Новый вредонос для Android маскируется под легитимные приложения

Новый вредонос для Android маскируется под легитимные приложения

Новое семейство вредоносных программ для Android маскируется под целый ряд легитимных приложений, а также похищает широкий спектр конфиденциальной информации. Об обнаружении этой киберугрозы сообщили специалисты компании Palo Alto Networks.

Получившая имя HenBox вредоносная программа отличается тем, что устанавливает легитимные версии приложений в попытке скрыть свое присутствие на скомпрометированных устройствах. HenBox распространяется через сторонние магазины приложений, атакуя преимущественно устройства Xiaomi.

Попав на устройство, зловред может похищать информацию из популярных приложений для обмена сообщениями и мобильных клиентов социальных сетей. Он собирает как личные данные, так и информацию об устройстве, может отслеживать местоположение пользователя, получать доступ к микрофону и камере и фиксировать исходящие телефонные номера с префиксом «86» (код страны для Китайской Народной Республики).

Palo Alto Networks сообщает об обнаружении около 200 образцов HenBox, самые старые из которых датируются 2015 годом. Всплеск активности этого вредоноса пришелся на вторую половину 2017 года, однако в этом году экспертам также удалось заполучить несколько образцов HenBox.

Проанализировав эту киберугрозу, специалисты Palo Alto Networks пришли к выводу, что она связана с целой вредоносной инфраструктурой, занимающейся таргетированными атаками. Частью этой инфраструктуры, по словам экспертов, также являются такие вредоносные программы, как PlugX, Zupdax, 9002, и Poison Ivy.

Одним из приложений, под которые старается маскироваться HenBox, является DroidVPN — сервис VPN, обещающий повышенную безопасность и конфиденциальность, а также возможность обойти региональные ограничения в интернете.

Эта версия зловреда распространяется через uyghurapps[.]net, как полагают исследователи, злоумышленники использовали уязвимый веб-сервер Apache, работающий на 32-разрядной Windows, для замены легитимного приложения вредоносной копией.

Внешне вредоносное приложение HenBox полностью копировало DroidVPN, а также содержало оригинальную версию приложения в своем пакете APK. Наличие легитимной составляющей, выполняющей свои функции, позволяло киберпреступникам скрыть вредоносные действия своей программы.

DroidVPN — это только один из примеров. Также HenBox маскировался под пакет уйгурского языка для клавиатуры, под приложение настроек Android и под приложение «Islamawazi».

После запуска на зараженном устройстве служба HenBox загружает библиотеку ELF, которая собирает информацию об устройстве: запущенные процессы и приложения, информация об аппаратной составляющей.

Также на устройство загружается инструмент, позволяющий получить права суперпользователя. После этого зловред извлекает информацию из популярных приложений для обмена сообщениями, таких как Voxer Walkie Talkie Messenger и WeChat от Tencent.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Европол ликвидировал VPNLab, которым пользовались операторы шифровальщиков

Международная операция стражей правопорядка ликвидировала серверы VPNLab.net, провайдера VPN, услуги которого рекламировались на онлайн-площадках для киберпреступников. Согласно имеющейся информации, VPNLab.net пользовались злоумышленники, среди которых были операторы программ-вымогателей (ransomware).

В общей сложности Европол «положил» 15 серверов, которыми управляла команда VPNLab. Они располагались в Германии, Нидерландах, Канаде, Чехии, Франции, Венгрии, Латвии, Украине, США и Великобритании.

Пока правоохранители не предоставили никакой информации относительно арестов, однако сервис в настоящий момент не функционирует, а главная страница «официального» сайта VPNLab.net демонстрирует баннер Европола:

 

«Результаты этого расследования показали, что у киберпреступников остаётся всё меньше способов скрывать свою активность в Сети», — отметили представители Европола.

Сервис VPNLab работал с 2008 года и функционировал на базе технологии OpenVPN. За 60 долларов (4 586 рублей) в месяц клиенты получали возможности шифрования и анонимизации соединений.

По словам Европола, киберпреступники использовали VPNLab для подключения к своей инфраструктуре, чтобы случайно не выдать себя. В ходе операции правоохранителям удалось обнаружить на серверах данные о потенциальных жертвах кибератак. В результате Европол уведомил более 100 организаций о возможных брешах в их защите.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru