Android-троян Arsink прячется в облаках Google и заражает тысячи устройств

Android-троян Arsink прячется в облаках Google и заражает тысячи устройств

Android-троян Arsink прячется в облаках Google и заражает тысячи устройств

Исследователи обнаружили масштабную кампанию с использованием нового Android-трояна Arsink, открывающего удалённый доступ к девайсу жертвы. Вредонос не просто ворует данные, а фактически отдаёт заражённое устройство под полный контроль злоумышленников. При этом он умело прячется за легитимными сервисами Google и популярными мессенджерами.

По данным аналитиков, Arsink активно использует доверенную облачную инфраструктуру для управления и вывода данных.

В одних сборках вредонос загружает фото, аудио и другие крупные файлы через Google Apps Script прямо в Google Drive. В других — опирается на Firebase Realtime Database и Firebase Storage, иногда дополняя схему телеграм-ботами для быстрой эксфильтрации. Такой подход позволяет маскировать C2-трафик под обычную работу облачных сервисов.

Масштабы кампании впечатляют. За время наблюдений специалисты зафиксировали 1 216 уникальных APK-хешей, что говорит о постоянной пересборке вредоносных приложений и высокой «текучке» версий. Из них 774 образца содержали логику загрузки данных через Google Apps Script, а всего было обнаружено 317 уникальных Firebase-ендпоинтов, использовавшихся как C2 или хранилища. Анализ инфраструктуры позволил восстановить около 45 тыс. уникальных IP-адресов жертв.

 

Распространяется Arsink в основном через социальную инженерию. Вредоносные APK распространяют в телеграм-каналах, Discord-сообществах и через прямые ссылки на файлообменники вроде MediaFire. В качестве приманки используются поддельные версии приложений более чем 50 известных брендов — от Google, YouTube и WhatsApp до Instagram, Facebook (WhatsApp, Instagram, Facebook принадлежат корпорации Meta, признанной экстремисткой и запрещённой в России) и TikTok.

Чаще всего это версии «mod», «pro» или «premium», которые обещают расширенные функции, но на деле почти не имеют полезной функциональности.

После установки такие приложения быстро запрашивают опасные разрешения и практически незаметно уходят работать в фоне. Исследователи выделили несколько операционных вариантов Arsink: версии с Firebase и Apps Script, варианты с прямой отправкой данных в Telegram, а также дропперы, которые извлекают вторичный APK прямо из ресурсов приложения.

Возможности трояна весьма широки. Он собирает идентификаторы устройства, внешний IP-адрес, приблизительное местоположение, адреса Google-аккаунтов, СМС-сообщения, журналы вызовов и контакты. Помимо этого Arsink может записывать звук с микрофона, перечислять фото и файлы во внешнем хранилище, управлять файлами, инициировать звонки, включать фонарик, вибрацию, выводить сообщения и даже стирать данные на карте памяти.

В Google подчеркнули, что известные версии Arsink не распространяются через Google Play, а Play Protect может блокировать подозрительные приложения, включая установленные из сторонних источников.

Яндекс Карты теперь показывают ограничения скорости и направление камер

Яндекс Карты обновили режим навигации: теперь сервис заранее показывает ограничения скорости на следующих участках маршрута и направление двух ближайших дорожных камер. Водитель сможет понять, где придётся тормозить, ещё до того, как знак внезапно возникнет перед капотом.

Раньше приложение отображало разрешённую скорость только на текущем отрезке дороги.

Теперь на маршруте появится последовательность ограничений. Например, Карты предупредят, что сначала разрешено ехать 80 км/ч, после развязки — 60 км/ч, а затем — 40 км/ч.

Это позволит заранее и плавно снизить скорость, не устраивая экстренное торможение у знака. В Яндексе заявили, что пилотное тестирование функции уже показало её положительное влияние на соблюдение скоростного режима.

 

Сервис также стал подробнее рассказывать о камерах. В навигаторе можно увидеть, на какую полосу направлено устройство и какой поток оно контролирует — встречный или попутный.

Если камера измеряет скорость автомобиля уже после его проезда, приложение дополнительно предупредит об этом голосом. Решение полезное для тех, кто считал, что после корпуса камеры можно сразу возвращаться к привычному темпу. Теперь электронный наблюдатель получит в интерфейсе не только координаты, но и направление взгляда.

Новые функции должны сделать поездки по городу и трассе более предсказуемыми. Водителю не придётся гадать, какое ограничение ждёт впереди и интересуется ли ближайшая камера именно его полосой.

RSS: Новости на портале Anti-Malware.ru