SecuriDropper — новый Android-дроппер, обходящий защитные меры Google

SecuriDropper — новый Android-дроппер, обходящий защитные меры Google

SecuriDropper — новый Android-дроппер, обходящий защитные меры Google

Новая вредоносная модель «дроппер как услуга» (dropper-as-a-service, DaaS) используется для атак на владельцев мобильных Android-устройств. Её преимущество заключается в обходе актуальных защитных мер от Google.

Задача дроппера в этом случае — попасть на девайс жертвы и загрузить дополнительный пейлоад. SecuriDropper имеет все шансы стать прибыльным делом для создателей, которые готовы продать услугу киберпреступным группам.

О новой DaaS-модели рассказали специалисты компании ThreatFabric. В отчёте компании отмечается следующее:

«Дропперы, как и их авторы, постоянно совершенствуются, поскольку им нужно обходить новые защитные меры».

Например, SecuriDropper должен сводить на нет ограничения доступа к настройкам, которую представили в Android 13.

По замыслу Google, эта функциональность должна запрещать доступ скачанных из сторонних источников приложений к прочтению уведомлений и специальным возможностям ОС. Многие мобильные трояны используют именно эти лазейки, поэтому это весьма логичная защита.

Дроппер SecuriDropper, как правило, маскируется под безобидный софт и таким образом пытается уйти от детектирования. Известны следующие имена семплов вредоноса:

  • com.appd.instll.load (Google)
  • com.appd.instll.load (Google Chrome)

В ThreatFabric отметили технические аспекты инсталляции дроппера в ОС: этот зловред использует нетипичные API Android для установки нового пейлоада, что напоминает процесс установки софта из магазина приложений.

 

Вредоносной программе нужны следующие  разрешения: чтение и запись данных на внешнее хранилище (READ_EXTERNAL_STORAGE и WRITE_EXTERNAL_STORAGE), а также установка и удаление пакетов (REQUEST_INSTALL_PACKAGES и DELETE_PACKAGES).

По словам ThreatFabric, к услугам SecuriDropper прибегают такие известные банковские трояны, как SpyNote and ERMAC.

Взломанный телеграм-канал Гурулева сообщил о мобилизации

В телеграм-канале депутата Госдумы, генерал-лейтенанта запаса Андрея Гурулева появился громкий пост о том, что СВО якобы перешла в формат позиционного тупика, а осенью будто бы планируется новая мобилизация. Но сам парламентарий быстро дал понять: к публикации он отношения не имеет.

В разговоре с RTVI Гурулев заявил:

«Нет у меня телеграм-канала. Это не мой телеграм-канал».

А в своем канале в мессенджере МАКС написал, что его телеграм-аккаунт был украден, а тексты там распространяются врагами.

«Постараемся как можно скорее вернуть доступ, всем спасибо, не ведитесь на провокации!» — говорится в сообщении депутата.

Скандальный пост появился вечером 1 июня. В нем от имени Гурулева утверждалось, что продвижение российских войск замедлилось из-за насыщения передовой и ближнего тыла беспилотниками.

Там же говорилось о якобы принятом принципиальном решении провести новую мобилизацию осенью. До кучи в публикации были критические пассажи о дефиците топлива на юге России и безопасности трассы «Новороссия».

История выглядит особенно неприятно на фоне того, что личный аккаунт и канал Гурулева в Telegram уже подвергались взлому в конце мая. Тогда мошенники писали людям от имени депутата и требовали срочно перевести криптовалюту. В канале также появлялся пост о сборе средств в криптовалюте якобы на дроны для ВДВ, но позже его удалили.

После взлома Гурулев отдельно предупреждал: если от его имени приходят сообщения с просьбой перевести деньги, передать данные или срочно что-то сделать, реагировать не надо.

RSS: Новости на портале Anti-Malware.ru