Команда исследователей безопасности обнаружила и подробно описала новую вредоносную программу для Android, которая записывает аудио и отслеживает местоположение после установки на устройство. Вредоносная программа использует ту же инфраструктуру общего хостинга, которая, как было обнаружено ранее, использовалась командой российских хакеров, известных как Turla. Однако неясно, имеет ли российская государственная группа прямое отношение к недавно обнаруженной вредоносной программе. Он проникает через вредоносный APK-файл, который работает как шпионское ПО для Android и выполняет действия в фоновом режиме, не давая никаких четких ссылок на пользователей.
Исследователи из компании по анализу угроз Lab52 выявили вредоносную программу для Android, которая называется Process Manager. После установки он появился в ящике приложений устройства в виде значка в форме шестеренки, замаскированного под предустановленную системную службу.
Исследователи обнаружили, что приложение запрашивает в общей сложности 18 разрешений при первом запуске на устройстве. Эти разрешения включают доступ к местоположению телефона, информации о Wi-Fi, съемку фотографий и видео со встроенных датчиков камеры, а также диктофон для записи звука.
Неясно, получает ли приложение разрешения, злоупотребляя службой специальных возможностей Android или обманывая пользователей, чтобы предоставить им доступ.
Однако после первого запуска вредоносного приложения его значок удаляется из ящика приложения. Приложение, однако, по-прежнему работает в фоновом режиме, а его активный статус доступен в панели уведомлений.
Исследователи заметили, что приложение настраивает устройство на основе разрешений, которые оно получает, чтобы начать выполнение списка задач. К ним относятся сведения о телефоне, на котором он был установлен, а также возможность записи звука и сбора информации, включая настройки Wi-Fi и контакты.
В частности, в части аудиозаписи исследователи обнаружили, что приложение записывает аудио с устройства и извлекает его в формате MP3 в каталоге кэша.
Вредоносная программа собирает все данные и отправляет их в формате JSON на сервер, расположенный в России.
Хотя точный источник, из которого вредоносная программа попадает на устройства, неизвестен, исследователи обнаружили, что ее создатели злоупотребляли реферальной системой приложения под названием Roz Dhan: Earn Wallet Cash, которое доступно для скачивания в Google Play и имеет более 10 миллионов загрузок. Говорят, что вредоносная программа загружает законное приложение, которое в конечном итоге помогает злоумышленникам установить его на устройство и получать прибыль от своей реферальной системы.
Это кажется относительно необычным для шпионских программ, поскольку злоумышленники, похоже, сосредоточены на кибершпионаже. Как отмечает Bleeping Computer, странное поведение при загрузке приложения для получения комиссионных от его реферальной системы предполагает, что вредоносное ПО может быть частью более крупной системы, которую еще предстоит обнаружить.
- Android 13 Может разрешить 2 соединения с операторами связи на одном eSIM: Отчет
- Google Удаляет Вредоносное Приложение 2FA Из Play Store
- Правительство Предупреждает О Вредоносном По Для Android, Обещающем Возврат Подоходного Налога
Тем не менее, пользователям Android рекомендуется избегать установки любых неизвестных или подозрительных приложений на свои устройства. Пользователи также должны просмотреть разрешения приложений, которые они предоставляют, чтобы ограничить доступ третьих лиц к их оборудованию.
