Nexus: преемник Android-трояна SOVA, нацеленный на 40 банковских приложений

Nexus: преемник Android-трояна SOVA, нацеленный на 40 банковских приложений

Nexus: преемник Android-трояна SOVA, нацеленный на 40 банковских приложений

Исследователи из Cyble обнаружили в даркнете рекламу нового банковского трояна для Android. Анализ образцов Nexus показал, что по коду он схож с SOVA v.5, а список приложений для кражи учетных данных содержит 40 позиций.

Эксперты полагают, что авторы SOVA попросту провели ребрендинг и обновили список атакуемых банков. Новобранец распространяется с помощью поддельных страниц YouTube Vanced, отдающих его под видом одноименного клиента. По состоянию на 12 марта вредоносный APK детектируют 26 из 64 антивирусов коллекции VirusTotal.

 

При первом запуске Nexus запрашивает доступ к Accessibility Service. Спецвозможности позволят банкеру расширить свой список разрешений, включить режим администратора, фиксировать ввод с клавиатуры.

Совокупно троян запрашивает 50 различных разрешений. Как минимум 14 из них используются для совершения следующих действий:

  • чтение, перехват и отправка СМС;
  • просмотр адресной книги, списка аккаунтов, текущих и недавно завершенных задач;
  • подмена хранимых контактных данных;
  • звонки без ведома пользователя;
  • чтение, запись и удаление файлов на внешней карте памяти;
  • отключение блокировки телефона и парольной защиты;
  • установка дополнительных приложений.

Командный сервер Nexus расположен в США; соответствующий IP-адрес выделен германскому хостинг-провайдеру Hetzner Online. Установив соединение, вредонос отсылает конфиденциальную информацию, в том числе журналы Accessibility и список установленных приложений.

Последний при получении сравнивается со списком целевых банковских программ на 40 позиций. При выявлении совпадений резидентному зловреду отдается команда enableinject с именем пакета, инициирующая загрузку HTML-кода. Фишинговая страница открывается в WebView при каждом запуске атакуемого приложения.

Новоявленный банкер умеет воровать 2FA-коды из Google Authenticator, сид-фразы для получения доступа к Trust и Exodus, а также информацию о балансе на этих кошельках. Кроме того, Nexus, как и SOVA v5, снабжен модулем для шифрования файлов на зараженном устройстве. Используемый алгоритм тот же — AES.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

В России расширили перечень сайтов, работающих при отключении интернета

Список российских сайтов и сервисов, которые продолжают работать даже во время отключений мобильного интернета по соображениям безопасности, снова расширен. Теперь в так называемый «белый список» вошли новые региональные и федеральные ресурсы — от госуслуг в сфере здравоохранения и образования до онлайн-кинотеатров и СМИ.

По информации ведомств, перечень пополнился социально значимыми сервисами ряда регионов, включая сайты, связанные с общественным транспортом, школами, медицинскими учреждениями, а также ресурсами администрации некоторых субъектов РФ.

На третьем этапе расширения в список добавлены и крупные федеральные платформы. Среди них:

  • Центробанк;
  • операторы связи «Сбермобайл», «Т-Мобайл», «Эр-Телеком»;
  • платформа «Россия — страна возможностей»;
  • государственные системы «Молодёжь России» и проект «Твой ход»;
  • СМИ «Известия» и ТАСС;
  • сервис недвижимости «Домклик»;
  • охранная система «Цезарь Сателлит»;
  • онлайн-кинотеатр Okko.

Работа над наполнением «белого списка» продолжается постоянно. В него включают самые востребованные российские интернет-ресурсы, а также сайты, которые рекомендуют федеральные и региональные органы власти. Решение о включении согласуется с ведомствами, отвечающими за безопасность.

Важно: попасть в перечень можно только официальным путём — любые альтернативные способы не предусмотрены. Кроме того, обязательное условие — все серверы и вычислительные мощности сервиса должны находиться на территории России.

AM LiveКак эффективно защититься от шифровальщиков? Расскажем на AM Live - переходите по ссылке, чтобы узнать подробности

RSS: Новости на портале Anti-Malware.ru