В России нашли 9 тысяч новых Android-смартфонов с вредоносом

В России нашли 9 тысяч новых Android-смартфонов с вредоносом

В России нашли 9 тысяч новых Android-смартфонов с вредоносом

Вредоносное приложение Keenadu по состоянию на начало февраля обнаружено на 13 тыс. новых Android-смартфонов по всему миру, из них около 9 тыс. — в России. Заражение происходило через цепочки поставок: устройства поступали к покупателям уже с внедрённым зловредом.

О кампании сообщили «Ведомости» со ссылкой на «Лабораторию Касперского». По словам эксперта компании Дмитрия Калинина, производители не знали о заражении: зловред имитировал штатные системные компоненты, и выявить такую атаку без жёсткого контроля всей цепочки поставок крайне сложно.

Keenadu может встраиваться в предустановленные приложения, а также распространяться через магазины приложений. Так, специалисты «Лаборатории Касперского» обнаружили в Google Play несколько приложений, заражённых этим зловредом. Речь шла о программах для управления видеокамерами в системах «умного дома».

Основное назначение Keenadu — рекламное мошенничество. Заражённые устройства используются как боты, имитирующие переходы по рекламным ссылкам, что приносит злоумышленникам значительный доход.

«Это высокорентабельный криминальный бизнес. Чем больше ботов в сети, тем выше доход. Прибыль в миллионы долларов с одной кампании многократно покрывает затраты на её организацию», — прокомментировала бизнес-партнёр по кибербезопасности Cloud.ru Юлия Липатникова.

При этом функциональность Keenadu не ограничивается рекламными схемами. Некоторые версии, по словам Дмитрия Калинина, позволяют получить полный контроль над устройством или похищать данные. Зловред способен отслеживать поисковые запросы даже в режиме инкогнито браузера Google Chrome, заражать уже установленные приложения и устанавливать новые из APK-файлов. Также возможна кража биометрических данных, если вредонос внедрён в компонент системы, отвечающий за разблокировку устройства по распознаванию лица.

Набор возможностей зависит от способа установки. Если зловред внедрён как системный компонент, он не заражает другие приложения, но может устанавливать сторонние APK-файлы.

При этом Keenadu не активируется, если в системе выбран один из китайских диалектов. Кроме того, он не функционирует на устройствах без сервисов Google и Google Play.

Руководитель отдела защиты информации InfoWatch ARMA Роман Сафиуллин назвал ситуацию классическим примером атаки на цепочку поставок. Такой подход позволяет заражать сразу большое количество устройств. Вредонос может быть внедрён на разных этапах жизненного цикла продукта: через заражённый репозиторий компонентов, серверы обновлений ПО, используемые на производстве, либо через продавцов, устанавливающих дополнительное программное обеспечение.

В сентябре 2024 года компания «Доктор Веб» сообщала о массовом заражении Android-телеприставок зловредом Vo1d, который также маскировался под системный компонент. Тогда было инфицировано около 1,3 млн устройств в 200 странах.

Юлия Липатникова отметила, что внедрение зловреда на этапе производства — не новая практика. В качестве примера она привела модель распространения Triada, известную с 2017 года.

Руководитель разработки PT MAZE (Positive Technologies) Николай Анисеня добавил, что 44% атак на конечных пользователей проходят через заражение Android-устройств. По его словам, полностью полагаться на механизмы проверки в официальных магазинах приложений нельзя: они также могут использоваться для распространения зловреда.

Сайты не открываются: россияне жалуются на сбои из-за Защиты интернета

В России у многих пользователей стали некорректно загружаться веб-сайты. Наиболее вероятная причина — сбои в работе защиты от фишинговых и других потенциально опасных ресурсов, которую некоторые операторы связи включают самостоятельно. Проблемы начинают появляться после активации опции «Защита интернета», причём, по данным СМИ, операторы могут подключать её без явного согласия пользователей.

Как сообщает портал Digital Report, проблемы с доступом к веб-ресурсам наблюдаются в течение последних нескольких недель.

По данным издания, сервис основан на технологии глубокой инспекции пакетов (DPI). Представители операторов объясняют его использование попыткой действовать на опережение: злоумышленники всё чаще обходят базовые антифишинговые механизмы, основанные на сигнатурном подходе.

При этом число атак продолжает расти, как и ущерб от них. Превентивная защита должна снизить риски для пользователей, а вместе с ними — и количество претензий к операторам со стороны абонентов, пострадавших от мошеннических схем.

Однако такая защита может давать ложные срабатывания. Чаще всего проблемы возникают при обращении к облачным сервисам, отдельным корпоративным ресурсам и онлайн-играм.

Чтобы отключить функцию, пользователям приходится обращаться в техническую поддержку оператора, которая часто перегружена, либо самостоятельно искать нужную настройку. При этом, по словам абонентов, она может быть спрятана довольно глубоко.

Опрошенные изданием юристы отмечают, что действия операторов могут быть не вполне законными. Подключение услуг, даже бесплатных, требует явного согласия абонента. В противном случае такие действия можно расценивать как навязывание услуги, что противоречит требованиям законодательства о защите прав потребителей. Кроме того, подобная практика может нарушать принцип сетевой нейтральности.

RSS: Новости на портале Anti-Malware.ru