800 000 россиян стали жертвами банковского Android-ботнета

800 000 россиян стали жертвами банковского Android-ботнета

800 000 россиян стали жертвами банковского Android-ботнета

Специалистам антивирусной компании Avast удалось выйти на операции банковского Android-ботнета, атаковавшего российских пользователей. Эксперты считают, что получивший имя Geost ботнет действует с 2016 года, за это время он успел заразить более 800 тысяч устройств на Android.

Такая масштабная кибероперация позволяла преступникам контролировать несколько миллиардов рублей. Выйти на незаконную деятельность исследователям помогла ошибка OpSec.

Киберпреступники допустили оплошность — доверились вредоносной прокси-сети, созданной благодаря вредоносной программе HtBot. Этот вредонос даёт возможность арендовать прокси-сервис, позволяющий анонимно общаться в Сети.

Проанализировав сетевую активность HtBot, антивирусные специалисты неожиданно для себя раскрыли крупную вредоносную кампанию, в ходе которой пострадали 800 тыс. Android-устройств.

Что подвело операторов ботнета — они неудачно выбрали платформы анонимизации, с помощью которых пытались скрыть свои следы. В итоге преступники не смогли корректно зашифровать свои сообщения, а исследователи получили доступ ко всей внутренней работе злоумышленников.

Помимо общей информации, касающейся киберопераций (обход антивирусных программ, заражение устройств), специалисты нашли и личные переписки киберпреступников. Один из интересных моментов таких переписок — намерение одного из участников группировки покинуть её.

Ему ответили, что «не каждый день группа получает 100 тысяч за продвижение», кроме того, «раз уж начинали вместе, заканчивать работу нужно тоже вместе».

Команда Avast также рассказала и про сам ботнет. Geost на деле является сложной инфраструктурой, состоящей из заражённых Android-устройств. Установка вредоносной составляющей на смартфоны россиян происходит благодаря фейковым приложениям.

Обычно такие программы маскируются под банковские приложения или социальные сети. После установки таких программ операторы могут удалённо управлять атакованным устройством.

Особый интерес для злоумышленников в этом случае представляли SMS-сообщения жертв — благодаря им они вычисляли, у кого самый большой баланс на счёте. Эту информацию обрабатывал командный C&С-сервер.

Помимо этого, киберпреступники устанавливали на телефоны граждан банковский троян, главными целями которого стали пять банков, расположенных преимущественно в России.

С подобным анализом данной кибероперации можно ознакомиться в исследовании (PDF) Avast.

Расследование ФБР показало, как офисный принтер может «донести» на вас

В США разворачивается история, больше похожая на шпионский сериал, чем на сухую сводку Минюста. И одну из ключевых ролей в ней сыграл офисный принтер. 9 января федеральные прокуроры предъявили обвинения Аурелио Луису Перес-Лугонесу — ИТ-специалисту подрядной компании, работавшей с государственными структурами.

Его обвиняют в незаконном хранении информации, связанной с национальной безопасностью. При этом речь не идёт о передаче секретных данных — по крайней мере, напрямую этого в материалах дела не утверждается.

Широкий резонанс история получила после того, как в рамках расследования агенты ФБР провели обыск у журналистки Washington Post Ханны Натансен. По данным Минюста, Перес-Лугонес переписывался с ней и обсуждал конфиденциальные темы. Натансен известна публикациями о влиянии администрации Дональда Трампа на федеральные ведомства.

Но самая неожиданная деталь всплыла в аффидевите (PDF) ФБР. Именно он показывает, каким образом следствие вышло на подозреваемого. Как утверждают правоохранители, Перес-Лугонес пытался вынести данные из SCIF — защищённого помещения для работы с секретной информацией — довольно хитрым способом.

Вместо прямой печати классифицированного отчёта он якобы делал скриншоты экрана, обрезал их и вставлял в документ Microsoft Word. Расчёт был простой: если печатается не секретный файл, а обычный Word-документ с картинками, принтерные логи не выдадут ничего подозрительного. Даже название файла он выбрал максимально нейтральное — вроде «Microsoft Word – Document1».

Однако расчёт не оправдался. Как выяснилось, системы контроля у работодателя Перес-Лугонеса позволяют не только видеть стандартные метаданные печати — имя файла, время и пользователя, — но и восстанавливать копии самих распечатанных документов. В результате следователи получили доступ к тем самым изображениям со скриншотами секретных материалов.

Кроме того, в материалах дела упоминается ещё один эпизод: подозреваемого якобы заметили за тем, как он открывает секретный документ и делает письменные заметки, постоянно переводя взгляд с экрана на блокнот. Каким образом это было зафиксировано, прямо не говорится, но контекст явно намекает на видеонаблюдение внутри защищённого помещения.

RSS: Новости на портале Anti-Malware.ru