Lockout Security говорит о росте числа российских Android-вирусописателей

Александр Панасенко 05 Августа 2013 - 14:57

...

ИТ-специалисты из компании Lockout Mobile Security на проходящей в США конференции Black Hat USA рассказали, о том, что ими была выявлена сложная вредоносная кампания, ориентированная на пользователей ОС Android. Организаторы атаки находятся в России, а уголовная модель, используемая ими, может быть воспроизведена где угодно в мире.

В Lockout говорят, что выявленная ими операция получила название Dragon Lady по аналогии с американскими разведывательными самолетами времен 70-х годов. "Наш анализ показал, что торговля мобильными вредоносами в России - это прибыльный и организованный бизнес", - говорят в Lockout. "Здесь появляются многочисленные команды-стартапы, специализирующиеся на подобной деятельности".

Райен Смит, представитель Lockout, говорит, что они проводили анализ мобильных вредоносов, созданных в первой половине 2013 года, и пришли к выводу, что почти половина мобильных Android-вредоносов создается в России и странах СНГ. По данным компании, здесь находятся "штаб-квартиры" по созданию мобильных вредоносов и именно тут создаются наиболее оригинальные вредоносы. Более того, "штаб-квартиры" часто проводят кампании по найму работников для распространения или модификации кодов, а также для организации Twitter- или email-атак, сообщает cybersecurity.ru.

Большая часть создаваемых мобильных вредоносов ориентирована на работу с премиальными SMS-номерами и списыванием больших средств с них. Средства в итоге делятся между сотовыми операторами, организаторами кампаний и посредниками. По оценкам Lockout, большая часть операторов мобильных вредоносных кампаний в России зарабатывают от 700 до 12 000 долларов в месяц. При этом, согласно подсчетам Lockout, сейчас в России действуют более 1000 групп по написанию вредоносов и их ежемесячный доход в сумме составляет более 1 млн долларов в год.

Также в отчете говорится, что одна "штаб-квартира" в среднем создает один вредоносные код раз в две недели. Многие из "штаб-квартир" сами не используют созданные разработки и только продают их, а также оказывают полноценную техническую поддержку по ним.

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Екатерина Быстрова 10 Июня 2025 - 08:59

Уязвимости сайтов Утечки информации Случайные утечки Домашние пользователи Корпорации Google

Google закрыл дыру, позволявшую подбирать номер по имени аккаунта

Исследователь под ником BruteCat обнаружил, что перебором можно было узнать номер телефона, привязанный к аккаунту Google, если знать имя пользователя и часть номера. Уязвимость оказалась в старой версии формы восстановления имени пользователя, которая работала без JavaScript — и, как выяснилось, без современной защиты.

Как всё работало

Форма позволяла отправить запросы с именем пользователя и номером телефона — и в ответ возвращала ответ, существует ли такой аккаунт. Всё это делалось с помощью двух POST-запросов. Формально защита была, но:

Ограничение по числу запросов обошли с помощью IPv6-ротации — через /64-подсети можно было генерировать триллионы уникальных IP-адресов.
CAPTCHA блокировали не всех — её удалось обойти, подставляя валидный BotGuard-токен от JS-версии формы.

Что использовал исследователь

BruteCat создал утилиту gpb, которая:

Перебирала номера по шаблонам, учитывающим формат номеров в конкретной стране;
Работала с библиотекой libphonenumber от Google;
Автоматически получала BotGuard-токены через headless Chrome;
Отправляла до 40 000 запросов в секунду.

Например, на подбор американского номера уходило около 20 минут, на британский — 4 минуты, на нидерландский — всего 15 секунд.

Как добывались недостающие цифры

Чтобы сузить круг поиска, исследователь получал часть номера из:

Формы восстановления аккаунта Google — она показывает две цифры;
Сторонних сервисов, например PayPal, где в процессе сброса пароля можно увидеть больше цифр (например, +14•••••1779).

А имейл-адрес пользователя, который Google больше не показывает напрямую, BruteCat доставал через Looker Studio: создаётся документ, передаётся на владение жертве — и её имя появляется в панели управления.

Чем это опасно

Если злоумышленник узнает привязанный номер телефона:

Он может начать вишинг (мошеннические звонки с целью выманить данные);
Провести СИМ-свопинг и получить контроль над номером;
Использовать номер для сброса паролей и доступа к другим сервисам.

Реакция Google

BruteCat сообщил об уязвимости 14 апреля 2025 года через программу вознаграждений Google.
Сначала баг не восприняли всерьёз.
22 мая Google изменила оценку на «среднюю» степень риска и выпустила частичные патчи, выплатив исследователю $5 000.
6 июня Google окончательно закрыла уязвимую JS-disabled форму.

Использовали ли уязвимость злоумышленники до её закрытия — неизвестно.