Android-вредонос Joker совершил очередной налёт на Google Play Store

Android-вредонос Joker совершил очередной налёт на Google Play Store

Android-вредонос Joker совершил очередной налёт на Google Play Store

Вредоносная программа для Android, известная всем под именем Joker, никак не отпускает Google Play Store. На этот раз авторы зловреда вернулись с целым набором новых трюков, помогающих Joker обойти сканеры официального магазина приложений.

«Джокер» известен экспертам с 2017 года. Вот уже четыре года тактика авторов вредоноса остаётся неизменной: Joker маскируют под легитимные приложения вроде игр, мессенджеров, редакторов фото, программ-переводчиков и обоев для рабочего стола.

Как только Joker попадает в систему, он начинает незаметно для пользователя имитировать клики, перехватывать СМС-сообщения и подписывать жертву на платные сервисы. Такие мобильные вредоносы получили отдельную категорию — fleeceware.

Как правило, жертва даже не подозревает о наличии вредоносного софта до того момента, как ей не приходит счёт на крупную сумму. Также fleeceware может передавать оператору сообщения, список контактов и информацию об устройстве.

С 2019 года Joker не раз проникал в Google Play Store, поскольку его авторы постоянно вносят мелкие детали в свою схему. Поэтому и наблюдались такие явления, как периодические волны атак «Джокера» на пользователей официального магазина. По данным специалистов Zimperium, за последние четыре года из Play Store удалили более 1800 приложений, заражённых Joker.

«Создатели вредоноса регулярно находят и воплощают новые методы обхода защитных барьеров Play Store. Рано или поздно зловреда, конечно, обнаруживают, однако он в очередной раз демонстрирует, насколько часто такой софт может модифицироваться — игра в "Кошки-мышки"», — пишет Zimperium в отчёте.

Последние версии Joker отмечались старанием скрыть истинные намерения приложения. В этом авторам вредоноса помогает инструмент для разработчиков с открытым исходным кодом — Flutter.  При использовании этого набора даже вредоносный код будет выглядеть для сканеров как безобидный.

Помимо этого, «Джокер» за последнее время научился встраивать пейлоад в качестве .DEX-файла, который обфусцируется разными методами. Как правило, злоумышленники прибегают к стеганографии, где изображение хранится на удалённом командном сервере (C2).

Чтобы спрятать URL командного центра, киберпреступники используют специальные сервисы для сокращения ссылок.

В Telegram заявили о замедлении MAX, подтверждений не нашлось

В телеграм-каналах начала расходиться информация о том, что Роскомнадзор якобы решил постепенно блокировать мессенджер MAX из-за активности мошенников. В постах даже приводили якобы цитату ведомства о том, что «безопасность россиян превыше всего», а сам мессенджер называли «рассадником мошенничества и порнографии».

Однако эта информация не подтвердилась.

Как выяснилось, скриншот, который активно распространяли в соцсетях и Telegram, был связан с публикацией «Баймакского вестника».

В ней со ссылкой на заявление замначальника полиции Екатеринбурга Андрея Ершова действительно говорилось, что мошенники начали осваивать и MAX. Но ни о какой блокировке или замедлении работы мессенджера речи там не было.

На официальных ресурсах Роскомнадзора подобных заявлений также нет. Не публиковали такую информацию и СМИ.

Наоборот, 18 марта MAX получил статус социальной сети. Это означает, что теперь каналы с аудиторией более 10 тысяч подписчиков должны проходить регистрацию через специальный бот.

Таким образом, сообщения о том, что Роскомнадзор начал готовить блокировку MAX, оказались фейком. Судя по всему, реальную новость о появлении мошенников в новом канале связи просто дополнили вымышленными деталями и в таком виде она быстро разошлась по Telegram.

RSS: Новости на портале Anti-Malware.ru