В Испании задержаны предполагаемые операторы Android-ботнета FluBot

В Испании задержаны предполагаемые операторы Android-ботнета FluBot

В Испании задержаны предполагаемые операторы Android-ботнета FluBot

В Барселоне проведены аресты по делу о распространении банковского трояна FluBot, поразившего как минимум 60 тыс. Android-устройств — в основном в Испании. По имеющимся данным, ботоводы не только опустошали счета с помощью вредоносной программы, но также отмывали краденые деньги, покупая на них товары для перепродажи.

В ходе полицейских рейдов задержаны четыре молодых человека в возрасте от 19 до 27 лет. Двое из них, предполагаемые лидеры преступной группировки, заключены под стражу, остальных отпустили на свободу, обязав являться в суд каждые две недели. При обысках были изъяты документы, лэптопы, денежные средства и мобильные телефоны в невскрытой упаковке — по всей видимости, купленные на деньги жертв заражения.

Один арестованный, по версии следствия, написал код FluBot (PDF) и создавал поддельные страницы регистрации в системах онлайн-банкинга. Злоумышленники распространяют трояна с конца прошлого года через ссылки в СМС-сообщениях, имитирующих уведомления почтовой службы или Google Chrome.

При установке оверлейный зловред FluBot, он же Fedex Banker (PDF) и Cabassous, запрашивает разрешения на доступ к специальным возможностям Android (Accessibility Services) с тем, чтобы его фишинговые страницы отображались поверх окон банковских приложений. Данные, собранные с их помощью, бот отсылает на свой сервер; он также умеет перехватывать одноразовые коды, высылаемые клиентам банков для подтверждения прав на проведение транзакций, и воровать контакты из адресной книги жертв для дальнейшего распространения инфекции.

На настоящий момент испанские киберкопы выявили 71 тыс. вредоносных СМС-сообщений, разосланных в рамках FluBot-кампании. Исследователям из швейцарской ИБ-компании PRODAFT удалось получить доступ к C2-серверу ботнета. На нем были обнаружены данные о 60 тыс. заражений и телефонные номера 11 млн пользователей — 97% из них проживают в Испании (это почти четверть населения страны).

Анализ показал, что для поиска командного сервера FluBot запускает генератор DGA, способный создавать 5 тыс. доменных имен в месяц. Для защиты C2-коммуникаций зловред использует шифрование, с обменом ключами по протоколу Диффи-Хеллмана и созданием подписи RSA для аутентификации секретного ключа.

По состоянию на начало января список мишеней FluBot состоял из ряда банков, осуществляющих деловые операции в Испании, однако в его коде были обнаружены переменные на польском и немецком языках. В настоящее время ботнет все еще активен, и армия сайтов, загружающих зловредные APK на смартфоны пользователей, продолжает расти. 

Сбой у Сбера быстро перекинулся на ВТБ, Т-Банк, Ozon-банк и СБП

Утренний сбой в работе «Сбербанк Онлайн», похоже, быстро перестал быть историей только про один банк. Почти одновременно о проблемах с доступом к сервисам начали сообщать клиенты ВТБ, Т-Банка, Ozon-банка, а также пользователи системы быстрых платежей.

Судя по сообщениям пользователей и данным сервисов мониторинга сбоев, неполадки затронули сразу несколько крупных финансовых платформ.

Тут дело точно не в локальной проблеме внутри одного приложения, а в более широкой волне сбоев, которая задела сразу несколько заметных игроков финансового рынка.

Больше всего жалоб поступает из крупнейших регионов страны — Москвы, Санкт-Петербурга, Московской, Свердловской и Новосибирской областей. Но только ими дело не ограничилось: о перебоях также сообщают пользователи из Самарской и Оренбургской областей, Приморского края, Татарстана, Удмуртии и других регионов.

 

При этом характер проблем у разных сервисов немного отличается. У клиентов ВТБ чаще всего возникают трудности с доступом к сайту, чуть реже — к мобильному приложению. У пользователей Т-Банка, наоборот, основной удар пришёлся именно по приложению, тогда как сайт упоминается заметно реже.

У Ozon-банка картина своя: там пользователи в основном жалуются на некорректную работу самих сервисов и приложения. Проблемы с сайтом, судя по обращениям, встречаются значительно реже.

Параллельно начали поступать сообщения и о сбоях в системе быстрых платежей. Пользователи пишут, что не могут переводить деньги и оплачивать покупки.

RSS: Новости на портале Anti-Malware.ru