Легко игнорировать опасность установки непроверенных приложений, но это часто имеет последствия. Исследователи безопасности недавно обнаружили, что приложение для Android, претендующее на роль бесплатного комбинированного сервиса IPTV и VPN, на самом деле является опасным вредоносным ПО.
Разобраться в том, как это работает, интересно и иллюстрирует важность бдительности в отношении того, что вы устанавливаете на свое устройство.
Приложение «VPN», которое вы не хотите устанавливать
Исследователи безопасности из Cleafy написали обширный отчет о новой форме вредоносного ПО под названием «Клопатра», которая не связана ни с одним известным семейством вредоносных программ.
Атака начинается с поддельного приложения под названием «Mobdro Pro IP TV + VPN», которое утверждает, что предоставляет доступ к каналам IPTV, одновременно предоставляя бесплатный VPN для анонимности. Многие потоки IPTV являются незаконными, поскольку они без разрешения предоставляют контент, защищенный авторским правом. Таким образом, подобных приложений обычно нет в официальных магазинах приложений, поскольку они нарушают условия обслуживания.
Во время установки приложение предложит вам нажать кнопку «Продолжить установку». Нажатие на эту кнопку вызывает приглашение Android разрешить приложению устанавливать другие приложения, что является немедленным тревожным сигналом. Вы можете разрешить, скажем, приложению «Файлы» загружать приложения Android из загружаемых APK-файлов. Но у приложения VPN/стриминга нет причин устанавливать на ваше устройство другие приложения.
Если вы дадите это разрешение, вам будет предложено установить другое приложение, содержащее вредоносное ПО. Обратите внимание на скриншот, что второе приложение имеет другой символ «М» и называется «Mobdro pro». Это попытка обмануть жертву, заставив ее думать, что она «завершает» одну установку, хотя на самом деле она устанавливает второе, другое приложение.
Даже самые лучшие советы по безопасности Android не смогут удержать вас от предоставления прямого доступа к вредоносному ПО самостоятельно.
Запрос дополнительных разрешений на злоупотребления
Как только вас обманом заставили установить приложение Klopatra, оно немедленно запрашивает основные разрешения, чтобы получить контроль над вашим устройством. Основной запрос касается служб специальных возможностей, которые используются законными приложениями специальных возможностей для чтения содержимого вашего экрана и взаимодействия с устройством за вас.
Но злоумышленники могут использовать это, чтобы нанести огромный ущерб. Наличие разрешений на доступность позволяет приложению читать весь текст на экране, захватывать все, что вы вводите на своем устройстве, перемещаться по приложениям, нажимать кнопки, проводить пальцем по экрану и вводить текст за вас.
Изображение предоставлено самим пользователем (Ташриф Шариф) – указание авторства не требуется
Как только приложение получает это разрешение, оно использует его для отключения оптимизации заряда батареи, чтобы Android не завершал процесс. Тем временем вредоносное ПО также собирает всю информацию о вашем устройстве, включая установленные приложения, чтобы лучше вас понять.
Ясная и подробная угроза
Далее Клифи предоставляет подробный анализ того, как это вредоносное ПО выходит за рамки типичных атак вредоносного ПО для смартфонов. Он использует различные инструменты и методы, которые затрудняют обнаружение и реконструирование.
По сути, вредоносное ПО предоставляет злоумышленникам удаленный доступ, позволяя им делать все, что вы можете, имея устройство в руках. Сюда входит скрытый режим VNC, который позволяет осуществлять удаленное управление с отображением черного экрана. Таким образом, владелец зараженного устройства не сможет обнаружить, что что-то не так, заметив, что его устройство выполняет действия — по-видимому, само по себе.
Эта вредоносная программа активно отслеживает угрозы для себя и не позволяет вам предпринять какие-либо действия. Он содержит список популярных приложений безопасности Android; если вы установите один из них, он попытается удалить его, чтобы избежать обнаружения. Имея полный контроль, приложение также может принудительно выполнить действие «Назад», если вы выясните, что происходит, и попытаетесь удалить вредоносное приложение.
Узнайте больше о людях, стоящих за этим
Расследование показало, что Клопатра приехала из Турции, поскольку все, от комментариев оператора об отдельных жертвах до функций кода, написано на турецком языке.
Все эти факторы указывают на скоординированную и изощренную групповую атаку. Это не шутник-любитель, купивший с полки вредоносное ПО; это от команды, которая знала, что делает, и нашла время, чтобы защитить свой атакующий актив.
Кампания по вредоносному ПО была сосредоточена на Европе, а атаки были направлены на испанские и итальянские банки. Однако команда обнаружила третий сервер, который проводил кампании в различных других странах, что позволяет предположить, что со временем атака может расшириться.
Клифи также отмечает, как атака развивалась с течением времени: от прототипа в марте 2025 года до современной версии со всеми средствами защиты и продвинутой механикой кражи.
Атака на ваши финансовые счета
Несмотря на свою уникальность, Klopatra по-прежнему использует известные приемы других угроз для Android. Он содержит список финансовых приложений; когда вы открываете его, вредоносная программа отображает идентичное фальшивое диалоговое окно поверх обычного экрана входа в систему. Вы этого не замечаете, но передаете злоумышленникам свой пароль.
Неудивительно, что нападавшие предпочитают действовать ночью. Пока жертва спит, ее устройство, скорее всего, находится в сети и заряжается, что позволяет преступникам получить к нему доступ, не вызывая никаких подозрений.
Изображение сделано Дигвиджаем Кумаром – авторства нет.
Благодаря глубоко укоренившемуся удаленному доступу удаленный оператор может проверить, используется ли устройство, сделать экран черным, использовать украденный PIN-код, чтобы разблокировать устройство, затем открыть банковское приложение и отправить переводы на свои счета. Это сложная атака, сочетающая в себе как автоматический сбор данных, так и прямое действие злоумышленника.
Анализ приложения обнаружил текстовое поле, в котором преступники оставляют записи о своих попытках. В одном примере текст показывает, что у оператора был графический ключ жертвы и что перевод на сумму 7000 долларов не удался.
Будьте умны, чтобы обезопасить себя
Даже если вы не живете в районах, на которые была нацелена эта атака, вы можете что-то почерпнуть, узнав, как она работает. Учитывая, насколько сложно обнаружить и удалить это вредоносное ПО, крайне важно не допускать использования подобных приложений рядом с вашей системой.
Самая важная линия защиты — не устанавливать приложения, которым вы не доверяете, особенно если они получены не из Play Store. В связи с этой проблемой Google заявила, что Google Play Protect защитит ваше устройство от вредоносного поведения. И хотя это хорошо, оно не может уловить все.
Также примечательно, что первоначальной полезной нагрузкой для этой атаки является приложение, обещающее бесплатный контент IPTV. Поиск нелегального контента в Интернете сопряжен с множеством рисков, включая вредоносное ПО, поэтому разумно держаться подальше от этого.
И если вы когда-нибудь установите приложение, которое немедленно захочет установить другое приложение, или вы предоставите глубокие разрешения, такие как службы специальных возможностей, бегите. Легальные приложения никогда этого не сделают.
