Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

Загрузчик троянов проник в Google Play, прикрывшись GitHub и Firebase

На Google Play обнаружены девять приложений с кодом Clast82, загружающим троянов AlienBot и mRAT. Обойти защитные механизмы интернет-магазина злоумышленникам помогло несколько уловок, в том числе использование репозиториев на GitHub и облачного сервиса Firebase. Узнав о новой неприятной находке, Google удалила зараженные программы из доступа.

Проведенный в Check Point Software анализ показал, что Clast82, добавленный в  легитимное приложение, умеет скрывать свое вредоносное поведение во время проверки на Google Play. В этом ему помогает параметр, присланный в конфигурационном файле с C2-сервера, к которому загрузчик обращается через Firebase. Значение параметра false запрещает ему выполнять основную задачу, значение true, получаемое после публикации зараженного приложения в магазине, дает «зеленый свет» на загрузку целевого APK по указанной ссылке.

Полезная нагрузка при этом хранится на GitHub. Если опция загрузки приложений из неизвестных источников на Android отключена, Clast82 каждые пять минут отображает жертве поддельное сообщение сервисов Google Play, убеждая ее разрешить установку.

 

Как оказалось, конечной целью операторов Clast82 являлась загрузка и запуск шпиона mRAT либо банковского трояна AlienBot. Последний не только ворует учетные данные и 2FA-коды из клиентов финансовых организаций, но также открывает удаленный доступ к Android-устройству, который злоумышленники могут использовать, например, для запуска TeamViewer. В ходе тестирования аналитики насчитали более 100 уникальных образцов AlienBot, загружаемых с помощью Clast82.

Код этого загрузчика был выявлен в следующих легитимных opensource-приложениях:

  • Cake VPN 
  • Pacific VPN 
  • eVPN
  • BeatPlayer
  • QR/Barcode Scanner MAX 
  • Music Player 
  • tooltipnatorlibrary 
  • QRecorder

Примечательно, что под каждую модификацию злоумышленники создавали поддельный аккаунт разработчика на Google Play и соответствующий репозиторий на GitHub. Однако эта дополнительная мера защиты оказалась шита белыми нитками: все аккаунты разработчика были зарегистрированы под одним и тем же адресом Gmail.

Специалисты Check Point передали в Google результаты исследования 28 января. Девятого февраля они получили ответ, подтверждающий удаление всех заряженных Clast82 приложений из интернет-магазина. 

Украинские телефонные мошенники переключаются на европейцев

В Сбербанке зафиксировали смещение фокуса украинских мошеннических кол-центров на жителей стран Европы и СНГ. Причиной этого стали системные меры, которые в последние годы предпринимаются в России для противодействия дистанционному мошенничеству. На эту тенденцию обратил внимание заместитель председателя правления Сбербанка Станислав Кузнецов.

В интервью РИА Новости Кузнецов отметил:

«Что касается украинских кол-центров, то они стали ориентироваться и на другие направления “работы”. В 2025 году на фоне предпринимаемых в стране мер противодействия мы видим существенный переток телефонных звонков уже в сторону других государств».

В целом украинские кол-центры совершают мошеннические звонки в более чем 20 стран. По отдельным направлениям их объём достигает до 2 млн звонков в сутки. Для сравнения, по данным сервиса «Защитник МТС», за весь период новогодних каникул россиянам поступило около 30 млн мошеннических вызовов. В среднем это порядка 2,5 млн звонков в день, при том что в праздничные дни активность злоумышленников традиционно выше.

Ранее Станислав Кузнецов в комментарии РИА Новости прогнозировал, что в 2026 году возможен перелом тенденции роста объёма хищений у россиян. По его оценке, озвученной на SOC Forum 2025, в 2025 году объём краж в результате дистанционного мошенничества увеличился на 15–20%, а общий ущерб мог составить 340–360 млрд рублей.

Ещё одной серьёзной угрозой Кузнецов назвал возможный выход на российский рынок мошенников из других стран и регионов. Это может стать реальностью благодаря развитию лингвистических технологий, позволяющих практически в реальном времени переводить голосовые сообщения на любой язык.

RSS: Новости на портале Anti-Malware.ru