Хакеры подделывают страницы магазина Google Play для майнинга криптовалюты

Хакеры атакуют жертв через новую фишинговую схему. Согласно сообщению SecureList, хакеры используют фейковые страницы магазина Google Play для распространения кампании вредоносного ПО для Android в Бразилии.

Вредоносное приложение выглядит как легальная загрузка, но после установки оно превращает зараженные телефоны в машины для майнинга криптовалюты. Кроме того, оно используется для установки банковского трояна и предоставления удаленного доступа злоумышленникам.

Хакеры превращают бразильские смартфоны в машины для майнинга криптовалюты

Кампания начинается с фишингового сайта, который выглядит почти идентично Google Play. Одна из страниц предлагает фейковое приложение под названием INSS Reembolso, которое утверждает, что связано с бразильской службой социального обеспечения. Дизайн UX/UI копирует доверенный государственный сервис и макет Play Store, чтобы загрузка казалась безопасной.

После установки фейкового приложения вредоносное программное обеспечение распаковывает скрытый код в несколько этапов. Оно использует зашифрованные компоненты и загружает основной вредоносный код непосредственно в память. На устройстве нет видимых файлов, что затрудняет для пользователей обнаружение любой подозрительной активности.

Этот вредоносный код также затрудняет анализ со стороны специалистов по безопасности. Он проверяет, работает ли телефон в эмулированной среде. Если такая среда обнаруживается, код перестаёт функционировать.

После успешной установки вредоносное программное обеспечение продолжает загружать больше вредоносных файлов. Оно показывает еще один экран в стиле Google Play, затем отображает ложное предложение об обновлении и побуждает пользователя нажать кнопку обновления.

Один из этих файлов является майнером криптовалюты, который представляет собой версию XMRig, скомпилированную для устройств на архитектуре ARM. Вредоносное ПО получает майнинговый payload с инфраструктуры, контролируемой злоумышленниками. Затем оно расшифровывает его и запускает на телефоне. Payload подключает зараженные устройства к серверам майнинга, контролируемыми злоумышленниками, для скрытого майнинга криптовалюты в фоновом режиме.

Вредоносное ПО является сложным и не майнит криптовалюту вслепую. Согласно анализу SecureList, вредоносное ПО отслеживает процент заряда батареи, температуру, возраст установки и то, активно ли используется телефон. Майнинг начинается или останавливается в зависимости от отслеживаемых данных. Цель состоит в том, чтобы оставаться незамеченным и свести к минимуму вероятность обнаружения.

Android убивает фоновые приложения для экономии заряда батареи, но вредоносное ПО обходит это, зацикливая почти бесшумный аудиофайл. Оно имитирует активное использование, чтобы избежать автоматической деактивации Android.

Для продолжения отправки команд вредоносное ПО использует Firebase Cloud Messaging, который является легитимным сервисом Google. Это позволяет злоумышленникам легко отправлять новые инструкции и управлять активностью на зараженном устройстве.

Банковский троян нацелен на переводы USDT

Вредоносное ПО делает больше, чем просто майнит монеты. Некоторые версии также устанавливают банковский троян, нацеленный на Binance и Trust Wallet, особенно во время переводов USDT. Оно накладывает фейковые экраны поверх реальных приложений, а затем тихо заменяет адрес кошелька на адрес, контролируемый злоумышленником.

Банковский модуль также отслеживает такие браузеры, как Chrome и Brave, и поддерживает широкий спектр удаленных команд. Включая запись аудио, захват экранов, отправку SMS-сообщений, блокировку устройства, стирание данных и регистрацию нажатий клавиш.

Другие недавние образцы сохраняют тот же метод доставки фейкового приложения, но переключаются на другой payload. Они устанавливают BTMOB RAT, инструмент удаленного доступа, продаваемый на теневых рынках.

BTMOB является частью экосистемы вредоносного ПО как услуги (MaaS). Злоумышленники могут покупать или арендовать его, что снижает барьер для взлома и краж. Инструмент дает злоумышленникам более глубокий доступ, включая запись экрана, доступ к камере, отслеживание GPS и кражу учетных данных.

BTMOB активно продвигается в сети. Один из злоумышленников поделился демонстрациями вредоносного ПО на YouTube, показав, как управлять зараженными устройствами. Продажи и поддержка осуществляются через аккаунт в Telegram.

SecureList заявила, что все известные жертвы находятся в Бразилии. Некоторые новые варианты также распространяются через WhatsApp и другие фишинговые страницы.

Сложные хакерские кампании, такие как эта, напоминают о необходимости проверять все и никому не доверять.