Android-троян в Google Play крадёт данные WhatsApp и переживает сброс

Android-троян в Google Play крадёт данные WhatsApp и переживает сброс

Android-троян в Google Play крадёт данные WhatsApp и переживает сброс

В Google Play обнаружили новую вредоносную кампанию с Android-зловредом NoVoice. По данным McAfee, вредонос скрывался более чем в 50 приложениях, которые суммарно скачали не менее 2,3 млн раз. Речь шла о вполне привычных категориях — чистильщиках, галереях изображений и играх.

На первый взгляд такие приложения выглядели безобидно: они работали как заявлено и не запрашивали подозрительных разрешений.

Но дальше начиналось неприятное: после запуска заражённого приложения NoVoice пытался получить root-доступ к устройству, используя старые уязвимости Android, для которых патчи выходили в период с 2016 по 2021 год.

Исследователи отмечают, что вредонос маскировал свои компоненты внутри пакета com.facebook.utils, смешивая их с легитимными классами Facebook SDK (принадлежит Meta, признанной экстремистской и запрещенной в России), а часть полезной нагрузки вообще прятал внутри PNG-файла с помощью стеганографии.

 

После этого зловред связывался с управляющим сервером, собирал информацию об устройстве и подбирал подходящий сценарий эксплуатации. McAfee пишет, что наблюдала в ходе вредоносной активности 22 эксплойта, включая ошибки типа use-after-free и уязвимости в драйверах Mali GPU.

Если атака проходила успешно, NoVoice получал root, отключал защитные механизмы Android и закреплялся в системе настолько глубоко, что мог пережить даже сброс к заводским настройкам.

Отдельно исследователи выделяют этап постэксплуатации. После компрометации устройства код злоумышленников внедрялся в запускаемые приложения, а основным объектом интереса оказался WhatsApp (принадлежит Meta, признанной экстремистской и запрещенной в России).

Зловред вытаскивал базы данных, ключи протокола Signal и идентификаторы аккаунта, включая номер телефона и данные, связанные с резервными копиями, чтобы атакующие могли клонировать сессию жертвы на своём устройстве. При этом McAfee подчёркивает, что модульная архитектура NoVoice теоретически позволяет нацеливаться не только на WhatsApp, но и на другие приложения.

Google Play впервые пустил внутрь конкурирующий магазин приложений

В американской версии Google Play впервые появился сторонний магазин приложений. Первопроходцем стал Aptoide — давний конкурент Google, который раньше приходилось устанавливать вручную из APK-файла. Теперь всё работает без шаманства с настройками и пугающих предупреждений.

Щедрость тут ни при чём. Google обязали открыть площадку по итогам антимонопольного разбирательства с Epic Games.

В 2023 году суд признал практики корпорации незаконными и потребовал допустить альтернативные магазины, платёжные системы и способы распространения приложений.

Google пыталась договориться с Epic: компания была готова упростить установку сертифицированных магазинов, но не размещать их в Google Play. Суд такую конструкцию, похоже, не оценил, поэтому стороны отозвали мировое соглашение. В США корпорации пришлось исполнять первоначальное решение.

Пользователи могут установить Aptoide как обычное приложение, а затем так же свободно загружать из него игры. Пока ассортимент скромный, но магазин получил доступ к каталогу из 1,9 млн приложений и 295 тыс. игр. Разработчики вправе запретить такое распространение своих продуктов.

 

Впрочем, красную дорожку конкуренту Google не расстелила. Раздел со сторонними магазинами спрятан в глубине каталога, а кроме Aptoide там пока никого нет. Участникам программы также придётся передавать APK-файлы на проверку и соблюдать требования безопасности.

Входной билет стоит $15 тыс., из которых $5 тыс. пойдут на оплату проверок. Если расходов окажется больше, Google выставит дополнительный счёт.

Забавно, что первой в ворота Google Play вошла не Epic, затеявшая всю эту судебную войну, и не Microsoft с её будущим магазином Xbox, а Aptoide.

RSS: Новости на портале Anti-Malware.ru