Недавно обнаруженный бэкдор для Android использует инновационный метод приема команд - он подключается к учетной записи Twitter вместо командного центра, говорят исследователи ESET.
Вредоносная программа Android/Twitoor была разработана для загрузки других вредоносных приложений на зараженные устройства. Исследователи утверждают, что вредонос активен уже в течение месяца. К счастью, эта угроза не распространяется через официальные источники Android, обычно распространение происходит через SMS или вредоносные URL.
По данным исследователей ESET бэкдор выдает себя за различные приложения, например, за порно-плеер или программу для MMS, однако не имеет этого функционала. После запуска вредоносная программа скрывает свое присутствие на зараженном устройстве и начинает проверять определенные аккаунты Twitter через одинаковые промежутки времени для получения команд.
В зависимости от команд, которые он получает, бэкдор может либо загрузить вредоносные приложения на зараженное устройство, либо может переключиться на другую учетную запись Twitter.
«Использование Twitter вместо командного центра – довольно инновационная стратегия для Android-ботнета» - Лукаш Стефанко (Lukáš Štefanko), исследователь вредоносных программ ESET, который обнаружил вредоносное приложение.
ESET объясняют, что ботнетам необходима связь с командным центром, эта связь может выдать наличие вредоносной программы на устройстве и вызвать подозрение пользователей.
Для того, чтобы гарантировать, что связь Twitoor и командного центра устойчива, авторы вредоноса решили шифровать передаваемые сообщения. Они также использовали и новые методы связи, такие как социальные сети.
«Эти каналы связи трудно обнаружить и еще труднее блокировать. С другой стороны, злоумышленники всегда могут зарегистрировать новую учетную запись для этих целей» - объясняет Стефанко.
Исследователь также объясняет, что Twitoor является первым вредоносом для Android, использующим такую стратегию, хотя были обнаружены и другие ботнеты, использовавшие нетрадиционные средства (блоги или облачные системы обмена сообщениями). Однако ботнеты, использующие Twitter и работающие под Windows были обнаружены еще в 2009 году.
Другие социальные сети, в том числе Facebook и LinkedIn, как ожидается, тоже могут быть использованы для этих целей. На данный момент Twitoor используется для загрузки мобильного банковского вредоноса на зараженные устройства, но в скором времени злоумышленники могут переключиться на другие виды вредоносных программ, такие как вымогатели, подчеркивают исследователи ESET.
Для того, чтобы оставаться защищенным, пользователи должны быть осторожными при открытии URL-адресов, которые они получают из ненадежных источников. Также следует убедиться, что операционная система и приложения находятся в актуальном состоянии и обновлены.
Как выяснили специалисты центра исследования безопасности промышленных систем Kaspersky ICS CERT, в первом квартале 2024 года 23,6% компьютеров в сетях российских АСУ ТП столкнулись с проникновение вредоносных программ.
Интересно, что за этот же период в 2023 году таких устройств было 27,9%, то есть имеем снижение на 4,3 процентных пункта. Тем не менее такие атаки становятся более сложными и целенаправленными.
На конференции Kaspersky CyberSecurity Weekend прозвучала мысль, что более сложные кибератаки на АСУ ТП, даже если их меньше, способны нанести серьёзный урон промышленной сфере.
На инфографике ниже эксперты приводят долю компьютеров АСУ в России, на которых были заблокированы вредоносные объекты, по кварталам:
Некоторые отрасли в России отметились тем, что в них доля заражённых объектов оказалась выше, чем в среднем по миру. Взять, к примеру, строительство: 24,2% в нашей стране против 23,7% по всему миру. В инжиниринге и у интеграторов АСУ — 27,2% против 24%
Как отметили в Kaspersky ICS CERT, в России особенно наблюдаются атаки киберпреступников на интеграторов, доверенных партнёров и подрядчиков.
Самые основные векторы, как и прежде, — фишинг через веб-страницы и по электронной почте. В первом квартале 2024-го в России вредоносные ресурсы были заблокированы на 7,5% компьютеров АСУ ТП.
Подписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
