber, WeChat и IM-приложении Facebook (соцсеть запрещена в России).

Потребление китайских LLM в России выросло более чем в 11 раз

Российские компании резко нарастили использование китайских больших языковых моделей. По данным MWS Cloud, за первое полугодие 2026 года бизнес израсходовал более 400 млрд токенов — в 11,3 раза больше, чем за весь 2025-й, когда показатель составлял 39,1 млрд.

Безоговорочным лидером осталось семейство Qwen. В 2025 году на него приходилось 20 млрд токенов и 51,1% потребления, а за первые шесть месяцев 2026-го — уже 261,1 млрд и 59,1%.

Второе место сохранила GLM: 91,2 млрд токенов и 20,7%. А вот DeepSeek, занимавшая годом ранее третью строчку, уступила её Kimi. Модели этого семейства набрали 81,4 млрд токенов и 18,4%. Китайская нейросетевая гонка идёт настолько бодро, что вчерашний фаворит сегодня уже ищет себя за пределами пьедестала.

Статистика основана на данных платформ MWS GPT Model Hub и MWS GPT. Их основными клиентами выступают крупные компании. Бизнес использует LLM для работы чат-ботов, персонализации рекламы, подготовки рассылок и описаний товаров, а также анализа отзывов и обращений клиентов. В общем, нейросетям поручают всё, что нужно делать круглосуточно, быстро и желательно без жалоб на понедельник.

По оценке MWS Cloud, весь российский рынок LLM в 2026 году вырастет на 35%, до 19,6 млрд рублей. Облачный сегмент, включающий доступ к моделям по SaaS и API, приблизится к 1,5 млрд рублей.

На фоне спроса MWS Cloud расширила каталог Model Hub почти вдвое — до 17 моделей. В него вошли GLM 5.2, Kimi K2.6, Qwen3.6, Gemma 4, GPT OSS, а также средства распознавания и синтеза речи и реранкеры для поисковых систем и RAG-конвейеров. Доступ предоставляется через единый OpenAI-совместимый API.

Судя по объёму токенов, российский бизнес уже не экспериментирует с китайскими LLM. Он кормит ими рабочие процессы — и аппетит растёт быстрее, чем успевает обновляться каталог моделей.

RSS: Новости на портале Anti-Malware.ru