Новый троян KevDroid записывает звонки на Android-устройствах

Новый троян KevDroid записывает звонки на Android-устройствах

Новый троян KevDroid записывает звонки на Android-устройствах

Эксперты Cisco Talos проанализировали маскирующийся под антивирус вредонос для мобильной платформы Android. Ранее EST Security уже сообщала об активности этого зловреда, связывая его с деятельностью северокорейской киберпреступной группы Group 123.

Специалисты выделили два образца этой вредоносной программы, у обоих образцов отмечались одинаковые возможности — кража информации на зараженном устройстве (например, контактов, SMS и истории вызовов) и запись телефонных звонков жертвы. Один из семплов использовал известный эксплойт для уязвимости в Android CVE-2015-3636, что позволяло ему получить root-доступ на атакованном устройстве.

Оба варианта вредоноса отправляли данные на уникальный командный центр (C2-сервер) с помощью HTTP POST. Возможность записи вызовов была реализована на основе проекта с открытым исходным кодом, доступного на GitHub. Специалисты Cisco назвали эту программу «KevDroid».

Еще один образец, проанализированный исследователями (атакующий Windows), был найден на сервере злоумышленников и использовался KevDroid. Вредоносная программа использует платформу PubNub в качестве C2-сервера. PubNub представляет собой IaaS-решение, обеспечивающее передачу сообщений в реальном времени. В частности, злоумышленники используют PubNub API для передачи команд скомпрометированным системам. Этот образец получил имя «PubNubRAT».

В настоящее время эксперты не могут точно установить связь этих вредоносных программ с группой Group 123, они лишь отметили отдельный набор общих методов и техник, что, пожалуй, не может свидетельствовать о стопроцентной связи.

KevDroid получил возможность записывать разговоры жертвы благодаря проекту aykuttasil project. Этот проект предоставляет библиотеку для записи телефонных звонков, совершаемых на устройстве Android.

Вредонос сообщает злоумышленникам следующую информацию о зараженном устройстве:

  • Установленные приложения;
  • Номер телефона;
  • Уникальный идентификатор устройства;
  • Местоположение;
  • Сохраненные контакты;
  • СМС;
  • Записи разговоров;
  • Электронные письма;
  • Фотографии.

Яндекс собрал единый антифрод: ботам и накрутчикам станет сложнее

Яндекс начал внедрять «Универсальный антифрод» — единую ИИ-платформу для борьбы с ботами, накрутками и другими видами цифрового мошенничества. Новая система позволяет подключить защиту к сервису за 2-4 дня. Раньше разработка отдельного решения могла занимать несколько месяцев.

К платформе уже подключены десятки сервисов Яндекса, включая Еду, Афишу, Путешествия и приложения с Алисой AI. Сценарии атак у них разные, но суть одна: мошенники пытаются обмануть алгоритмы и получить выгоду.

Например, в Афише система вычисляет ботов, которые массово бронируют билеты на популярные мероприятия. Так перекупщики создают искусственный дефицит, а затем выставляют билеты на других площадках — разумеется, уже с бодрой наценкой.

В Еде антифрод проверяет обращения в службу поддержки. Речь в том числе о случаях, когда злоумышленники многократно жалуются на один заказ в надежде получить компенсацию. После внедрения платформы сервис стал распознавать и блокировать такие обращения более чем в десять раз эффективнее.

В основе системы — нейросеть, аналитические методы и свыше 100 правил, описывающих основные классы атак. Платформа анализирует трафик в реальном времени и подбирает параметры защиты отдельно для каждого сервиса.

Главная фишка решения — централизованное обновление. Если Яндекс обнаружит новую мошенническую схему, защиту можно быстро распространить сразу на все подключённые продукты. Пока мошенники придумывают очередной хитрый план, антифрод уже готовится его испортить.

RSS: Новости на портале Anti-Malware.ru