Новый Android-троян Gustuff опустошает счета и выводит криптовалюту

Новый Android-троян Gustuff опустошает счета и выводит криптовалюту

Новый Android-троян Gustuff опустошает счета и выводит криптовалюту

Опасный троян для мобильных устройств на базе Android атакует клиентов международных банков, пользователей мобильных криптокошельков и крупных ресурсов электронной коммерции. Вредонос получил имя Gustuff, подробно о его деятельности рассказали специалисты международной компании Group-IB, занимающейся предотвращением киберугроз.

Исходя из анализа Group-IB, вредоносную программу Gustuff писали профессионалы — троян учитывает все современные реалии и обладает богатым набором возможностей. Например, полностью автоматизированные функции позволяют ему выводить фидуциарные деньги и криптовалюту со счетов пользователей.

Изначально в качестве жертв Gustuff выбрал клиентов следующих банков: Bank of America, Bank of Scotland, J.P.Morgan, Wells Fargo, Capital One, TD Bank, PNC Bank, а также владельцев криптовалютных кошельков Bitcoin Wallet, BitPay, Cryptopay, Coinbase.

Первая версия зловреда атаковала преимущественно Android-приложения банков, финтех-компаний и криптовалютных кошельков.

Чуть позже авторы вредоносной программы пополнили список его жертв, среди которых теперь пользователи приложений маркетплейсов, онлайн-магазинов, платежных систем и мессенджеров. Таким образом, в опасности люди, использующие PayPal, Western Union, eBay, Walmart, Skype, WhatsApp, Gett Taxi, Revolut и другие системы.

По словам специалистов Group-IB, Gustuff распространяется стандартным способом, который уже давно применяется злоумышленниками для заражения Android-устройств, — через SMS-сообщения, содержащие ссылки на загрузку вредоносного файла APK.

При этом киберпреступники снабдили троян возможностью распространения по базе контактов. Одна из важнейших задач Gustuff — распространить себя на максимально возможное количество устройств, обеспечив своим авторам максимальную капитализацию бизнеса.

Троян также отметился одной из уникальных функций — в Group-IB ее назвали «автозаливом» в легитимные мобильные банковские приложения и криптокошельки. Именно реализация такой возможности позволяет Gustuff ускорить и масштабировать кражу денег.

Для «автозалива» вредоносная программа использует сервис операционной системы Android, известный как Accessibility Service (его и ранее использовали различные вредоносы). В частности, этот сервис для людей с ограниченными возможностями используется для симуляции действий пользователя.

Другими словами, троян может нажимать на любые кнопки, а также менять значения текстовых полей в банковских приложениях — все зависит от того, что ему прикажет оператор.

Более того, у Gustuff были обнаружены возможности отображения фейковых PUSH-уведомлений с иконками легитимных мобильных приложений. При нажатии на такие окна пользователь попадает на фишинговые страницы, которые имитируют легитимные ресурсы кредитных организаций.

«В целях защиты своих клиентов от угрозы мобильных троянов компании должны использовать комплексные решения, которые позволяют без установки дополнительного программного обеспечения на устройства пользователей, отслеживать и предупреждать вредоносную активность», — объясняет Павел Крылов, руководитель направления Group-IB Secure Bank.

«Для этого сигнатурные методы обнаружения мобильных троянов необходимо усиливать технологиями анализа поведения как клиента, так и самого приложения. Также защита должна включать в себя функцию идентификации устройств с использованием технологии цифрового отпечатка, что позволит понять, когда учётная запись используется с нетипичного устройства и уже попала в руки мошенника».

«Принципиально важный момент – наличие возможности кросс-канального анализа, что дает возможность компаниям контролировать риски, возникающие на стороне не только интернет-, но и мобильного канала, например, в приложениях для мобильного банкинга, для операций с криптовалютами и любых других, где может осуществляться финансовая транзакция».

Минцифры меняет схему передачи данных об активности в онлайн-кинотеатрах

Минцифры, похоже, нашло рабочую схему для передачи данных о просмотрах в онлайн-кинотеатрах компании Mediascope: обсуждается вариант, при котором данные будут идти через «Яндекс» и VK. Если эта конструкция действительно закрепится, рынок получит не просто новый порядок отчётности, а ещё один чувствительный узел в споре о том, где заканчивается медиаизмерение и начинается слишком подробный сбор пользовательской активности.

Сама история тянется с ноября 2025 года. Тогда министерство предложило расширить набор данных, которые соцсети и онлайн-кинотеатры передают Mediascope: в проекте фигурировали бессрочные идентификаторы пользователей, сформированные с использованием номера телефона, а также полная информация о просмотрах фильмов и сериалов.

Логика у ведомства была следующая: сейчас один и тот же человек на разных устройствах часто считается как несколько пользователей, а новый ID должен сделать статистику точнее.

Дальше начались споры уже не о теории, а о практической схеме. Ещё в конце декабря СМИ писали, что техническим посредником при передаче таких данных может стать Яндекс.

В компании тогда уверяли, что мобильные номера к ним не попадут: сервисы будут передавать уже обезличенные идентификаторы, а затем они пройдут дополнительное шифрование. Источники рынка при этом сразу предупреждали о другой стороне вопроса: через такого посредника в любом случае пойдут массивы данных десятков миллионов пользователей, а значит, вырастут и риски их сохранности.

Нашлись и другие претензии: сама идея постоянного идентификатора, привязанного к номеру телефона, для части рынка уже выглядит не как «чуть более точное измерение аудитории», а как слишком чувствительный маркер, который теоретически можно использовать не только для статистики.

На этом фоне новая схема, о которой пишет РБК, с посредниками выглядит как попытка снять хотя бы часть напряжения: не тащить всё напрямую в Mediascope, а проложить между сторонами дополнительный технический слой. Но главный вопрос никуда не делся: поверит ли рынок, что такая модель действительно снижает риски, а не просто делает маршрут данных длиннее.

Потому что для онлайн-кинотеатров и соцсетей это уже не абстрактная регуляторная дискуссия, а вполне конкретный разговор о том, сколько пользовательских данных придётся отдать, кому именно и на каких условиях.

RSS: Новости на портале Anti-Malware.ru