Нового шпиона для Android связали с деятельностью российской APT-группы

Нового шпиона для Android связали с деятельностью российской APT-группы

Нового шпиона для Android связали с деятельностью российской APT-группы

На ландшафте киберугроз появился ранее неизвестный вредонос для Android-устройств, который, по словам экспертов, связан с группировкой Turla. Зловред, судя по всему, использует инфраструктуру, относящуюся к деятельности знаменитой APT-группы.

На Западе Turla принято относить к операциям российских правительственных хакеров. Эта кибергруппировка известна своими атаками на европейские и американские системы. Основной интерес злоумышленников — шпионаж. Ранее исследователи связывали бэкдор Sunburst с кампаниями Turla. Напомним, что этот вредонос использовался для атаки на цепочку поставок SolarWinds (декабрь 2020 года).

Теперь специалисты компании Lab52 заподозрили связь нового Android-зловреда с Turla. На просторах Сети был найден вредоносный APK (детектирование на VirusTotal) под названием “Process Manager”, который проявлял признаки шпиона, ворующего информацию и передающего её операторам.

Исследователи пока затрудняются сказать, как именно распространяется это вредоносное приложение, однако после установки оно пытается скрыть своё присутствие в системе. Иконка вредоноса маскируется под системный компонент, чтобы пользователь не удалил его.

После первого запуска Android-шпион запрашивает у владельца мобильного устройства целых 18 разрешений, среди которых, например, доступ к камере, интернету, чтению СМС-сообщений, записи аудио, чтению и записи на внешнее хранилище, отправка СМС и т. п. При этом непонятно, использует ли вредонос специальные возможности Android Accessibility Services.

“Process Manager” собирает логи, списки контактов, текстовые сообщения, аудиозаписи, уведомления о мероприятиях и отправляет всё это в формате JSON на командный сервер (C2), расположенный по адресу 82.146.35[.]240. Несмотря на то что точный метод распространения зловреда неизвестен, можно предположить, что он доставляется через фишинговые письма или с помощью социальной инженерии. Именно эти методы в почёте у Turla.

Кроме того, команда Lab52 также выяснила, что “Process Manager” загружает дополнительный пейлоад напрямую из Google Play Store. Это довольно популярное приложение под именем “Roz Dhan: Earn Wallet cash”, насчитывающее 10 млн загрузок.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Privacy Sandbox всё: Google признала провал борьбы со слежкой за юзерами

Команда Google, отвечающая за развитие Privacy Sandbox, объявила о сворачивании проекта, призванного найти баланс между стремлением пользователей сохранить приватность и желанием рекламщиков отслеживать их интересы.

Большинство технологий и API, созданных в рамках Privacy Sandboх, будут изъяты из репертуара Chrome и Android. В Google официально признали, что их шестилетние усилия по замене куки-трекинга более приемлемым решением оказались провальными.

Разработчики планировали вооружить рекламодателей инструментами для таргетинга и аналитики и при этом исключить идентификацию пользователей на основе куки. Проект Privacy Sandbox развивался как набор API — сначала для веба, потом и для Android.

Из-за сопротивления отрасли и низкого уровня внедрения предлагаемых новшеств Google никак не удавалось ввести блокировку сторонних куки в своих продуктах, и в итоге она была вынуждена завершить самостоятельные поиски альтернативы.

Из всех наработок на этом направлении было решено сохранить освоенные коллегами по цеху CHIPS (раздельное хранение куки-файлов в привязке к доменам верхнего уровня), FedCM (объединение сервисов идентификации, обеспечивающих конфиденциальность и работающих без сторонних куки) и Private State Token (идентификация пользователей по токену, сгенерированному на сайте в ходе авторизации и хранимому в браузере).

Технологии и API, поддержка которых будет прекращена в Chrome и Android:

  • Attribution Reporting — оценка эффективности рекламы без нарушения конфиденциальности; будет заменена API Attribution стандарта W3C;
  • IP Protection — сокрытие IP-адреса пользователя при посещении сайтов;
  • On-Device Personalization — персонализация работы пользователя на Android-устройстве, использующая локально хранимые данные (защита от компаний, с которыми юзер не взаимодействовал);
  • Private Aggregation агрегирование данных, используемых разными сайтами (частота посещений, демография);
  • Protected Audience — работа с пользователями, ранее посещавшими сайт;
  • Protected App Signals — сохранение информации о работе пользователя с приложениями в интересах показа рекламы;
  • Related Website Sets — определение взаимосвязи между сайтами, на основе которой браузеры могут допускать ограниченный межсайтовый доступ к данным;
  • SelectURL — отображение контента в iframe на основе межсайтовых данных о пользователе из общего хранилища (данные хранятся в формате ключ-значение и без привязки к домену);
  • SDK Runtime — возможность запуска сторонних библиотек в изолированном процессе (отдельно от процесса Android-приложения);
  • Topics (заменил API FLoC) — собирает данные о предпочтениях пользователей Chrome и Android на основе активности в браузере, но без использования куки.
AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru