Mamont возвращается: обновлённый Android-троян готовится к массовым атакам

Mamont возвращается: обновлённый Android-троян готовится к массовым атакам

Mamont возвращается: обновлённый Android-троян готовится к массовым атакам

Отдел реагирования и цифровой криминалистики Angara MTDR завершил анализ новой версии вредоносных приложений для Android семейства Mamont, которые злоумышленники продолжают распространять под видом вложенных фотографий в объявлениях о продаже домашних вещей. Обновлённые варианты Mamont получили расширенную функциональность, направленную на кражу персональных данных.

Руководитель направления обратной разработки Angara MTDR Александр Гантимуров опубликовал результаты исследования новых модификаций зловреда в корпоративном блоге на платформе Habr.

Исследованные образцы представлены двумя разновидностями APK-файлов размером около 10 Мбайт, различающимися лишь незначительными деталями.

Как правило, такие приложения содержат в названии файла слово «фото» или photo. Они распространяются через мессенджеры и чаще всего прикрепляются к объявлениям о продаже домашних вещей, связанных с переездом. Ранее злоумышленники также использовали маскировку APK под изображения и видеоролики.

Вредонос предназначен для скрытого получения и отправки сообщений, сбора информации об устройстве, отправки USSD-команд, просмотра уведомлений и открытия произвольных веб-адресов. При запуске он запрашивает доступ к отправке и приёму СМС, к телефонным вызовам и камере.

После получения всех необходимых разрешений зловред открывает фишинговый ресурс, замаскированный под сервис хранения изображений. Его цель — сбор пользовательских данных. Однако в исследуемых версиях функции передачи информации с устройства реализованы лишь частично.

Связь с управляющим сервером осуществляется через клиент retrofit2, а данные передаются в формате JSON. В программный интерфейс внедрён механизм uploadVerificationData, который пока не активирован. Анализ кода показывает, что злоумышленники планируют расширить набор отправляемых данных, включая персональные сведения — вплоть до номеров документов.

По мнению Александра Гантимурова, это указывает на планы дальнейшего наращивания функциональности зловреда и расширения атак, в том числе с использованием данных, собранных с заражённых устройств. Всё это может свидетельствовать о подготовке масштабной кампании по массовому сбору и эксплуатации персональных данных.

Замедление Telegram привело к проблемам в работе Windows Update

Российские пользователи Windows столкнулись с трудностями при установке обновлений системы на фоне замедления работы мессенджера Telegram. Апдейты либо не загружаются вовсе, либо устанавливаются крайне медленно — процесс может растягиваться на несколько дней. В отдельных случаях сообщается о сбоях при загрузке самой операционной системы.

О проблемах сообщил телеграм-канал MASH. По его данным, сложности наблюдаются как у владельцев лицензионных, так и у пользователей неофициальных версий Windows.

Чаще всего система сообщает о невозможности подключения к серверам обновлений. У части пользователей это сопровождается нарушением нормальной загрузки ОС. В других случаях обновления всё же скачиваются, но процесс занимает значительно больше времени, чем обычно.

Авторы канала предполагают, что при замедлении Telegram могли быть затронуты сетевые ресурсы, используемые для доставки обновлений Windows.

Роскомнадзор заявил, что не имеет отношения к возникшим проблемам: «Решения уполномоченных органов в отношении сервисов Windows не поступали, меры ограничения к ним не применяются».

Официально замедление Telegram Роскомнадзор начал 10 февраля. При этом массовые жалобы на перебои в работе мессенджера стали появляться ещё накануне. Позднее появились сообщения и о возможной полной блокировке Telegram в России.

RSS: Новости на портале Anti-Malware.ru