Нове шпигунське програмне забезпечення, спрямоване на користувачів, виявлене в App Store та Google Play

Нове шкідливе програмне забезпечення розроблено для атаки смартфонів з операційними системами iOS та Android, а потім для надсилання зображень та інформації про пристрій із заражених телефонів на сервер зловмисника.

26 червня експерти Kaspersky оголосили про виявлення нового шпигунського програмного забезпечення під назвою SparkKitty, призначеного для атаки смартфонів з операційними системами iOS та Android, а потім надсилання зображень та інформації про пристрої із заражених телефонів на сервер зловмисника.

SparkKitty був вбудований у додатки з контентом, пов'язаним з криптовалютою та азартними іграми, а також у підроблену версію додатка TikTok. Ці додатки поширювалися не лише через App Store та Google Play, але й на шахрайських веб-сайтах.

Згідно з аналізом експертів, метою цієї кампанії може бути крадіжка криптовалют у користувачів у Південно-Східній Азії та Китаї. Користувачі у В'єтнамі також ризикують зіткнутися з подібними загрозами.

Kaspersky повідомив Google та Apple про необхідність вжити заходів проти шкідливих програм. Деякі технічні деталі свідчать про те, що нова кампанія пов'язана з SparkCat, трояном, виявленим раніше. SparkCat – це перше шкідливе програмне забезпечення на платформі iOS, яке має вбудований модуль оптичного розпізнавання символів (OCR), який сканує бібліотеку фотографій користувача та краде скріншоти, що містять паролі або фрази відновлення для криптовалютних гаманців.

Після SparkCat, це вже другий випадок цього року, коли дослідники Касперського виявили трояна-викрадача в App Store.

В App Store це троянське програмне забезпечення маскується під додаток, пов'язаний з криптовалютою, під назвою 币coin. Крім того, на шахрайських веб-сайтах, розроблених для імітації інтерфейсу App Store для iPhone, кіберзлочинці також поширюють це шкідливе програмне забезпечення під виглядом додатка TikTok та деяких азартних ігор.

币coin, фальшивий додаток для обміну криптовалют, з'явився в App Store. (Знімок екрана)

Підроблений вебсайт App Store, який намагається обманом змусити користувачів встановити додаток TikTok через інструменти розробника. (Знімок екрана)

Фальшивий інтернет-магазин, вбудований у фальшивий додаток TikTok. (Знімок екрана)

«Фальшиві веб-сайти є одним із найпопулярніших каналів поширення троянських програм, де хакери намагаються обманом змусити користувачів відвідати сайт та встановити шкідливе програмне забезпечення на iPhone. На iOS все ще існують деякі законні способи для користувачів встановлювати програми з-поза App Store. У цій атаці хакери скористалися інструментом розробника, призначеним для встановлення внутрішніх програм у компаніях. У зараженій версії TikTok, щойно користувач входить у систему, шкідливе програмне забезпечення краде фотографії з галереї телефону та таємно вставляє дивне посилання в профіль жертви. Що викликає занепокоєння, так це те, що це посилання веде до магазину, який приймає лише криптовалютні платежі, що ще більше турбує нас щодо цієї кампанії», – сказав Сергій Пузан, аналітик з питань шкідливого програмного забезпечення в Kaspersky.

На Android зловмисники атакували користувачів як у Google Play, так і на сторонніх веб-сайтах, маскуючи шкідливе програмне забезпечення під сервіси, пов’язані з криптовалютою. Одним із прикладів зараженого додатка є SOEX, месенджер із вбудованою функцією торгівлі криптовалютою, який було завантажено з офіційного магазину понад 10 000 разів.

Підроблений додаток для обміну криптовалют SOEX у Google Play. (Знімок екрана)

Крім того, експерти також виявили APK-файли (файли встановлення програм для Android, які можна встановити безпосередньо, без використання Google Play) цих заражених шкідливим програмним забезпеченням на сторонніх веб-сайтах, які, як вважається, пов'язані з вищезгаданою кампанією атак.

Ці додатки просуваються під виглядом інвестиційних проектів у криптовалюту. Примітно, що веб-сайти, які розповсюджують ці додатки, також широко просуваються в соціальних мережах, зокрема на YouTube.

«Після встановлення програми функціонують, як описано», – сказав Дмитро Калінін, аналітик з питань шкідливого програмного забезпечення в Kaspersky. «Однак під час встановлення вони непомітно проникають у пристрій і автоматично надсилають зображення з галереї жертви зловмиснику. Ці зображення можуть містити конфіденційну інформацію, яку шукають зловмисники, таку як скрипти відновлення криптогаманців, що дозволяє їм красти цифрові активи жертви. Існують непрямі ознаки того, що зловмисники націлені на цифрові активи користувачів: багато заражених програм пов’язані з криптовалютами, а заражена версія TikTok також містить магазин, який приймає лише криптовалютні платежі».

Щоб уникнути зараження цим шкідливим програмним забезпеченням, Kaspersky рекомендує користувачам вжити таких заходів безпеки:

- Якщо ви випадково встановили одну із заражених програм, швидко видаліть програму зі свого пристрою та не використовуйте її знову, доки не з’явиться офіційне оновлення, яке повністю видалить шкідливу функцію.

- Уникайте зберігання скріншотів, що містять конфіденційну інформацію, у вашій фотобібліотеці, особливо зображень, що містять коди відновлення криптовалютних гаманців. Натомість користувачі можуть зберігати інформацію для входу у спеціальних програмах для керування паролями.

- Встановіть надійне програмне забезпечення безпеки, щоб запобігти ризику зараження шкідливим програмним забезпеченням. Для операційних систем iOS зі специфічною архітектурою безпеки рішення Kaspersky попередить вас, якщо виявить, що пристрій передає дані на сервер керування хакера, і заблокує цей процес передачі даних.

- Коли програма запитує доступ до бібліотеки фотографій, користувачам слід ретельно розглянути, чи справді цей дозвіл необхідний для основної функції програми./.

(В'єтнам+)

Джерело: https://www.vietnamplus.vn/phat-hien-phan-mem-gian-diep-moi-nham-vao-nguoi-tren-app-store-va-google-play-post1046585.vnp