Троян PluginPhantom для скрытности использует фреймворк DroidPlugin

Троян PluginPhantom для скрытности использует фреймворк DroidPlugin

Троян PluginPhantom для скрытности использует фреймворк DroidPlugin

Специалисты Palo Alto Networks предупредили о появлении нового Android-трояна PluginPhantom, который маскирует свою деятельность под работу плагинов, используя для этого фреймфорк DroidPlugin.

Основная задача PluginPhantom – хищение данных. Вредонос способен похитить любые файлы, контакты и журналы звонков, информацию о местонахождении пользователя, данные Wi-Fi (SSID, пароль, IP- и MAC-адрес), а также информацию о системе. Кроме того, PluginPhantom может тайно делать фото фронтальной или основной камерой, снимать скриншоты, перехватывать и отправлять SMS-сообщения, записывать аудио с микрофона устройства и перехватывать нажатия клавиш.

Исследователи считают, что PluginPhantom является наследником трояна Android.Trojan.Ihide, обнаруженного аналитиками TrustLock в июле 2016 года. Однако архитектура PluginPhantom отличается не только от его прародителя, но и от других угроз подобного рода: троян разделен на основное приложение и множество плагинов для него. Плагины представляют собой безобидные APK-файлы, а основное приложение малвари тоже не вызывает подозрений, так как не демонстрирует странного поведения, пишет xakep.ru.

Для работы PluginPhantom использует легитимный фреймворк DroidPlugin, созданный китайской компанией Qihoo 360. DroidPlugin позволяет приложению запускать дополнительные плагины без необходимости их установки (то есть пользователю не потребуется ничего подтверждать). В результате вредоносные функции PluginPhantom рассредоточены по разным плагинам, которые основное приложение вредоноса может загрузить и запустить в любой момент.

 

phantom_1

 

В настоящий момент PluginPhantom оснащается девятью плагинами, три из которых нужны для проведения базовых операций (поддержания связи с управляющим сервером и обновлений), а еще шесть используются для совершения вышеописанных вредоносных действий.

По данным специалистов Palo Alto Networks, в официальном каталоге приложений Google Play малварь пока замечена не была. Кто является основной целью трояна, неизвестно, но  исследователи заметили, что похищенные геолокационные данные преобразуются в формат, который используют навигационные приложения Baidu Maps и Amap Map, популярные в Китае.

WhatsApp поймал новую шпионскую кампанию, похожую на атаку NSO

Конфликт между WhatsApp (принадлежит корпорации Meta, признанной экстремистской и запрещённой в России) и разработчиком шпионского ПО NSO Group выходит на новый виток. Мессенджер заявил, что обнаружил новую фишинговую кампанию, которую связывает с израильской компанией, несмотря на действующий судебный запрет на атаки против пользователей WhatsApp.

История тянется с 2019 года, когда WhatsApp подал в суд на NSO Group после обнаружения уязвимости, через которую на устройства пользователей устанавливался шпионский софт.

В декабре 2024 года суд признал компанию виновной, а весной 2025-го жюри обязало её выплатить более 167 миллионов долларов штрафных санкций и компенсаций.

Позже размер штрафа был существенно сокращён, однако суд сохранил главное ограничение: NSO Group навсегда запретили атаковать пользователей WhatsApp. Но, похоже, на этом история не закончилась.

В WhatsApp заявили, что недавно обнаружили целевую фишинговую кампанию, в рамках которой злоумышленники пытались заставить пользователей переходить по вредоносным ссылкам. По данным компании, атака имеет признаки, характерные для ранее выявленных операций NSO Group.

Кроме того, специалисты WhatsApp обнаружили тестовые учётные записи и группы, которые, предположительно, использовались для подготовки кампании. Все найденные аккаунты уже заблокированы.

Теперь Meta считает, что NSO нарушила судебный запрет. Компания намерена обратиться в федеральный суд с требованием привлечь разработчика шпионского софта к ответственности за неисполнение решения суда.

Сама NSO Group ранее пыталась добиться отмены запрета, заявляя, что ограничения наносят компании непоправимый ущерб. Однако суд пока не встал на сторону производителя шпионских инструментов.

На фоне нового конфликта WhatsApp также объявил о финансовой поддержке инициативы Spyware Accountability. Этот фонд занимается расследованием случаев злоупотребления шпионскими программами и поддерживает проекты, направленные на выявление и пресечение подобных атак.

RSS: Новости на портале Anti-Malware.ru