Слив кода новейшей итерации SpyNote породил рост детектов Android-трояна

Слив кода новейшей итерации SpyNote породил рост детектов Android-трояна

Слив кода новейшей итерации SpyNote породил рост детектов Android-трояна

В IV квартале эксперты ThreatFabric зафиксировали заметное увеличение количества семплов SpyNote — семейства зловредов для Android с функциями шпиона, банкера и инструмента удаленного доступа. Исследователи полагают, что рост вредоносной активности связан с публикацией исходников версии C трояна, которую автор продавал под именем CypherRAT.

Вредонос SpyNote, он же SpyMax, известен ИБ-сообществу с 2016 года. Его основной задачей является слежка за действиями жертвы на Android-устройстве. В ThreatFabric различают три основных варианта мобильного трояна: A, B и C.

Последний развивался как кастомная версия с августа 2021 года; его можно было приобрести через частный Telegram-канал, собравший более 80 клиентов. В минувшем октябре вирусописатель выложил исходные коды CypherRAT (SpyNote.C) на GitHub, решив таким образом избавиться от многочисленных подделок; взамен он начал развивать новый коммерческий проект — CraxsRat — с такими же возможностями.

Стоит отметить, что CypherRAT отличается от предыдущих версий тем, что вдобавок к шпионским функциям (отслеживание СМС, звонков, аудио- и видеозаписи) умеет воровать учетные данные из банковских и некоторых других приложений. Вредонос также обеспечивает удаленный доступ к зараженному устройству, а использование спецвозможностей Android (Accessibility Service) позволяет ему обновляться и устанавливать новые приложения.

С октября прошлого года в базе ThreatFabric скопилось более 1100 образцов SpyNote; большинство из них представляют собой CypherRAT. Подобных зловредов обычно выдают за банковские приложения (HSBC, Deutsche Bank, Kotak Bank и т. п.), иногда — за клиенты WhatsApp, Facebook (признана экстремистской и запрещена в России), Google Play, игровое приложение, программу для установки обоев, инструмент повышения производительности.

 

В своей блог-записи эксперты привели список характерных особенностей CypherRAT:

  • использование Camera API для записи и отправки на C2 видеоматериалов;
  • определение текущих координат GPS и Network через взаимодействие со службой расположения Android (используется класс LocationManager);
  • кража учетных данных Google и Facebook с помощью фишинговых страниц-оверлеев;
  • извлечение 2FA-кодов из Google Authenticator;
  • регистрация клавиатурного ввода с целью кражи банковских учеток.

Чтобы затруднить анализ, CypherRAT использует строковую обфускацию и коммерческие упаковщики APK. Вся отсылаемая оператору информация кодируется по base64, что помогает скрыть местоположение хоста.

Возбуждено уголовное дело против пенсионерки, разыгравшей схему Долиной

В Туле возбудили уголовное дело в отношении местной пенсионерки, которая попыталась воспользоваться так называемой «схемой Долиной»: продать квартиру под влиянием мошенников, а затем вернуть её через суд. При этом деньги, полученные от покупателя, она возвращать не стала.

Как сообщил телеграм-канал «База», 70-летняя жительница Тулы действительно продала квартиру в 2024 году, находясь под воздействием телефонных аферистов.

Однако после сделки женщина осознала, что стала жертвой мошенников, и не стала переводить им вырученные средства.

За два месяца после продажи она успела потратить около 1,6 млн рублей на личные нужды. При этом затем пенсионерка обратилась в суд с требованием расторгнуть договор купли-продажи и вернуть квартиру.

Покупатель жилья, оставшийся и без недвижимости, и без денег, обратился в правоохранительные органы. По его заявлению было возбуждено уголовное дело по факту мошенничества.

Как сообщают региональные СМИ, покупатель намерен обжаловать судебное решение, по которому квартира осталась у прежней собственницы. Он и его адвокат изучают практику Верховного суда, который ранее признал право собственности на квартиру, проданную Ларисой Долиной, за Полиной Лурье.

На фоне резонанса вокруг подобных дел в Туле появилась и бизнес-инициатива: местная предпринимательница Светлана Овсянникова подала заявку на регистрацию товарного знака «Бабушкина схема Долиной». Под этим названием планируется запуск сервиса по проверке сделок с недвижимостью.

В целом ситуация, получившая название «эффект Долиной», уже привела к тому, что российские суды всё чаще возвращают прежним владельцам квартиры и другую недвижимость, проданную под воздействием телефонных мошенников.

RSS: Новости на портале Anti-Malware.ru