В конце августа 2024 года эксперты «Лаборатории Касперского» обнаружили, что в несколько популярных приложений в Google Play и на неофициальных площадках проникла новая версия зловреда Necro.
Это загрузчик для Android, который скачивает и запускает на заражённом смартфоне другие вредоносные компоненты в зависимости от того, какие команды дадут создатели троянца. В рамках этой вредоносной кампании решения «Лаборатории Касперского» зафиксировали атаки Necro на пользователей в России, Бразилии, Вьетнаме, Эквадоре и Мексике**.
Это позволяет атакующим якобы от лица жертвы посещать нужные им ресурсы, например запрещённые, а также использовать заражённый гаджет как часть прокси-ботнета.
Позднее специалисты также обнаружили изменённую версию WhatsApp* с загрузчиком Necro, а следом — заражённые модификации игр, среди которых: Minecraft, Stumble Guys, Car Parking Multiplayer. Necro попал в приложения в составе непроверенного рекламного модуля.
«Лаборатория Касперского» сообщила Google о заражениях. В результате этого из приложения Wuta Camera был удалён вредоносный код, а приложение Max Browser было удалено из магазина. Однако пользователи по-прежнему рискуют столкнуться с Necro на неофициальных площадках.
«Пользователи скачивают неофициальные модифицированные приложения, когда хотят обойти ограничения официальных приложений или в надежде получить дополнительные бесплатные опции. Этим и пользуются злоумышленники. Зачастую они распространяют вместе с такими приложениями вредоносное ПО, так как на сторонних площадках отсутствует модерация. Интересно также, что версия Necro, встроенная в приложения, использовала приёмы стеганографии, а именно прятала полезную нагрузку в изображении, чтобы скрыть её. Это редкий приём для мобильных зловредов».
Защитные решения «Лаборатории Касперского» защищают от Necro и детектируют обнаруженный загрузчик как Trojan-Downloader.AndroidOS.Necro.f и Trojan-Downloader.AndroidOS.Necro.h, а вредоносные компоненты — как Trojan.AndroidOS.Necro.
* Принадлежит компании Meta, её деятельность признана экстремистской и запрещена в России.
** Данные на основе анонимизированной статистики срабатывания решений «Лаборатории Касперского» за 26 августа — 15 сентября 2024 года.
Это загрузчик для Android, который скачивает и запускает на заражённом смартфоне другие вредоносные компоненты в зависимости от того, какие команды дадут создатели троянца. В рамках этой вредоносной кампании решения «Лаборатории Касперского» зафиксировали атаки Necro на пользователей в России, Бразилии, Вьетнаме, Эквадоре и Мексике**.
Что умеет троянец
Обнаруженный специалистами «Лаборатории Касперского» вариант Necro может загружать на заражённый смартфон модули, которые показывают на устройстве рекламу в невидимых окнах и прокликивают её, скачивают исполняемые файлы, устанавливают на телефон сторонние приложения, открывают в невидимых окнах произвольные ссылки в WebView и исполняют там произвольный JavaScript-код, а также исходя из технических характеристик, вероятно, могут оформлять платные подписки. Кроме того, загружаемые модули дают злоумышленникам возможность пересылать интернет-трафик через девайс жертвы.Это позволяет атакующим якобы от лица жертвы посещать нужные им ресурсы, например запрещённые, а также использовать заражённый гаджет как часть прокси-ботнета.
Заражённые приложения на неофициальных площадках
Первой находкой киберэкспертов, в которой скрывался Necro, оказался модифицированный Spotify Plus. Его авторы заявляли, что программа не представляет вреда для устройства и содержит множество дополнительных функций, которых нет в официальном приложении для прослушивания музыки.Позднее специалисты также обнаружили изменённую версию WhatsApp* с загрузчиком Necro, а следом — заражённые модификации игр, среди которых: Minecraft, Stumble Guys, Car Parking Multiplayer. Necro попал в приложения в составе непроверенного рекламного модуля.
Заражённые приложения в GooglePlay
Распространением на сторонних площадках кампания Necro не ограничилась. Специалисты обнаружили троянец и в Google Play. Вредоносный загрузчик был обнаружен в приложении Wuta Camera и в браузере Max Browser. Согласно данным из Google Play, общее количество скачиваний этих приложений превысило 11 миллионов. В обнаруженные приложения на этой платформе Necro попал также в составе непроверенного рекламного модуля.«Лаборатория Касперского» сообщила Google о заражениях. В результате этого из приложения Wuta Camera был удалён вредоносный код, а приложение Max Browser было удалено из магазина. Однако пользователи по-прежнему рискуют столкнуться с Necro на неофициальных площадках.
«Пользователи скачивают неофициальные модифицированные приложения, когда хотят обойти ограничения официальных приложений или в надежде получить дополнительные бесплатные опции. Этим и пользуются злоумышленники. Зачастую они распространяют вместе с такими приложениями вредоносное ПО, так как на сторонних площадках отсутствует модерация. Интересно также, что версия Necro, встроенная в приложения, использовала приёмы стеганографии, а именно прятала полезную нагрузку в изображении, чтобы скрыть её. Это редкий приём для мобильных зловредов».
Защитные решения «Лаборатории Касперского» защищают от Necro и детектируют обнаруженный загрузчик как Trojan-Downloader.AndroidOS.Necro.f и Trojan-Downloader.AndroidOS.Necro.h, а вредоносные компоненты — как Trojan.AndroidOS.Necro.
* Принадлежит компании Meta, её деятельность признана экстремистской и запрещена в России.
** Данные на основе анонимизированной статистики срабатывания решений «Лаборатории Касперского» за 26 августа — 15 сентября 2024 года.
