Android-троян FakeApp начал использовать DNS для сокрытия C2-связи

Android-троян FakeApp начал использовать DNS для сокрытия C2-связи

Android-троян FakeApp начал использовать DNS для сокрытия C2-связи

Специалисты «Доктор Веб» обнаружили в Google Play новые образцы трояна FakeApp, замаскированные под легитимные программы. Анализ показал, что для получения конфигурации фальшивки отправляют запрос к своему DNS-серверу.

Конфигурационные данные, в том числе ссылка для отображения целевого контента, отдаются FakeApp в виде файла TXT, и лишь при подключении через определенных провайдеров — например, поставщиков мобильного интернета.

Новобранец Android.FakeApp.1669 может имитировать различные приложения. Некоторые фейки уже удалены с Google Play, на десяток оставшихся в настоящее время суммарно приходится более 2,1 млн загрузок.

 

Для подачи DNS-запросов к C2 (выявлено два, в Германии и Нидерландах, оба в одной и той же AS-сети) используется модифицированная opensource-библиотека dnsjava. Полученная в ответ TXT-запись содержит имя домена вида 3gEBkayjVYcMiztlrcJXHFSABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]simpalm[.]com.

В префиксе закодированы данные о зараженном устройстве:

  • модель и бренд;
  • размеры экрана;
  • уровень заряда батареи;
  • наличие / отсутствие режима разработчика;
  • идентификатор, сгенерированный на основе времени заражения.

Полученный URL троян загружает в WebView поверх своего основного интерфейса. Ссылка запускает цепочку редиректов, приводящую на целевой сайт — например, онлайн-казино, который и отображается жертве.

Примечательно, что запрашиваемые домены у фальшивок (модификаций Android.FakeApp.1669) различны. В тех случаях, когда вредонос не получает TXT-запись, он имитирует выполнение программы, за которую себя выдает.

DeepSeek почти на день пропал в России и вернулся после заявления РКН

В воскресенье в России почти весь день был недоступен сервис DeepSeek без использования средств обхода блокировок. Доступ восстановился вскоре после того, как пресс-служба Роскомнадзора заявила, что ведомство не вводило ограничений в отношении нейросети. Неполадки наблюдались только у российских пользователей: при подключении через VPN и другие средства подмены сетевых адресов сервис продолжал работать.

DeepSeek остаётся единственным сервисом из «большой пятёрки» ИИ-моделей, который не блокирует пользователей из России.

О проблемах с доступом к нейросети сообщил портал «Код Дурова». По данным издания, ресурсы DeepSeek перестали открываться около 11:00 по московскому времени.

Авторы «Кода Дурова» также обратили внимание, что соединение с узлами DeepSeek обрывалось на этапе проверки TLS-сертификата. Такое поведение может быть характерно для заблокированных ресурсов. При этом на момент публикации новости на сайте и в телеграм-канале издания официального сообщения от Роскомнадзора не было, а ресурсы DeepSeek отсутствовали в реестре заблокированных сайтов.

Заявление Роскомнадзора было обнародовано в тот же день вечером, около 19:30: «Роскомнадзор не получал решения уполномоченных органов и не вводил ограничения в отношении DeepSeek».

После комментария регулятора в соцсетях начали появляться сообщения о восстановлении доступа к DeepSeek без дополнительных средств. Уже примерно через час сервис снова работал в штатном режиме.

RSS: Новости на портале Anti-Malware.ru