Новый Android-бэкдор Wpeeper использует WordPress-сайты как ретрансляторы

Новый Android-бэкдор Wpeeper использует WordPress-сайты как ретрансляторы

Новый Android-бэкдор Wpeeper использует WordPress-сайты как ретрансляторы

Новый бэкдор, атакующий смартфоны на Android и получивший имя Wpeeper, выдает себя за популярный сторонний магазин приложений Uptodown App Store (насчитывает более 220 млн загрузок). Wpeeper отличается работой в связке со взломанными сайтами на WordPress.

Скомпрометированные веб-ресурсы используются в качестве ретрансляторов для командных серверов (C2), что помогает операторам уйти от детектирования.

Новый вредонос привлек внимание команды QAX XLab 18 апреля 2024 года. На бэкдор исследователи вышли при анализе неизвестного файла ELF, встроенного в APK. В тот момент на этот файл не реагировал ни один из антивирусных движков на площадке VirusTotal.

В отчете специалистов отмечается, что активность Wpeeper резко остановилась 22 апреля, скорее всего, чтобы не «засветиться» и не привлечь внимание исследователей.

Опираясь на данные Google и Passive DNS, команда XLab сделала вывод, что Wpeeper удалось заразить уже тысячи устройств. Однако истинный масштаб кампании по распространению бэкдора пока оценить нельзя.

 

В атаках Wpeeper особый интерес представляет использование скомпрометированных веб-сайтов на WordPress в качестве точек ретрансляции. Такой подход маскирует местоположение реальных командных серверов.

Любые команды, отправленные с C2, проходят через упомянутые ресурсы. Более того, такие команды зашифрованы AES и подписаны с использованием алгоритма ECDSA (задействуется криптография на эллиптических кривых).

 

Wpeeper может также динамически обновлять C2-серверы, поэтому если один из WordPress-сайтов выпал из схемы, на его место оперативно приходят другие. Основная задача Wpeeper — красть данные жертвы, список функциональных возможностей бэкдора выглядит так:

  1. Вытаскивать данные о зараженном устройстве: сведения об операционной системе и аппаратной составляющей;
  2. Формировать список всех установленных приложений;
  3. Получать новые адреса командных серверов и обновлять список источников;
  4. Регулировать частоту связи с командным сервером;
  5. Получать новый открытый ключ для верификации подписей команд;
  6. Загружать произвольные файлы с C2;
  7. Получать информацию о конкретных файлах, хранящихся на устройстве;
  8. Получать информацию о конкретных директориях на устройстве;
  9. Запускать команды;
  10. 10.Загружать и запускать файлы;
  11. 11.Обновлять вредоносную составляющую;
  12. 12.Удалять бэкдор с устройства;
  13. 13.Загружать файл с конкретного URL и запускать его.

Вслед за Т-Банком Сбер выпустил новый клиент для iPhone

Владельцам iPhone сегодня снова пришлось включать режим охоты за банковскими приложениями. Сразу два крупных российских банка выпустили новые версии своих клиентов для пользователей «яблочных» устройств: Сбер и Т-Банк.

Сначала обновился Т-Банк, разместив приложение под названием Toastmas. После установки и авторизации оно переименовывается в привычное пользователям приложение «Т».

В банке отдельно подчеркнули, что новая версия получила поддержку бета-версии iOS 27 и рекомендуется к установке как более безопасная и стабильная.

Не успели пользователи обсудить появление Toastmas, как в App Store обнаружилось новое приложение уже от Сбера. На этот раз под названием «Семейный онлайн».

 

Как и в случае с предыдущими появлениями банковских клиентов в App Store, пользователям рекомендуют не откладывать загрузку. Практика последних лет показывает, что такие приложения могут исчезать из магазина Apple в любой момент, поэтому владельцы iPhone традиционно стараются установить их как можно быстрее.

Ситуация примечательна тем, что сразу два крупнейших российских банка выпустили новые приложения практически в один день. Для пользователей iPhone это уже давно стало привычной реальностью.

Вместо классических обновлений через App Store банки периодически публикуют новые версии своих клиентов под нейтральными названиями, позволяя клиентам сохранить доступ к мобильному банкингу на устройствах Apple.

Поэтому если на вашем iPhone отсутствует актуальное приложение Сбера или Т-Банка, сегодня как раз тот день, когда стоит заглянуть в App Store. Судя по всему, сезон новых банковских приложений официально открыт.

RSS: Новости на портале Anti-Malware.ru