Новый банковский Android-троян MaliBot обходит 2SV Google

Новый банковский Android-троян MaliBot обходит 2SV Google

Новый банковский Android-троян MaliBot обходит 2SV Google

Эксперты F5 обнаружили в дикой природе нового банковского трояна для Android, способного воровать учетные данные, куки и коды двухфакторной аутентификации (2FA). Многофункциональный зловред, нареченный MaliBot, также активно взаимодействует с оператором, открывая VNC-доступ к зараженному устройству.

Анализ опасной находки показал, что это сильно измененный и доработанный код банкера SOVA, с другим набором функций, мишеней, адресов C2 и методов упаковки. В настоящее время вредонос досаждает в основном жителям Испании и Италии; список интересующих его банков включает UniCredit, Santander, CaixaBank и CartaBCC. 

Распространяется MaliBot через мошеннические сайты, чаще всего под видом некого приложения Mining X или популярного кошелька CryptoApp (оригинал в Google Play собрал более 1 млн загрузок). Иногда встречаются и другие маскировочные имена — MySocialSecurity, Chrome. 

Чтобы заманить владельцев Android на вредоносные сайты, операторы зловреда используют смишинг: MaliBot умеет по команде проводить групповые СМС-рассылки, получая текст (с URL) и список адресатов с C2-сервера. Последний находится в России и некогда использовался для распространения файлового вируса Sality.

Функции нового Android-трояна многочисленны и разнообразны и включают следующие возможности:

  • сбор информации о зараженном устройстве (IP-адрес, AndroidID, модель, используемый язык, список установленных приложений, текущее состояние); 
  • журналирование выполняемых операций (успех, провал, ошибки) и событий телефонии (вызовы, СМС);
  • запуск и удаление приложений;
  • отправка СМС;
  • проведение оверлейных и инжект-атак;
  • кража данных из криптокошельков (Binance и Trust);
  • кража кодов MFA/2FA, в том числе из Google Authenticator;
  • кража куки;
  • кража СМС;
  • обход двухэтапной аутентификации Google;
  • обеспечение VNC-доступа и захват экрана.

Для выполнения своих задач в полном объеме троян после запуска подключается к C2-серверу и запрашивает у жертвы разрешение на доступ к специальным возможностям Android (Accessibility Service). С той же целью он регистрирует службы фоновой обработки, записи экрана, Accessibility, уведомлений (чтобы надоедать жертве, если она не дает доступ к спецвозможностям), а также приемники для перехвата СМС, звонков, сигналов тревоги и регистрации boot-активности.

Возможность использования Accessibility API и прямая связь с зараженным устройством позволяют оператору MaliBot обойти 2FA-преграды Google и войти в аккаунт жертвы со своего компьютера, используя украденные идентификаторы. Резидентный зловред при этом работает с окнами подсказок, нажимая нужные кнопки и вводя одноразовый код, высланный на C2-машину.

Google упростила удаление личных данных и интимных фото из поиска

В интернете всегда найдётся кто-то, кто хочет узнать о вас больше, чем следовало бы. К счастью, у Google есть инструменты, которые помогают убрать лишнее из поисковой выдачи. Компания обновила сервис Results About You, который ищет и помогает удалить из выдачи страницы с вашими персональными данными.

Теперь инструмент умеет находить не только адреса и телефоны, но и номера документов, включая паспорт, водительские права и даже номер социального страхования (для США).

Чтобы система знала, что искать, пользователю нужно заранее добавить часть этих данных в настройках. Для водительских прав требуется полный номер, а для паспорта или SSN — только последние четыре цифры. После этого Google будет периодически сканировать выдачу и присылать уведомления, если найдёт совпадения.

Важно понимать: контент не исчезает из Сети полностью, но перестаёт отображаться в поиске Google, что для большинства пользователей уже существенно снижает риски.

Обновление коснулось и инструмента для удаления интимных изображений, опубликованных без согласия человека. Речь идёт как о реальных фото, так и о дипфейках и других сгенерированных ИИ материалах.

Теперь пожаловаться на такие изображения стало проще: достаточно нажать на три точки рядом с картинкой в поиске, выбрать «Удалить результат» и указать, что это интимное изображение. Google уточнит, настоящее это фото или дипфейк, а затем запустит проверку.

Кроме того, теперь можно добавлять сразу несколько изображений в одну заявку, что особенно актуально в эпоху, когда генеративный ИИ позволяют создавать подобный контент буквально за минуты.

Google также добавила возможность мониторинга: если функция включена, система будет автоматически отслеживать появление новых подобных изображений и предупреждать пользователя.

Поиск по ID уже доступен в Results About You. Обновлённый инструмент для удаления интимного контента начнёт появляться в ближайшие дни и будет постепенно распространяться на разные страны.

RSS: Новости на портале Anti-Malware.ru