Roaming Mantis вернула возможность подмены DNS своему Android-зловреду

Roaming Mantis вернула возможность подмены DNS своему Android-зловреду

Roaming Mantis вернула возможность подмены DNS своему Android-зловреду

Эксперты «Лаборатории Касперского» обнаружили, что Android-троян, используемый кибергруппой Roaming Mantis, вновь обрел способность подменять DNS-настройки для перенаправления жертв на лендинг-страницы своих хозяев. Новый механизм Wroba пока ориентирован на роутеры определенных моделей, однако нельзя исключить, что в ближайшее время его потенциал расширится.

Деятельность Roaming Mantis эксперты отслеживают с 2018 года. Данная группировка использует вредоносную программу Wroba, она же Moqhao, для кражи данных с мобильных устройств и фишинга.

Вначале злоумышленники проводили атаки только в Азии, взламывая Wi-Fi-роутеры и меняя настройки DNS, а затем переключились на смишинг и стали появляться в других регионах, в том числе в России. Троян Wroba всегда помогал Roaming Mantis заниматься фишингом — использовал модуль DNS changer, рассылал СМС-сообщения с вредоносными URL.

 

В сентябре прошлого года в Kaspersky провели анализ нового семпла Wroba и обнаружили реализацию DNS changer, заточенного под роутеры, популярные в Южной Корее. Зловред определял модель на основе дефолтного IP-адреса и вшитых в код параметров, затем подключался к заданному аккаунту vk.com и получал адрес сервера, отдающего текущие IP для подмены DNS-настроек роутера.

Авторы атак Roaming Mantis могут использовать угон DNS не только с целью фишинга, но также для дальнейшего распространения инфекции. Если зараженное Andriod-устройство подключится к публичной Wi-Fi-сети, использующей роутер атакуемой модели, Wroba изменит его DNS-настройки, и вредоносные APK осядут на других устройствах в сети.

По данным Kaspersky, вредонос до сих пор активно раздается в некоторых регионах. В декабре список стран, атакуемых Roaming Mantis, пополнили Австрия и Малайзия. По числу загрузок троянских APK на тот момент лидировали Япония (24 645), Австрия (7354), Франция (7246) и Германия (5827). России в этом списке не оказалось.

Судя по URL загрузок, во всех странах, кроме Южной Кореи, злоумышленники использовали смишинг. Данные телеметрии показали, что уровень заражения наиболее высок во Франции (54,4% детектов), Японии (12,1%) и США (10,1%).

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Банки обяжут возвращать клиентам цифровые рубли, переведенные мошенникам

После ввода в оборот цифрового рубля возврат банками таких средств, украденных мошенниками, будет осуществляться по тем же правилам, которые сейчас действуют в отношении безналичных операций по клиентским счетам.

Если кредитно-финансовая организация одобрила перевод по реквизитам, внесенным в черные списки Банка России, она должна будет возместить клиенту потери.

Запустить цифровой рубль в стране регулятор планировал в этом году, но в итоге пришлось отложить внедрение проекта еще на год. Тестирование новой формы нацвалюты еще не завершено, однако она уже начала входить в репертуар обуреваемых жаждой наживы мошенников.

Опрошенные «Известиями» эксперты отметили, что отслеживать переводы мошенникам в цифровых рублях будет легче: доступ к кошелькам с уникальными кодами не привязан к конкретному банку, их хранение осуществляется на специальной платформе Центробанка.

Все транзакции при этом фиксируются, однако для успешного противодействия мошенничеству придется ввести мониторинг в реальном времени и создать новую базу данных злоумышленников.

Закон, обязывающий банки отслеживать платежи мошенникам, согласуясь с черными списками ЦБ, вступил в силу в июле 2024 года. При обнаружении данных получателя в этой базе кредитная организация должна заблокировать перевод и уведомить инициатора; в противном случае ей придется в течение 30 дней вернуть клиенту средства, украденные аферистами.

Во II квартале 2025 года регулятор зафиксировал 273 тыс. мошеннических транзакций общим объемом 6,3 млрд рублей. Банки возместили жертвам обмана 5,2% этой суммы.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru