Android-вредонос Joker совершил очередной налёт на Google Play Store

Android-вредонос Joker совершил очередной налёт на Google Play Store

Android-вредонос Joker совершил очередной налёт на Google Play Store

Вредоносная программа для Android, известная всем под именем Joker, никак не отпускает Google Play Store. На этот раз авторы зловреда вернулись с целым набором новых трюков, помогающих Joker обойти сканеры официального магазина приложений.

«Джокер» известен экспертам с 2017 года. Вот уже четыре года тактика авторов вредоноса остаётся неизменной: Joker маскируют под легитимные приложения вроде игр, мессенджеров, редакторов фото, программ-переводчиков и обоев для рабочего стола.

Как только Joker попадает в систему, он начинает незаметно для пользователя имитировать клики, перехватывать СМС-сообщения и подписывать жертву на платные сервисы. Такие мобильные вредоносы получили отдельную категорию — fleeceware.

Как правило, жертва даже не подозревает о наличии вредоносного софта до того момента, как ей не приходит счёт на крупную сумму. Также fleeceware может передавать оператору сообщения, список контактов и информацию об устройстве.

С 2019 года Joker не раз проникал в Google Play Store, поскольку его авторы постоянно вносят мелкие детали в свою схему. Поэтому и наблюдались такие явления, как периодические волны атак «Джокера» на пользователей официального магазина. По данным специалистов Zimperium, за последние четыре года из Play Store удалили более 1800 приложений, заражённых Joker.

«Создатели вредоноса регулярно находят и воплощают новые методы обхода защитных барьеров Play Store. Рано или поздно зловреда, конечно, обнаруживают, однако он в очередной раз демонстрирует, насколько часто такой софт может модифицироваться — игра в "Кошки-мышки"», — пишет Zimperium в отчёте.

Последние версии Joker отмечались старанием скрыть истинные намерения приложения. В этом авторам вредоноса помогает инструмент для разработчиков с открытым исходным кодом — Flutter.  При использовании этого набора даже вредоносный код будет выглядеть для сканеров как безобидный.

Помимо этого, «Джокер» за последнее время научился встраивать пейлоад в качестве .DEX-файла, который обфусцируется разными методами. Как правило, злоумышленники прибегают к стеганографии, где изображение хранится на удалённом командном сервере (C2).

Чтобы спрятать URL командного центра, киберпреступники используют специальные сервисы для сокращения ссылок.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

В Московском регионе задержаны предполагаемые авторы вредоноса Медуза

Полиция Москвы и Подмосковья задержала троих айтишников. Молодые люди подозреваются в причастности к созданию и распространению вредоносной программы «Медуза», а также к использованию ее в атаках на территории России.

В ходе расследования выяснилось, что ворующий данные зловред был создан около двух лет назад и продвигался через хакерские форумы. В мае этого года он засветился в атаке на одно из учреждений Астраханской области.

Те же вирусописатели создали еще один вредоносный продукт — бот, умеющий обходить средства защиты данных.

Следственным управлением УМВД по Астраханской области возбуждено уголовное дело по признакам преступления, предусмотренного ч. 2 ст. 273 УК РФ (создание / распространение / использование вредоносных программ в составе ОПГ, до пяти лет лишения свободы).

В ходе обысков у фигурантов были изъяты компьютерная техника, средства связи, банковские карты и другие предметы, имеющие доказательственное значение. Задержанным избраны различные меры пресечения, полиция пытается выявить других соучастников и дополнительные свидетельства противоправной деятельности.

О какой «Медузе» идет речь, можно только гадать. В пресс-релизе МВД РФ сказано, что зловред предназначен «для хищения учетных данных, сведений о криптокошельках и другой компьютерной информации».

По всей видимости, речь идет о Meduza Stealer, а не о банковском трояне Medusa, заточенном под Android, и уж явно не о шифровальщике с тем же именем.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru