Новый Android-троян Fluhorse ворует СМС для перехвата 2FA-кодов

Новый Android-троян Fluhorse ворует СМС для перехвата 2FA-кодов

Новый Android-троян Fluhorse ворует СМС для перехвата 2FA-кодов

По словам Fortinet, объявившийся в мае Android-зловред создан с помощью SDK Flutter, что сильно затрудняет анализ. Новейший образец Fluhorse, изученный экспертами, использует также упаковщик для сокрытия вредоносной полезной нагрузки.

Набор инструментов Flutter с открытым исходным кодом позволяет на основе одних и тех же исходников выстраивать приложения, совместимые с Android, iOS, Linux, Windows. Реверс-инжиниринг таких программ затруднителен, и аналитики обычно воспринимают их как черный ящик.

Вирусописатели ценят эти свойства Flutter, но обычно используют его для создания элементов кросс-платформенного UI, поэтому сам зловред легко поддается анализу. Троян Fluhorse, как оказалось, — редкое исключение: его вредоносные компоненты встроены непосредственно в Flutter-код.

Майские семплы Fluhorse, по данным Fortinet, не использовали обфускацию либо сжатие. В этом месяце исследователям попался запакованный исполняемый файл. Зловред маскировался под легитимное приложение для контроля расходов на платных дорогах, популярное в Юго-Восточной Азии.

После запуска вредонос пытается выманить у жертвы и украсть учетные данные, а также ворует одноразовые коды 2FA: отслеживает входящие СМС-сообщения и пересылает их на свой сервер. Для распространения трояна обычно используются имейл-рассылки; на его счету уже более 100 тыс. загрузок.

Текущая версия Fluhorse (уровень детектирования 24/65 на момент анализа) была впервые загружена на VirusTotal 11 июня. Она отдается в виде APK-файла с сайта hxxps://fasd1[.]oss-ap-southeast-1.aliyuncs.com; обращения к нему из Азии, по данным телеметрии, наблюдаются с 12 июня.

Полезная нагрузка зашифрована (AES-128-CBC), архивирована, и итог обработан упаковщиком.

 

После установки в систему пейлоад загружает Flutter-приложение, которое при запуске запрашивает разрешения для мониторинга входящих СМС. Прослушка осуществляется в фоновом режиме, с этой целью зловреду придан Dart Telephony — легитимный Flutter-плагин с открытым исходным кодом.

Платежи по картам и СБП могут замедлиться из-за Росфинмониторинга

Передача сведений в Росфинмониторинг о платежах через Систему быстрых платежей и по банковским картам может привести к замедлению проведения операций. Введение новых требований оперативного надзора способно снизить скорость безналичных расчетов, а также повысить риск излишне жёсткого применения регуляторных норм, из-за чего часть транзакций может отклоняться.

Такую оценку высказал в комментарии для «Газеты.Ru» старший преподаватель кафедры банковского дела университета «Синергия» Дмитрий Ферапонтов.

По его словам, наибольшие сложности вероятны в так называемый «настроечный период», когда участники рынка будут адаптироваться к новым требованиям.

Росфинмониторинг получил дополнительные полномочия в рамках федерального закона, одобренного Госдумой 9 декабря. Документ вступит в силу с 1 сентября 2026 года. Порядок обмена данными должен быть закреплён отдельным соглашением между Росфинмониторингом и НСПК после его утверждения Банком России.

Ранее обязанность по передаче информации о платежах лежала на банках. Такая практика неоднократно подвергалась критике со стороны кредитных организаций из-за высокой административной нагрузки и сложности исполнения требований.

RSS: Новости на портале Anti-Malware.ru