Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

На Google Play обнаружены девять приложений с кодом Clast82, загружающим троянов AlienBot и mRAT. Обойти защитные механизмы интернет-магазина злоумышленникам помогло несколько уловок, в том числе использование репозиториев на GitHub и облачного сервиса Firebase. Узнав о новой неприятной находке, Google удалила зараженные программы из доступа.

Проведенный в Check Point Software анализ показал, что Clast82, добавленный в  легитимное приложение, умеет скрывать свое вредоносное поведение во время проверки на Google Play. В этом ему помогает параметр, присланный в конфигурационном файле с C2-сервера, к которому загрузчик обращается через Firebase. Значение параметра false запрещает ему выполнять основную задачу, значение true, получаемое после публикации зараженного приложения в магазине, дает «зеленый свет» на загрузку целевого APK по указанной ссылке.

Полезная нагрузка при этом хранится на GitHub. Если опция загрузки приложений из неизвестных источников на Android отключена, Clast82 каждые пять минут отображает жертве поддельное сообщение сервисов Google Play, убеждая ее разрешить установку.

 

Как оказалось, конечной целью операторов Clast82 являлась загрузка и запуск шпиона mRAT либо банковского трояна AlienBot. Последний не только ворует учетные данные и 2FA-коды из клиентов финансовых организаций, но также открывает удаленный доступ к Android-устройству, который злоумышленники могут использовать, например, для запуска TeamViewer. В ходе тестирования аналитики насчитали более 100 уникальных образцов AlienBot, загружаемых с помощью Clast82.

Код этого загрузчика был выявлен в следующих легитимных opensource-приложениях:

  • Cake VPN 
  • Pacific VPN 
  • eVPN
  • BeatPlayer
  • QR/Barcode Scanner MAX 
  • Music Player 
  • tooltipnatorlibrary 
  • QRecorder

Примечательно, что под каждую модификацию злоумышленники создавали поддельный аккаунт разработчика на Google Play и соответствующий репозиторий на GitHub. Однако эта дополнительная мера защиты оказалась шита белыми нитками: все аккаунты разработчика были зарегистрированы под одним и тем же адресом Gmail.

Специалисты Check Point передали в Google результаты исследования 28 января. Девятого февраля они получили ответ, подтверждающий удаление всех заряженных Clast82 приложений из интернет-магазина. 

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

InfoWatch зарегистрировала технологию визуализации рабочего дня сотрудника

Группа компаний InfoWatch получила свидетельство о регистрации авторского произведения на технологию «Картина дня сотрудника», подтверждающее её уникальность. Разработка позволяет собирать и визуализировать данные о действиях сотрудников за рабочим компьютером, формируя целостное представление об их активности в течение дня.

Технология создана для использования в DLP-системах и помогает не только предотвращать инциденты информационной безопасности, но и анализировать поведение сотрудников в корпоративной среде.

«Картина дня сотрудника» является частью системы InfoWatch Activity Monitor и использует методы компьютерного зрения и искусственного интеллекта. Сервис преобразует информацию о действиях пользователя — открытых приложениях, документах, сайтах, переходах между ними — в структурированный и наглядный отчёт. Это позволяет находить закономерности и аномалии, которые сложно заметить при ручном анализе.

По словам директора юридического департамента компании Леонида Гусева, технология может быть полезна не только специалистам по информационной безопасности:

«Её можно применять и в кадровых целях — для оценки эффективности работы сотрудников или в качестве доказательной базы при рассмотрении трудовых споров».

Руководитель направления «Центр расследований» Сергей Кузьмин добавил, что система способна анализировать происходящее на экране в динамике:

«Мы научили защитную платформу не просто фиксировать действия, а понимать контекст. Это позволяет видеть картину рабочего дня целиком и упрощает расследование инцидентов».

Технология зарегистрирована в Российском центре оборота прав на результаты творческой деятельности (РЦИС) под названием «InfoWatch Младший аналитик. Сервис „Картина дня сотрудника“».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru