Упрямый Android-зловред Joker опять просочился в Google Play Store

Упрямый Android-зловред Joker опять просочился в Google Play Store

Упрямый Android-зловред Joker опять просочился в Google Play Store

На Google Play найдено больше десятка приложений, загружающих троянскую программу Joker. С этим Android-зловредом Google борется уже несколько лет, но его создатели проявляют большое упорство и изобретательность, вновь и вновь обходя все проверки в магазине, чтобы вернуть свое детище на прилавок.

Троян Joker, он же Bread, появился на интернет-арене в 2017 году. К началу 2020-го Google совокупно удалила более 1,7 тыс. приложений, зараженных с целью распространения зловреда, а в минувшем сентябре его дважды пришлось изгонять из магазина.

Эта вредоносная программа примечательна тем, что скрытно оформляет подписку на премиум-услуги. Она также умеет перехватывать СМС, воровать конфиденциальные данные и список контактов, устанавливать бэкдор, генерировать фейковые отзывы, навязчиво показывать рекламу.

Для обхода защиты Google Play авторы Joker применяют различные уловки, привнося изменения в код. Так, два года назад исследователи из Trend Micro обнаружили, что троян стал прятать полезную нагрузку на GitHub. Анализ зараженных программ, найденных в этом году, показал, что зловред начал обращаться к C2-серверу, используя возможности Google-платформы Firebase.

Такое поведение демонстрировали следующие приложения (уже удалены из магазина):    

  • com.daynight.keyboard.wallpaper (Keyboard Wallpaper)
  • com.pip.editor.camera2021 (PIP Photo Maker 2021)
  • com.light.super.flashlight (Flashlight)
  • com.super.color.hairdryer (Sound Prank Hair Clipper, Fart, Crack Screen Prank)
  • com.super.star.ringtones (Pop Ringtones)
  • org.my.favorites.up.keypaper
  • com.hit.camera.pip
  • com.ce1ab3.app.photo.editor
  • cool.girly.wallpaper (SubscribeSDK; найден на VirusTotal)
  • com.photo.modify.editor (Picture Editor)
  • com.better.camera.pip (PIP camera – Photo Editor)
  • com.face.editor.photo (Photo Editor)
  • com.background.wallpaper.keyboard (Keyboard Wallpaper)

Как оказалось, авторы Joker также сменили полезную нагрузку и теперь используют дроппер. Его код сильно обфусцирован, каждая строка кодируется по base64, а затем применяется шифр AES. Ключ для расшифровки зловред запрашивает с C2-сервера.

Примечательно, что, попав на устройство, дроппер также собирает и отправляет своим хозяевам метаданные — информацию об источнике ссылки (рефере). Это навело исследователей на мысль, что Google Play в данном случае лишь один из каналов распространения инфекции.

После запуска основного модуля Joker собирает данные о зараженном устройстве и номер телефона. После этого он скачивает с C2-сервера код JavaScript и URL премиум-сервиса, а также создает в Actibity контейнер WebView для загрузки целевой страницы. Сценарий JavaScript при этом используется для автоматического оформления подписки.

Сайты, в пользу которых работает Joker, находятся в разных регионах и оформлены на различных языках — английском, немецком, португальском, испанском, арабском, тайском. Некоторые из них используют CAPTCHA, но зловред с успехом ее обходит. Каким образом его операторы извлекают выгоду из этого поведения, непонятно: все эти премиум-сервисы не предусматривают выплат за привлечение подписчиков. Однако повелителям Joker, по всей видимости, это зачем-то нужно, раз они так упорно стремятся сохранить все присутствие на Google Play.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Мошенники запустили фейковую акцию с дивидендами ко Дню единства

Компания F6 зафиксировала крупную фишинговую кампанию, приуроченную ко Дню народного единства. Злоумышленники создали более 300 сайтов-приманок, где публиковали ложную новость о том, что всем гражданам России якобы положены выплаты по 75 тысяч рублей от продажи нефти и газа.

На этих сайтах пользователей убеждали, что деньги «начисляют до 4 ноября» — достаточно лишь выбрать возрастную категорию и указать свои ФИО и номер телефона.

После этого, как отмечают в F6, человеку звонит «персональный менеджер» и предлагает внести небольшой взнос, чтобы «увеличить капитал». Кончается всё предсказуемо — потерей всех средств.

Чтобы усилить доверие, мошенники разместили на страницах фейковые отзывы от имени «граждан», которые якобы уже получили выплаты.

Эксперты F6 направили данные более 300 мошеннических доменов на блокировку.

«Мы видим, как злоумышленники начали использовать не только традиционные праздники — вроде Нового года, 23 февраля или 8 марта, — но и другие даты, которые ассоциируются с государственными выплатами или подарками, — рассказывает Анастасия Мамынова, ведущий аналитик департамента Digital Risk Protection компании F6. — Ранее они запускали “акции” даже в честь Масленицы, а теперь добрались до Дня народного единства».

F6 напоминает: любые обещания лёгких денег — повод насторожиться. Государственные выплаты никогда не оформляются через сторонние сайты и тем более не требуют ввода личных данных или предварительных «взносов».

Главное правило — не переходить по подозрительным ссылкам и не верить в «дивиденды от нефти и газа». Это классическая схема инвестиционного мошенничества, цель которой — выманить ваши деньги под видом «выгодных вложений».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru