Новая угроза для Android: вредоносное ПО и программа-вымогатель в одной атаке.

Когда киберпреступники атакуют устройства пользователей, они обычно заражают их одним из нескольких типов вредоносных программ: либо программой для кражи информации, либо троянским конем для удаленного доступа, либо бэкдором, либо зашифрованным программным обеспечением-вымогателем.

Редко можно увидеть все эти функции, интегрированные в единое целое, и ещё реже — предназначенные для мобильных устройств Android. Однако исследователи безопасности из Zimperium обнаружили именно это.

Мантакс Отакс

Компания Zimperium, специализирующаяся на информационной безопасности, опубликовала подробный отчет о Mantax Otax , уникальном штамме вредоносного ПО, который в настоящее время распространяется. По всей видимости, он был разработан индонезийским киберпреступником и нацелен на жертв внутри страны, но точное число зараженных лиц неизвестно, как и то, нацелена ли кампания в первую очередь на корпоративных пользователей или на частных лиц в целом.

Это вредоносное ПО распространяется в виде отдельного APK-файла, то есть его можно найти в сторонних магазинах приложений, каналах Telegram, на форумах и в социальных сетях. Следов Mantax Otax нет ни в одном официальном репозитории приложений, включая Google Play Store или Samsung Galaxy Store. Zimperium также предполагает, что оно, вероятно, распространяется через фишинговые электронные письма.

Mantax Otax в первую очередь нацелен на пользователей старых телефонов Android. Наиболее уязвимы версии 9 и более ранние, поскольку злоумышленники на этих устройствах могут использовать все возможности вредоносной программы. Android 10 и более поздние версии обеспечивают некоторую защиту.

Исследователи пояснили: «В отличие от этого, на современных устройствах под управлением Android 10 и выше встроенные средства защиты операционной системы, в частности ограничения Scoped Storage, значительно снижают эффективность вредоносного ПО». Они добавили: «Из-за этих правил песочницы программа-вымогатель ограничена сканированием только внешнего файлового каталога, предназначенного для приложения, что значительно уменьшает масштаб ущерба и ограничивает размер доступных пользовательских файлов».

Сообщается, что более новые устройства , а также пользователи решений Zimperium Mobile Threat Defense (MTD) и Runtime Application Protection (zDefend) защищены на программном уровне.

Ещё один важный момент касается разрешений. Как это обычно бывает на устройствах Android, большинство вредоносных программ работают только в том случае, если пользователь предварительно предоставит им широкий спектр прав. В данном случае Mantax Otax сначала запрашивает права администратора, а затем предоставляет себе обширный список возможностей, начиная от доступа к SMS-сообщениям, контактам, аудио и фотографиям.

Затем вредоносная программа запрашивает права доступа, получая таким образом полный контроль над скомпрометированным устройством.

вредоносные возможности

Mantax Otax демонстрирует обширные возможности по краже данных и контролю над устройством. Он крадет историю браузера, контакты, журналы звонков, SMS-сообщения, уведомления , файлы, содержимое галереи, информацию об учетной записи Google, технические характеристики устройства, данные о местоположении и списки установленных приложений. Он также может извлекать информацию из WhatsApp, такую ​​как сообщения и профили, а в Telegram может даже красть PIN-коды блокировки экрана.

Помимо возможности кражи данных, этот инструмент также функционирует как устройство удаленного мониторинга, делая снимки экрана, записывая изображение с экрана или транслируя его в режиме реального времени злоумышленникам. Он может захватывать изображения с помощью как передней, так и задней камер, хотя Zimperium не упомянула о возможности записи с микрофона.

Наконец, после сбора всех данных, программа шифрует файлы пользователя с помощью AES, удаляет исходные файлы и добавляет расширение .enc. Затем жертвам предоставляется интерфейс чата, где они могут напрямую общаться со злоумышленниками и договариваться о выкупе в обмен на возврат своих устройств.

Похоже, инструмент находится в постоянной разработке. Компания Zimperium обнаружила две отдельные версии, одна из которых представляет собой «эволюцию» другой. Исследователи отметили: «Стоит упомянуть, что он изменил поведение сетевого трафика, чтобы использовать WebSockets, и ввел набор новых команд».

Есть причина, по которой операторы программ-вымогателей предпочитают атаковать предприятия, а не частных лиц. Хотя частные лица не исчезли полностью из списка жертв, предприятия несут значительные убытки из-за сбоев в работе и поэтому часто становятся мишенью. К сожалению, нам неизвестно, какое именно приложение имитирует Mantax Otax, что затрудняет определение того, кто является его целевыми жертвами.