Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

На Google Play обнаружены девять приложений с кодом Clast82, загружающим троянов AlienBot и mRAT. Обойти защитные механизмы интернет-магазина злоумышленникам помогло несколько уловок, в том числе использование репозиториев на GitHub и облачного сервиса Firebase. Узнав о новой неприятной находке, Google удалила зараженные программы из доступа.

Проведенный в Check Point Software анализ показал, что Clast82, добавленный в  легитимное приложение, умеет скрывать свое вредоносное поведение во время проверки на Google Play. В этом ему помогает параметр, присланный в конфигурационном файле с C2-сервера, к которому загрузчик обращается через Firebase. Значение параметра false запрещает ему выполнять основную задачу, значение true, получаемое после публикации зараженного приложения в магазине, дает «зеленый свет» на загрузку целевого APK по указанной ссылке.

Полезная нагрузка при этом хранится на GitHub. Если опция загрузки приложений из неизвестных источников на Android отключена, Clast82 каждые пять минут отображает жертве поддельное сообщение сервисов Google Play, убеждая ее разрешить установку.

 

Как оказалось, конечной целью операторов Clast82 являлась загрузка и запуск шпиона mRAT либо банковского трояна AlienBot. Последний не только ворует учетные данные и 2FA-коды из клиентов финансовых организаций, но также открывает удаленный доступ к Android-устройству, который злоумышленники могут использовать, например, для запуска TeamViewer. В ходе тестирования аналитики насчитали более 100 уникальных образцов AlienBot, загружаемых с помощью Clast82.

Код этого загрузчика был выявлен в следующих легитимных opensource-приложениях:

  • Cake VPN 
  • Pacific VPN 
  • eVPN
  • BeatPlayer
  • QR/Barcode Scanner MAX 
  • Music Player 
  • tooltipnatorlibrary 
  • QRecorder

Примечательно, что под каждую модификацию злоумышленники создавали поддельный аккаунт разработчика на Google Play и соответствующий репозиторий на GitHub. Однако эта дополнительная мера защиты оказалась шита белыми нитками: все аккаунты разработчика были зарегистрированы под одним и тем же адресом Gmail.

Специалисты Check Point передали в Google результаты исследования 28 января. Девятого февраля они получили ответ, подтверждающий удаление всех заряженных Clast82 приложений из интернет-магазина. 

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

Российские банки обяжут привязывать клиентские счета к ИНН

Банк России собирается ввести обязательное требование для кредитно-финансовых организаций — привязку ИНН клиентов к их счетам. Новый реквизит понадобится для платформы «Антидроп», запуск которой запланирован на середину 2027 года.

О новой мере, нацеленной на противодействие дропперству, рассказала в ходе интервью РБК зампред Центробанка Ольга Полякова.

По ее словам, российские банки умеют работать с ИНН, даже обзавелись инструментами для получения этого идентификатора в ФНС. Результаты опросов финансистов показали их готовность соответствовать новой норме.

«Если раньше для банков не было обязательного требования устанавливать ИНН клиента как обязательный реквизит счета, то мы такое требование введем, и при открытии нового счета, и по тем счетам, что были открыты ранее», — уточнила представитель ЦБ.

С 1 сентября 2025 года у россиян стали запрашивать ИНН при предоставлении кредитов и займов — в соответствии с ФЗ-9 от 13 февраля. Подобная мера была введена в рамках борьбы мошенничеством в этой сфере.

Концепция платформы «Антидроп», по словам Поляковой, уже утверждена, проект архитектуры сервиса готов. В настоящее время Центробанк разрабатывает ТЗ, чтобы в будущем году перейти к разработке системы.

Подключение банков к «Антидропу» будет обязательным, однако решения о степени риска для внесенных в базу клиентов они смогут принимать самостоятельно. По такому же принципу сейчас работает платформа «Знай своего клиента» (KYC), созданная для противодействия отмыванию денег.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru