Объем средств, украденных с банковских счетов в РФ с помощью вирусов под мобильные устройства на ОС Android, за год вырос почти в пять раз, следует из отчетов экспертов. Программы-трояны распространяются через зараженные сайты, фальшивые мобильные приложения и самовольно изменяют содержимое веб-сайтов, на которые заходят пользователи.
Впрочем, крупнейшие российские банки, например Сбербанк, пока этого не замечают. Киберпреступники с апреля 2015 по март 2016 года похитили 348,6 млн руб. со счетов в российских банках при помощи троянов под мобильные устройства на ОС Android. Об этом сообщается в отчете компании Group-IB. По отношению к аналогичному периоду 2014-2015 годов объем хищений вырос на 471%. В России ежедневно жертвами становятся 350 пользователей Android-устройств. При этом кражи у физлиц с помощью троянов для ПК "почти прекратились": доход киберпреступников сократился на 83%, до 6,4 млн руб., выяснили в Group-IB.
В то же время растет число опасных мобильных приложений для Android, они "мимикрируют", например, под Pokemon Go. Трояны также начали распространяться с помощью эксплойтов (компьютерные программы, использующие уязвимости ПО для проведения атак на вычислительные системы). Они позволяют установить на смартфон вредоносный софт при посещении взломанного сайта незаметно для пользователя. Кроме того, появились так называемые веб-инжекты под мобильные устройства, которые дают возможность злоумышленнику манипулировать отображением страниц в браузере. Например, добавлять новые пункты в форме авторизации интернет-банкинга или скрывать мошеннические операции в истории платежей, рассказывают в Group-IB. Темпы роста подобных хищений будут расти трехзначными темпами по всему миру, прогнозируют в компании,
По данным Gartner, во втором квартале 2016 года смартфоны на ОС Android занимали 86,2% мирового рынка, в то время как устройства на iOS — 12,9%. При этом число пользователей мобильного банкинга постоянно растет. По данным ЦБ, в 2015 году в России доля взрослого населения, использующего мобильные устройства для перевода денежных средств, выросла с 16,8% до 20,7%.
В России случались аресты преступников, похищавших деньги с помощью Android-троянов. В августе сотрудники УМВД РФ по Томской области совместно со службой безопасности Сбербанка задержали группу хакеров, которая занималась хищением средств с банковских карт с помощью вирусных атак на смартфоны и планшеты, работающие на Android. Программа, которую использовали мошенники, после установки на мобильное устройство запрашивала баланс привязанной к номеру банковской карты, скрывала поступающие уведомления, а затем переводила деньги на подконтрольные злоумышленникам счета.
В ответ на запрос "Ъ" прокомментировать отчет Group-IB в пресс-службе Сбербанка сообщили, что не видят "столь драматичной динамики по этому вектору атак": "Скорее ситуация вышла на плато". В Сбербанке также отметили, что в мобильное приложение Сбербанка встроен антивирус, также идет работа над обновлениями антивирусных баз и улучшением продукта.
"Причина — в неграмотности пользователей, чем успешно пользуются мошенники, которые разрабатывают заведомо подложные приложения или встраивают "дополнительный" функционал в платные, но взломанные приложения, скачиваемые пользователями с торрент-трекеров",— говорит директор практики по оказанию услуг в области независимых финансовых расследований (форензик) PwC в России Александр Дмитриев. Он отмечает, что необходимо усилить меры безопасности как в самой ОС, так и в процессе контроля при публикации приложений. "Смартфон воспринимается скорее как телефон, а не как компьютер, поэтому пользователи просто не замечают многие риски, связанные с его использованием",— говорит руководитель направления Application Security компании Solar Security Даниил Чернов. Он отмечает, что распространенность Android приводит к тому, что приложения этой системы атакуют чаще других. В Google, разрабатывающей Android, не ответили на запрос "Ъ".
Специалисты «Эфшесть/F6» обнаружили новую группировку вымогателей VantaCore, которая атакует российский бизнес с помощью собственного набора вредоносных инструментов. Известно как минимум о четырёх жертвах, а суммы требуемых выкупов исчисляются миллионами долларов.
По оценке «Эфшесть/F6», VantaCore может быть новым названием ранее известной проукраинской группировки Thor.
На связь указывают похожий дизайн чатов для переговоров с жертвами и иконка с рунической надписью THOR, найденная на сайте утечек. Сам ресурс появился не позднее 7 июня 2026 года.
Атакующие используют двойное и тройное вымогательство. Сначала они крадут данные, затем уничтожают резервные копии и шифруют критически важную информацию. Если компания не платит, похищенные материалы публикуют, продают или применяют для новых атак.
Для проникновения в инфраструктуру группа ищет слабозащищённые RDP- и VPN-сервисы, уязвимые публичные приложения и скомпрометированные учётные записи партнёров. Внутри сети злоумышленники перемещаются через SMB и RDP, используя легитимные аккаунты.
На заражённых Windows-системах они создают службы, устанавливают Tactical RMM и собственный бэкдор VantaCoreRAT. Для массовой доставки инструментов применяется авторский загрузчик VantaCoreLoader.
Перед запуском шифровальщика преступники останавливают защитные процессы с помощью AV/EDR-killer, после чего разворачивают программу-вымогатель VantaCore на серверах и рабочих станциях. Переговоры ведутся через чат в сети Tor, ссылка на который находится в записке с требованием выкупа.
Сама техника атаки, по мнению «Эфшесть/F6», не отличается особой изобретательностью. Зато набор инструментов полностью свой, а схема давления отлажена.
Свидетельство о регистрации СМИ ЭЛ № ФС 77 - 68398, выдано федеральной службой по надзору в сфере связи, информационных технологий и массовых коммуникаций (Роскомнадзор) 27.01.2017 Разрешается частичное использование материалов на других сайтах при наличии ссылки на источник. Использование материалов сайта с полной копией оригинала допускается только с письменного разрешения администрации.
