Новый Android-троян использует .NET MAUI для обхода защиты смартфонов

Новый Android-троян использует .NET MAUI для обхода защиты смартфонов

Новый Android-троян использует .NET MAUI для обхода защиты смартфонов

Специалисты McAfee выявили новые кампании по распространению Android-зловредов, в которых злоумышленники используют кросс-платформенный фреймворк .NET MAUI от Microsoft. Это позволяет им эффективно маскировать вредоносные приложения под легитимные сервисы и обходить антивирусные сканеры.

Несмотря на то что атаки затронули пользователей в Китае и Индии, эксперты McAfee предупреждают: подобный подход могут быстро подхватить другие киберпреступники.

.NET MAUI — это фреймворк для создания приложений на C#, представленный Microsoft в 2022 году в качестве замены Xamarin. Он позволяет разрабатывать приложения как для мобильных, так и для десктопных платформ.

В отличие от стандартных Android-приложений на Java или Kotlin, которые компилируются в формат DEX, .NET MAUI сохраняет логику приложения в виде бинарных blob-файлов. Современные средства защиты Android ориентированы на анализ DEX-файлов, но не проверяют blob-файлы, чем и пользуются злоумышленники.

Такой метод маскировки оказался даже эффективнее, чем традиционная подгрузка вредоносного кода через обновления — стандартный приём в большинстве атак на Android-устройства. Дополнительным преимуществом для злоумышленников является относительная редкость приложений на C# и blob-файлов на Android.

Кроме использования .NET MAUI, вредоносные приложения применяют многослойное шифрование (XOR и AES), поэтапное выполнение кода, раздувание файла AndroidManifest.xml случайными строками, а также установку соединения с C2-сервером через TCP-сокет.

«Эти методы позволяют зловредам долго оставаться незамеченными, серьёзно осложняя анализ и детектирование», — подчёркивают в McAfee.

В ходе расследования специалисты проанализировали несколько вредоносных APK-файлов, замаскированных под банковские, коммуникационные, социальные и дейтинг-приложения, включая подделку под X (бывший Twitter).

Правда ли MAX нельзя отвязать от Госуслуг: что показала проверка

В соцсетях разошлась тревожная информация о том, что если привязать мессенджер MAX к аккаунту на «Госуслугах», то потом вернуть обычное подтверждение входа по СМС уже не получится. Но, судя по доступным данным, это не так.

Источником обсуждения стал личный пост одного из пользователей, который рассказал о собственном опыте.

При этом сам автор не утверждал, что смена способа входа невозможна для всех. Более того, основной смысл его публикации вообще был в другом: он советовал установить дополнительный пароль в мессенджере. Но в соцсетях из этого текста выдернули одну фразу и превратили её в громкое утверждение.

Соответствующая инструкция показывает, что сменить способ подтверждения входа всё же можно. Для этого нужно зайти в профиль, открыть раздел «Вход в систему» и выбрать другой удобный вариант верификации.

Если MAX уже подключён, в настройках это отображается отдельно: система показывает, что вход осуществляется по паролю и одноразовому коду из мессенджера. После этого пользователь может выбрать другой способ подтверждения личности — например, СМС, одноразовый код TOTP или биометрию.

Дальше всё стандартно: нужно нажать кнопку продолжения, подтвердить решение о смене способа входа, получить код в СМС на привязанный номер телефона и ввести его в соответствующее поле. После этого вход снова будет работать по привычной схеме.

Иначе говоря, история о том, что после привязки MAX от него уже нельзя отказаться, пока не подтверждается. Похоже, в этот раз речь идёт скорее о типичном преувеличении, чем о реальной проблеме сервиса.

RSS: Новости на портале Anti-Malware.ru