Android-шпион в Google Play Store маскируется под VPN, используется APT

Android-шпион в Google Play Store маскируется под VPN, используется APT

Android-шпион в Google Play Store маскируется под VPN, используется APT

В Google Play Store нашли шпионскую программу для Android, явно разработанную профессионалами. Судя по всему, этим софтом пользуется киберпреступная группировка правительственного уровня.

Согласно анализу специалистов из Cyfirma, вредонос может собирать важные сведения с мобильного устройства жертвы: данные геолокации, список контактов и т. п. Эксперты считают, что операторами шпиона являются члены группировки DoNot (APT-C-35).

В целом обнаруженный Android-троян помогает злоумышленникам подготовить почву для более серьёзной атаки. То есть фактически шпион представляет собой первую ступень заражения, участвующую в сложных целевых кампаниях.

Вредоносное приложение маскируется под VPN и защищённый сервис обмена сообщениями. Софт с именами nSure Chat и iKHfaa VPN в официальный магазин загрузил разработчик «SecurITY Industry». В настоящее время программы доступны в Play Store.

Источник BleepingComputer

 

Малое число загрузок шпионского софта говорит о том, что он предназначен для узкого круга целей. Попав на устройство, оба приложения запрашивают подозрительные разрешения: доступ к списку контактов (READ_CONTACTS) и данным геолокации (ACCESS_FINE_LOCATION). Вся эта информация передаётся операторам зловреда.

 

Как выяснили исследователи из Cyfirma, код шпионских приложений заимствован у легитимного софта — Liberty VPN. Командный центр располагается под адресу https[:]ikhfaavpn[.]com.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Атаки Mamont на Android в России выросли в 36 раз за 2025 год

Эксперты «Лаборатории Касперского» рассказали, какие вредоносные программы для Android чаще всего атаковали пользователей в России в 2025 году. По их данным за январь–август, абсолютным «лидером» стал банковский троян Mamont — число его жертв выросло в 36 раз по сравнению с прошлым годом.

В числе других популярных угроз — бэкдор Triada, который даёт злоумышленникам почти полный контроль над заражённым смартфоном. Подробности специалисты озвучили на конференции Kaspersky CyberSecurity Weekend 2025 в Минске.

Mamont. Этот троян сразу просит доступ к СМС и пуш-уведомлениям на устройстве. Получив его, зловред использует данные для кражи денег через СМС-банкинг. Более «продвинутые» версии умеют перехватывать коды подтверждения, чтобы взламывать аккаунты в мессенджерах.

«В 2025 году число атакованных Mamont пользователей в России уже приближается к миллиону, — говорит Дмитрий Калинин, эксперт по кибербезопасности в „Лаборатории Касперского“. — У злоумышленников масса способов распространять трояна. Чаще всего он приходит в мессенджерах в виде фото или видео. Но если приглядеться, в названии файла будет .apk, то есть это не картинка, а установочный пакет программы. Мы встречали и другие маскировки: под приложение для удалённой работы, под трекер заказов из магазина или под обучающее приложение».

Triada. Этот зловред нередко встраивается прямо в прошивки поддельных смартфонов, которые внешне похожи на популярные модели.

«Мы видим, что кроме Mamont активно распространяется и Triada. Количество атакованных им пользователей в 2025 году выросло в пять раз по сравнению с прошлым годом, и речь идёт уже о сотнях тысяч, — отмечает Дмитрий Галов, руководитель Kaspersky GReAT в России. — Новая версия этого вредоноса умеет воровать аккаунты в мессенджерах и соцсетях, подменять номера при звонках, перехватывать СМС, следить за действиями в браузере. Более того, Triada может сама отправлять сообщения от имени жертвы в мессенджерах и тут же их удалять, чтобы скрыть следы».

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru