 |
McAfee Mobile Research: Новые «умные» приложения для мошенничества в Google Play
В магазин Google Play проникла новая волна мошеннических приложений, нацеленная на пользователей Android в Юго-Западной Азии и на Аравийском полуострове – было уже более 700 000 скачиваний, прежде чем McAfee Mobile Research обнаружила их, и совместно с Google приступили к их удалению.
Вредоносные программы встроены в фоторедакторы, обои, головоломки, оболочки клавиатуры и другие приложения. Вредоносные программы перехватывают уведомления о SMS-сообщениях, а затем совершают несанкционированные покупки. Легальные приложения перед тем, как попасть в Google Play, проходят процесс проверки, а мошеннические приложения попали в магазин, отправив на проверку «чистую» версию приложения, а вредоносный код внедряется туда после обновления.
McAfee Mobile Security определяет эту угрозу как Android/Etinu и предупреждает мобильных пользователей, что есть угроза при использовании данного приложения. Команда McAfee Mobile Research продолжает отслеживать эту угрозу, и сотрудничает с Google по удалению этих и других вредоносных приложений из Google Play.
Технический анализ
Встроенное в эти приложения вредоносное ПО использует динамическую загрузку кода. Зашифрованные данные вредоносного ПО появляются в папке, связанной с приложением под именами «cache.bin», «settings.bin», «data.droid» или безобидными файлами «.png».
Скрытый вредоносный код в основном .apk приложения открывает файл «1.png» в папке assets, расшифровывает его в «loader.dex», а затем загружает измененный .dex. «1.png» зашифрован с использованием RC4 с именем пакета в качестве ключа. Первая полезная нагрузка создает запрос HTTP POST к серверу C2.
Интересно, что эта вредоносная программа использует серверы управления ключами. Он запрашивает у серверов ключи, и сервер возвращает ключ как значение «s» JSON. Также у этой вредоносной программы есть функция самообновления. Когда сервер отвечает значением «URL», содержимое URL используется вместо «2.png». Однако серверы не всегда отвечают на запрос или возвращают секретный ключ.
Как всегда, самые вредоносные функции проявляются на финальной стадии. Вредоносная программа захватывает прослушиватель уведомлений для кражи входящих SMS-сообщений, как это делает вредоносная программа Android Joker , без разрешения на чтение SMS. Как по цепочке вредоносная программа затем передает объект уведомления на финальную стадию. Когда уведомление приходит из пакета SMS по умолчанию, сообщение, наконец, отправляется с использованием интерфейса JavaScript WebView.
Исследователи пришли к выводу, что мошенники могли получать сведения об операторе связи пользователя, номере телефона, SMS-сообщениях, IP-адресе, стране и др.
Будут ли подобные угрозы в будущем?
Мы ожидаем, что угрозы, использующие функцию прослушивания уведомлений, будут продолжать развиваться. Команда McAfee Mobile Research продолжает отслеживать эти угрозы и защищать клиентов, анализируя потенциальные вредоносные программы и работая с магазинами приложений для их удаления. Однако важно обращать особое внимание на приложения, которые запрашивают разрешения, связанные с SMS и прослушиванием уведомлений. Настоящие приложения для обработки фотографий или установки обоев просто не будут запрашивать их, потому что они не нужны для их запуска. Если запрос кажется подозрительным, не принимайте его.
Контактное лицо: McAfee (написать письмо автору)
Компания: McAfee (все новости этой организации)
Добавлен: 21:37, 03.05.2021
Количество просмотров: 522
Страна: Россия
| «ДиалогНаука»: 10 лет устойчивого развития с «Киберпротектом», АО ДиалогНаука, 21:44, 15.06.2026, Россия |
40 |
| Компания «ДиалогНаука», системный интегратор в области информационной безопасности, получила награду «Кибер Опора 2026» от компании «Киберпротект», лидирующего российского разработчика решений для резервного копирования и защиты данных. Награда была вручена за уникальную техническую экспертизу программного продукта «Кибер Протего» и самый крупный проект в истории «Киберпротекта» по информационной безопасности. |
|
| «ДиалогНаука», ShiftLeft Security, F6 и Security Vision: современные решения для комплексной киберзащиты, АО «ДиалогНаука», 22:28, 30.05.2026, Россия |
87 |
| Компания «ДиалогНаука», 26 мая 2026 года провела деловое мероприятие совместно с российскими разработчиками программного обеспечения в области информационной безопасности - компаниями ShiftLeft Security (ООО «Пайнап»), F6 и Security Vision. В банкетный зал «Зафферано Лофт» были приглашены руководители подразделений безопасности, участвующие в разработке стратегий защиты информации и формировании портфелей используемых решений. |
|
| «ДиалогНаука» завершила проект в «Денизбанке Москва» по аттестации для доступа к СМЭВ, АО «ДиалогНаука», 21:26, 05.05.2026, Россия |
78 |
| Компания «ДиалогНаука», системный интегратор в области информационной безопасности, провела аттестацию информационной системы для АО «Денизбанк Москва» в соответствии с требованиями приказа ФСТЭК для подключения и сохранения доступа к Системе межведомственного электронного взаимодействия (СМЭВ). В рамках проекта также была произведена поставка средств защиты информации, необходимых для аттестации. |
|
| «ДиалогНаука» – золотой партнер 2026 компании «Киберпротект», АО ДиалогНаука, 21:18, 28.04.2026, Россия |
66 |
| Компания «ДиалогНаука», системный интегратор в области информационной безопасности, по итогам 2025 года стала «Золотым партнёром 2026» компании «Киберпротект». Высокая оценка подтверждает постоянно расширяющийся спектр компетенций сотрудников «ДиалогНауки» в области внедрения программных продуктов «Киберпротекта» |
|
| «ДиалогНаука» совместно с Xello участвует в CISO FORUM 2026, АО ДиалогНаука, 23:07, 14.04.2026, Россия |
467 |
| Компания «ДиалогНаука», системный интегратор в области информационной безопасности, совместно с компанией Xello, разработчиком платформ для защиты данных и инфраструктуры, участвуют в Межотраслевом Форуме «CISO FORUM 2026». Мероприятие пройдет 28 апреля 2026 года в Центре международной торговли (ЦМТ Москвы). |
|
|
|
