APT Bahamut загружает на Android-устройства шпиона под видом VPN

APT Bahamut загружает на Android-устройства шпиона под видом VPN

APT Bahamut загружает на Android-устройства шпиона под видом VPN

Специалисты ESET выявили новую шпионскую кампанию APT-группы Bahamut. Злоумышленники раздают со своего сайта троянизированные VPN-приложения для Android, запуск которых возможен лишь при наличии кода активации. Это условие, а также отсутствие данных телеметрии об атаках позволили сделать вывод об узкой направленности текущей киберкампании.

Деятельность Bahamut обычно ограничена Южной Азией и Ближним Востоком. Данная APT-группа специализируется на кибершпионаже и для достижения своей цели использует spearphishing-рассылки и поддельные приложения. Преступники также проводят хакерские атаки на заказ.

Попавшая на радары ESET вредоносная кампания была запущена в начале этого года — об этом говорит дата регистрации поддельного сайта SecureVPN (2022-01-27), отдающего зараженные APK-файлы. Злоумышленники позаимствовали только имя легитимного VPN-сервиса, по стилю и контенту фейк thesecurevpn[.]com совсем не похож на оригинал (securevpn.com). Каким образом Bahamut привлекает визитеров, не установлено.

 

В загрузках на thesecurevpn[.]com обнаружено восемь вариантов фальшивого Android-приложения SecureVPN (номер версии включен в имя APK); ни один из них, по данным ESET, не появлялся в Google Play — в отличие от фейка, которым пользуется APT-группа SideWinder.

Анализ вредоносных APK показал, что их можно условно разделить на две группы — репаки SoftVPN (версии с 104 по 108) и OpenVPN (SecureVPN_109, SecureVPN_1010, secureVPN_1010b). И в том, и в другом случае в состав пакета включен известный по прежним атакам Bahamut кастомный шпион, а легитимный VPN-клиент исправно работает.

Первое поддельное приложение SecureVPN в рамках текущей APT-кампании было загружено на VirusTotal вместе со ссылкой на thesecurevpn[.]com 17 марта, с IP-адреса в Сингапуре.

Ключ активации, без которого и шпион, и легитимное VPN-приложение не будут работать, передается жертве, видимо, вместе со ссылкой на thesecurevpn[.]com — на самом сайте его не обнаружено. Вредонос проверяет введенный жертвой код, обращаясь к C2; если ввод корректен, сервер возвращает токен для дальнейших коммуникаций. К сожалению, подобный способ запуска помогает зловреду обходить песочницы.

При запуске шпион по команде начинает выкачивать сл смартфона информацию:

  • список контактов,
  • смс-сообщения,
  • журнал вызовов,
  • список установленных приложений,
  • данные геолокации,
  • учетные данные владельца устройства,
  • информацию об устройстве (тип интернет-соединения, IMEI, IP, данные сим-карты),
  • записи телефонных разговоров,
  • список файлов на внешнем накопителе.

Доступ к Accessibility Services позволяет зловреду воровать записи из SafeNotes и отслеживать сообщения и звонки в мессенджерах, в том числе в WhatsApp, Telegram, Signal, Viber, WeChat и IM-приложении Facebook (соцсеть запрещена в России).

Российский ИИ силён в науке, но застревает на пути к рынку

Россия стала третьей среди стран БРИКС и 20-й в мире по числу научных работ, представленных на десяти ведущих международных конференциях по машинному обучению и искусственному интеллекту. Результаты исследования опубликовал Наукометрический центр НИУ ВШЭ.

В 2020-2025 годах, по данным «Известий», российские организации представили 560 исследований, которые получили более 12,3 тыс. цитирований.

Средний показатель международной цитируемости составил 3,59 — выше, чем у Индии с её 3,10, несмотря на значительно меньший объём публикаций. Работ меньше, зато читают их заметно внимательнее.

Сильнее всего российская научная школа выглядит в математике машинного обучения, оптимизации и анализе формальных понятий. Заметные результаты также есть в компьютерном зрении и речевых технологиях.

Более 40% отечественных публикаций подготовлены при участии бизнеса. Среди компаний лидирует «Яндекс», среди университетов — НИУ ВШЭ и Сколтех, среди некоммерческих организаций — AIRI.

Но между хорошей статьёй и работающим продуктом всё ещё лежит довольно широкий технологический овраг. Развитию мешают дефицит вычислительных мощностей, ограниченный доступ к качественным данным и слабый перенос исследований в коммерческие решения. Отставание особенно заметно в обработке естественного языка, ИИ-агентах и инфраструктурных технологиях.

В Минцифры заявили, что намерены стимулировать спрос на отечественные ИИ-решения, развивать вычислительную инфраструктуру, совершенствовать регулирование и ускорять внедрение научных разработок.

RSS: Новости на портале Anti-Malware.ru