BankBot-YNRK: новый Android-вредонос, крадущий банковские и криптоданные

BankBot-YNRK: новый Android-вредонос, крадущий банковские и криптоданные

BankBot-YNRK: новый Android-вредонос, крадущий банковские и криптоданные

Специалисты компании Cyfirma сообщили о новом мощном Android-трояне Android/BankBot-YNRK, который активно атакует владельцев мобильных устройств. Злоумышленники распространяют вредонос под видом официального приложения цифрового ID — «Identitas Kependudukan Digital».

Исследователи проанализировали три версии заражённого APK-файла и выяснили, что все они принадлежат одному семейству вредоносов: у них схожая структура кода, имена пакетов и схема связи с командным сервером (C2).

По данным Cyfirma, злоумышленники просто перепаковали оригинальное приложение, чтобы замаскировать вредоносный код.

BankBot-YNRK сочетает множество продвинутых функций — от антиэмуляции и отслеживания устройства до злоупотребления службами доступности (Accessibility Services) и полного удалённого управления смартфоном.

При запуске троян сначала проверяет, реальный ли это телефон или эмулятор, анализируя параметры устройства, производителя и разрешение экрана. Если видит, что работает в «песочнице», — ничего не делает, чтобы не выдать себя анализаторам.

Если устройство настоящее, троян просит включить специальные возможности ОС, выдавая себя за легитимное приложение. После получения доступа он может разблокировать экран, нажимать кнопки, открывать банковские приложения, перехватывать буфер обмена и пароли — без участия пользователя.

Троян использует службу JobScheduler, перезапуская свои процессы каждые 30 секунд, а также регистрируется как Device Administrator, что делает его практически неудаляемым.

BankBot-YNRK также отключает все системные звуки и уведомления, чтобы пользователь не заметил подозрительной активности, пока вредонос работает в фоне.

 

Вредонос связывается с командным сервером ping[.]ynrkone[.]top:8181, куда отправляет данные о смартфоне, список установленных приложений и статус разрешений. Cyfirma отмечает, что сервер действует как «чат-комната» для заражённых устройств, через которую операторы рассылают команды.

Помимо банковских приложений, троян атакует криптокошельки — MetaMask, Trust Wallet, Coin98 и Exodus. Используя доступ к службам доступности, он считывает сид-фразы, баланс и выполняет транзакции от имени пользователя. При этом троян умеет автоматически обходить биометрические проверки, имитируя действия настоящего владельца.

Чтобы не вызвать подозрений, BankBot-YNRK умеет менять иконку и название, выдавая себя за приложение Google Новости. Он даже открывает настоящую страницу news.google.com в окне WebView — пока в фоне продолжает воровать данные.

По словам Cyfirma, это один из самых сложных и опасных банковских троянов за последние годы. Эксперты рекомендуют пользователям загружать приложения только из официального Google Play, проверять разрешения и не включать службы доступности по требованию незнакомых программ.

32 млрд опасных переходов: школы накрыло волной вредоносной рекламы

С конца февраля по середину мая 2026 года в российских школах и колледжах заблокировали 32,1 млрд попыток обращения к вредоносным ресурсам. Такие данные привели аналитики ГК «Солар», изучившие работу системы фильтрации интернет-трафика в Единой сети передачи данных (ЕСПД).

Больше всего подозрительной активности зафиксировали в Центральном и Приволжском федеральных округах. На каждый из них пришлось примерно по 8,9 млрд заблокированных обращений — в сумме это более половины всех попыток по стране.

Самый любопытный момент связан со временем всплеска активности. Пик пришёлся на период подготовки к пробным ЕГЭ, ОГЭ и ВПР. По словам специалистов, школьники активно искали ответы к экзаменам, шпаргалки и готовые решения, а мошенники этим воспользовались.

Вместо полезных материалов дети нередко попадали на заражённые сайты или скачивали файлы с вредоносным кодом. Такие ссылки злоумышленники распространяют через рекламу, социальные сети и другие популярные площадки.

Главным источником угроз оказалась так называемая вредоносная реклама. На неё приходится от 60% до 85% всех блокировок. Достаточно кликнуть по баннеру или объявлению, чтобы оказаться на фишинговом сайте или запустить загрузку опасного файла.

На втором месте — социальные сети. Мошенники взламывают аккаунты, рассылают ссылки от имени друзей и публикуют вредоносные материалы через рекламу и сообщества.

Не обошлось и без нейросетей. За два месяца система зафиксировала более 51 тысячи попыток обращения к сервисам вроде DeepSeek, ChatGPT и Perplexity. Особенно активно ИИ-инструментами интересовались учащиеся Приволжского, Сибирского и Центрального округов.

При этом сами нейросети не считаются вредоносными ресурсами. Их выделяют в отдельную категорию, а доступ регулируется внутренними правилами фильтрации.

По мнению специалистов, одной технической защиты уже недостаточно. Пока школьники продолжают доверять ссылкам с обещаниями ответов на экзамены, розыгрышей и лёгких решений, мошенники будут находить новые способы заманить их на опасные сайты.

RSS: Новости на портале Anti-Malware.ru