Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

На Google Play обнаружены девять приложений с кодом Clast82, загружающим троянов AlienBot и mRAT. Обойти защитные механизмы интернет-магазина злоумышленникам помогло несколько уловок, в том числе использование репозиториев на GitHub и облачного сервиса Firebase. Узнав о новой неприятной находке, Google удалила зараженные программы из доступа.

Проведенный в Check Point Software анализ показал, что Clast82, добавленный в  легитимное приложение, умеет скрывать свое вредоносное поведение во время проверки на Google Play. В этом ему помогает параметр, присланный в конфигурационном файле с C2-сервера, к которому загрузчик обращается через Firebase. Значение параметра false запрещает ему выполнять основную задачу, значение true, получаемое после публикации зараженного приложения в магазине, дает «зеленый свет» на загрузку целевого APK по указанной ссылке.

Полезная нагрузка при этом хранится на GitHub. Если опция загрузки приложений из неизвестных источников на Android отключена, Clast82 каждые пять минут отображает жертве поддельное сообщение сервисов Google Play, убеждая ее разрешить установку.

 

Как оказалось, конечной целью операторов Clast82 являлась загрузка и запуск шпиона mRAT либо банковского трояна AlienBot. Последний не только ворует учетные данные и 2FA-коды из клиентов финансовых организаций, но также открывает удаленный доступ к Android-устройству, который злоумышленники могут использовать, например, для запуска TeamViewer. В ходе тестирования аналитики насчитали более 100 уникальных образцов AlienBot, загружаемых с помощью Clast82.

Код этого загрузчика был выявлен в следующих легитимных opensource-приложениях:

  • Cake VPN 
  • Pacific VPN 
  • eVPN
  • BeatPlayer
  • QR/Barcode Scanner MAX 
  • Music Player 
  • tooltipnatorlibrary 
  • QRecorder

Примечательно, что под каждую модификацию злоумышленники создавали поддельный аккаунт разработчика на Google Play и соответствующий репозиторий на GitHub. Однако эта дополнительная мера защиты оказалась шита белыми нитками: все аккаунты разработчика были зарегистрированы под одним и тем же адресом Gmail.

Специалисты Check Point передали в Google результаты исследования 28 января. Девятого февраля они получили ответ, подтверждающий удаление всех заряженных Clast82 приложений из интернет-магазина. 

На PlayStation 5 научились запускать полноценный Linux

Энтузиасты нашли новый способ запустить рабочий Linux на PlayStation 5. Его предложил исследователь Энди Нгуен, он позволяет загрузить на консоли полноценную Linux-среду. Тем не менее в нынешнем исполнении метод действует только при жёстких условиях.

Способ работает на дисковой версии PS5 с прошивками 3.00-3.21 или 4.00-4.51. Кроме того, пользователю нужен джейлбрейк и запуск специальных пейлоадов.

После настройки консоль может загружать Ubuntu 26.04 на современном ядре Linux. Система ведёт себя почти как обычный Linux-компьютер: с терминалом, конфигурационными файлами и ручной настройкой.

При этом модификация не постоянная. После перезагрузки PS5 возвращается в обычный режим, а для повторного запуска Linux нужно заново применять джейлбрейк.

В Linux-среде уже доступны некоторые низкоуровневые настройки. Например, можно менять объём видеопамяти, управлять скоростью вентиляторов и включать режимы повышенной производительности. Это делает PS5 чуть ближе к экспериментальному десктопу, чем к обычной игровой консоли.

Но ограничений пока хватает: поддержка драйверов неполная, часть функций работает нестабильно. Wi-Fi может требовать ручного перезапуска, DualSense не работает через встроенное беспроводное подключение, а для геймпада нужны внешние адаптеры. Вывод изображения пока ограничен 60 Гц, включая 1080p, 1440p и 4K. Поддержка 120 Гц может появиться позже.

Главный плюс — такой запуск Linux не переписывает системный софт консоли. Достаточно перезагрузить PS5, и она снова работает как обычная PlayStation. Но риск и сложность всё равно остаются: нужна подходящая прошивка, технические навыки и готовность разбираться с экспериментальной сборкой.

Для массового пользователя это пока скорее любопытный хак, чем практичная функция. Но для сцены моддинга PS5 — заметный шаг вперёд.

RSS: Новости на портале Anti-Malware.ru