Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

На Google Play обнаружены девять приложений с кодом Clast82, загружающим троянов AlienBot и mRAT. Обойти защитные механизмы интернет-магазина злоумышленникам помогло несколько уловок, в том числе использование репозиториев на GitHub и облачного сервиса Firebase. Узнав о новой неприятной находке, Google удалила зараженные программы из доступа.

Проведенный в Check Point Software анализ показал, что Clast82, добавленный в  легитимное приложение, умеет скрывать свое вредоносное поведение во время проверки на Google Play. В этом ему помогает параметр, присланный в конфигурационном файле с C2-сервера, к которому загрузчик обращается через Firebase. Значение параметра false запрещает ему выполнять основную задачу, значение true, получаемое после публикации зараженного приложения в магазине, дает «зеленый свет» на загрузку целевого APK по указанной ссылке.

Полезная нагрузка при этом хранится на GitHub. Если опция загрузки приложений из неизвестных источников на Android отключена, Clast82 каждые пять минут отображает жертве поддельное сообщение сервисов Google Play, убеждая ее разрешить установку.

 

Как оказалось, конечной целью операторов Clast82 являлась загрузка и запуск шпиона mRAT либо банковского трояна AlienBot. Последний не только ворует учетные данные и 2FA-коды из клиентов финансовых организаций, но также открывает удаленный доступ к Android-устройству, который злоумышленники могут использовать, например, для запуска TeamViewer. В ходе тестирования аналитики насчитали более 100 уникальных образцов AlienBot, загружаемых с помощью Clast82.

Код этого загрузчика был выявлен в следующих легитимных opensource-приложениях:

  • Cake VPN 
  • Pacific VPN 
  • eVPN
  • BeatPlayer
  • QR/Barcode Scanner MAX 
  • Music Player 
  • tooltipnatorlibrary 
  • QRecorder

Примечательно, что под каждую модификацию злоумышленники создавали поддельный аккаунт разработчика на Google Play и соответствующий репозиторий на GitHub. Однако эта дополнительная мера защиты оказалась шита белыми нитками: все аккаунты разработчика были зарегистрированы под одним и тем же адресом Gmail.

Специалисты Check Point передали в Google результаты исследования 28 января. Девятого февраля они получили ответ, подтверждающий удаление всех заряженных Clast82 приложений из интернет-магазина. 

Сегодня в России начали замедлять работу Telegram

Власти приняли решение начать работу по замедлению мессенджера Telegram в России. Об этом РБК сообщили источник в ИТ-индустрии и два источника в профильных ведомствах. По словам собеседников издания, Роскомнадзор планирует приступить к частичному ограничению работы сервиса уже во вторник, 10 февраля.

Ещё один источник утверждает, что меры по замедлению Telegram уже применяются. РБК направил официальный запрос в Роскомнадзор, однако на момент публикации ответа не получил.

Ранее регулятор уже вводил точечные ограничения в отношении мессенджеров. Так, в августе 2025 года Роскомнадзор ограничил звонки в Telegram и WhatsApp (принадлежит Meta, признанной экстремистской и запрещённой в России).

Тогда в ведомстве объясняли это тем, что мессенджеры стали основными каналами для мошенничества, вымогательства и вовлечения граждан в диверсионную и террористическую деятельность.

В октябре Роскомнадзор сообщил о частичных ограничениях Telegram и WhatsApp «в целях противодействия преступникам». При этом в декабре глава комитета Госдумы по информационной политике Сергей Боярский заявлял, что о полной блокировке Telegram пока речи не идёт. По его словам, мессенджер давно превратился в полноценную социальную сеть, в развитие которой вложены значительные ресурсы.

В середине января член комитета Госдумы по информполитике Андрей Свинцов утверждал, что Telegram замедляют из-за недостаточно быстрой блокировки анонимных каналов. В ответ на это в Роскомнадзоре тогда заявили РБК, что новые ограничительные меры в отношении Telegram не применяются.

Однако спустя несколько дней зампред Совета по развитию цифровой экономики при Совфеде Артём Шейкин сообщил, что работа Telegram в России постепенно блокируется, связав это с отказом мессенджера выполнять требования по пресечению преступной деятельности.

На фоне этих заявлений 9 и 10 февраля пользователи в России массово жаловались на сбои в работе Telegram, следует из данных сервисов Downdetector и «Сбой.рф». В основном сообщалось о проблемах с загрузкой медиафайлов и снижении скорости работы сервиса. Аналогичные жалобы фиксировались и ранее — в середине января и в конце декабря.

Официального подтверждения начала замедления Telegram со стороны Роскомнадзора пока нет, однако совокупность заявлений и пользовательских жалоб указывает на то, что мессенджер вновь оказался под давлением регулятора.

RSS: Новости на портале Anti-Malware.ru