Android-троян FakeApp начал использовать DNS для сокрытия C2-связи

Android-троян FakeApp начал использовать DNS для сокрытия C2-связи

Android-троян FakeApp начал использовать DNS для сокрытия C2-связи

Специалисты «Доктор Веб» обнаружили в Google Play новые образцы трояна FakeApp, замаскированные под легитимные программы. Анализ показал, что для получения конфигурации фальшивки отправляют запрос к своему DNS-серверу.

Конфигурационные данные, в том числе ссылка для отображения целевого контента, отдаются FakeApp в виде файла TXT, и лишь при подключении через определенных провайдеров — например, поставщиков мобильного интернета.

Новобранец Android.FakeApp.1669 может имитировать различные приложения. Некоторые фейки уже удалены с Google Play, на десяток оставшихся в настоящее время суммарно приходится более 2,1 млн загрузок.

 

Для подачи DNS-запросов к C2 (выявлено два, в Германии и Нидерландах, оба в одной и той же AS-сети) используется модифицированная opensource-библиотека dnsjava. Полученная в ответ TXT-запись содержит имя домена вида 3gEBkayjVYcMiztlrcJXHFSABDgJaFNNLVM3MjFCL0RTU2Ftc3VuZyAg[.]simpalm[.]com.

В префиксе закодированы данные о зараженном устройстве:

  • модель и бренд;
  • размеры экрана;
  • уровень заряда батареи;
  • наличие / отсутствие режима разработчика;
  • идентификатор, сгенерированный на основе времени заражения.

Полученный URL троян загружает в WebView поверх своего основного интерфейса. Ссылка запускает цепочку редиректов, приводящую на целевой сайт — например, онлайн-казино, который и отображается жертве.

Примечательно, что запрашиваемые домены у фальшивок (модификаций Android.FakeApp.1669) различны. В тех случаях, когда вредонос не получает TXT-запись, он имитирует выполнение программы, за которую себя выдает.

Владелец ПВЗ чуть не стал миллионером на фиктивных возвратах

Владелец нескольких пунктов выдачи заказов (ПВЗ) в Красноярске наладил торговлю офисной бумагой, которую заказывал с постоплатой, а затем присваивал через фиктивный возврат. Такой побочный бизнес приносил ему крупный доход, однако правоохранительные органы квалифицировали схему как мошенничество в особо крупном размере.

О завершении предварительного расследования по делу, которым занимались сотрудники специализированного отдела МУ МВД России «Красноярское», сообщила официальный представитель МВД России Ирина Волк. Фигурантом стал житель Красноярска, владевший несколькими ПВЗ в разных районах города.

«По версии следствия, злоумышленник арендовал несколько телефонных номеров и с их помощью с октября 2024 по март 2025 года покупал на маркетплейсе товары с постоплатой на адреса своих ПВЗ. В основном это была офисная бумага в больших объёмах и другие ликвидные позиции, — приводит подробности представитель МВД. — Когда срок хранения доставленного подходил к концу, аферист оформлял возврат, но заказы оставлял себе и в дальнейшем сбывал по объявлениям в интернете. В общей сложности были похищены свыше пяти тысяч коробок офисной бумаги и другие товары на сумму более 10 миллионов рублей».

Материалы дела по ч. 4 ст. 159 УК РФ (мошенничество в особо крупном размере) переданы в Ленинский районный суд Красноярска для рассмотрения по существу. Обвиняемому может грозить до 10 лет лишения свободы.

RSS: Новости на портале Anti-Malware.ru