Android-троян FakeApp начал использовать DNS для сокрытия C2-связи

Android-троян FakeApp начал использовать DNS для сокрытия C2-связи

Android-троян FakeApp начал использовать DNS для сокрытия C2-связи

Специалисты «Доктор Веб» обнаружили в Google Play новые образцы трояна FakeApp, замаскированные под легитимные программы. Анализ показал, что для получения конфигурации фальшивки отправляют запрос к своему DNS-серверу.

Конфигурационные данные, в том числе ссылка для отображения целевого контента, отдаются FakeApp в виде файла TXT, и лишь при подключении через определенных провайдеров — например, поставщиков мобильного интернета.

Новобранец Android.FakeApp.1669 может имитировать различные приложения. Некоторые фейки уже удалены с Google Play, на десяток оставшихся в настоящее время суммарно приходится более 2,1 млн загрузок.

 

Для подачи DNS-запросов к C2 (выявлено два, в Германии и Нидерландах, оба в одной и той же AS-сети) используется модифицированная opensource-библиотека dnsjava. Полученная в ответ TXT-запись содержит имя домена вида 3gEBkayjVYcMiztlrcJXHFSABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]simpalm[.]com.

В префиксе закодированы данные о зараженном устройстве:

  • модель и бренд;
  • размеры экрана;
  • уровень заряда батареи;
  • наличие / отсутствие режима разработчика;
  • идентификатор, сгенерированный на основе времени заражения.

Полученный URL троян загружает в WebView поверх своего основного интерфейса. Ссылка запускает цепочку редиректов, приводящую на целевой сайт — например, онлайн-казино, который и отображается жертве.

Примечательно, что запрашиваемые домены у фальшивок (модификаций Android.FakeApp.1669) различны. В тех случаях, когда вредонос не получает TXT-запись, он имитирует выполнение программы, за которую себя выдает.

Как готовят ИБ-экосистемы: новый выпуск «Инфобез со вкусом»

На ТВ-канале «Большой эфир» и в соцсетях компании «Газинформсервис» вышел новый выпуск шоу «Инфобез со вкусом» — проекта, в котором разговоры об информационной безопасности неожиданно сочетаются с кулинарией. Гостем 17-го эпизода стал Иван Чернов, директор по продуктовой стратегии компании UserGate.

В этом выпуске речь шла о том, как в UserGate выстраивают подход к разработке, как связаны между собой продукты и сервисы компании и в каком направлении движется экосистема в целом.

Разговор получился комплексным — примерно таким же, как и обсуждаемая тема: элементы экосистемы UserGate дополняют друг друга, как ингредиенты в сицилийском капонате, который готовили в студии.

Как отметил ведущий шоу Сергей Полунин, выпуск получился не совсем стандартным — в духе новогоднего настроения и без попыток идти по привычным шаблонам. Помимо продуктов и ИБ, собеседники затронули и более широкие вопросы — о том, как меняется отрасль и чего ждать от неё в будущем.

Иван Чернов, в свою очередь, провёл параллель между архитектурой продуктов UserGate и выбранным блюдом: как NGFW остаётся базовым элементом сетевой защиты, так и овощи в традиционном рецепте служат основой простого, но продуманного блюда.

Посмотреть 17-й выпуск «Инфобез со вкусом» можно на площадках «Большого эфира» и в социальных сетях «Газинформсервиса».

Ранее гостями шоу уже становились представители «Газинформсервиса», «Аквариуса», BI.ZONE, Security Vision, ICL Системные технологии, «Открытой мобильной платформы», SitePatrol и других компаний — руководители, эксперты по ИБ и развитию продуктов, которые обсуждали профессию и отрасль в неформальном формате.

RSS: Новости на портале Anti-Malware.ru