В мессенджерах распространяется новый банковский троян для Android, который маскируется под VPN-сервисы, банковские приложения и взломанные утилиты с платной функциональностью. Вредоносная программа получила название Drama RAT.
Описание
Схема заражения начинается с фишингового сообщения, которое приходит в мессенджере, например, от имени знакомого или в одном из тематических чатов. Пользователю предлагают скачать приложение для ускорения интернета, получения доступа к платным материалам или управления счетом. Нередко распространители используют взломанные версии популярных утилит, чтобы снизить бдительность жертвы. С виду программа выглядит безобидно, но при первом запуске требует установить обновление.
Исследование Positive Technologies показало, что все обнаруженные образцы являются дропперами-загрузчиками. При нажатии кнопки "Обновить сейчас" программа запрашивает разрешение на установку приложений из неизвестных источников, после чего отправляет на сервер злоумышленников сведения об устройстве и список установленных программ. В ответ приходит зашифрованный файл с основной вредоносной нагрузкой. Ключ для расшифровки состоит из трех частей: одна поступает вместе с файлом, вторая зашита в код приложения, третья вычисляется из цифровой подписи дроппера. После расшифровки на устройстве появляется полноценный троян, а временные файлы и часть ключа удаляются.
Перед выдачей разрешений вредоносная программа втайне передает на управляющий сервер подробную информацию о смартфоне: модель, версию Android, уровень заряда батареи, тип сетевого подключения, данные SIM-карт и даже изображение обоев рабочего стола. Эти данные помогают злоумышленникам оценить ценность устройства и выбрать подходящую тактику атаки.
Оказавшись на смартфоне, Drama RAT прежде всего запрашивает доступ к специальным возможностям Android - системе, которая помогает управлять устройством голосом или жестами. Этот доступ дает трояну почти неограниченный контроль над интерфейсом. Используя его, программа самостоятельно определяет, какие дополнительные разрешения ей нужны - отправка и чтение SMS, доступ к контактам, микрофону или записи экрана, - находит системную кнопку "Разрешить" и нажимает ее. Чтобы скрыть этот процесс от пользователя, поверх экрана рисуется непрозрачное черное поле.
Полный набор вредоносных функций включает перехват SMS-сообщений, кражу введенных паролей и PIN-кодов, чтение и подмену содержимого буфера обмена, сбор данных из браузеров и финансовых приложений. Кейлоггинг позволяет отслеживать нажатия в реальном времени, включая пароль блокировки экрана. Оверлей-фишинг подменяет интерфейс легитимного приложения поддельным окном, которое выглядит идентично оригинальному. Кроме того, злоумышленники могут удаленно включать микрофон и камеру, записывать экран и транслировать его на свой сервер. При этом на устройствах с Android 12 и новее троян обходит стандартную цветовую индикацию записи, рисуя поверх изображения почти прозрачный слой.
Среди других возможностей - подмена отображаемого номера при исходящих вызовах, автоматический набор платных номеров, кража геолокации и контактов. Зараженный смартфон также может использоваться для DDoS-атак по команде управляющего сервера. Для связи применяется зашифрованный канал, который сложно обнаружить стандартными средствами. Предусмотрен резервный канал: если основной заблокирован, троян переходит на обычные интернет-запросы, замаскированные под обращения к легитимным ресурсам. Командный сервер, в свою очередь, может присылать список конкретных приложений, из которых нужно похитить данные. В коде заложена поддержка поддельных окон на 29 языках, включая русский, английский, казахский и украинский.
Значительная часть усилий авторов направлена на то, чтобы жертва не смогла удалить вредонос. После установки Drama RAT скрывает свою иконку с рабочего стола и может скрывать уведомления сторонних программ. Если пользователь открывает настройки, чтобы отозвать разрешения или удалить приложение, троян распознает опасный экран через службу специальных возможностей и возвращает его на главный экран. Для введения в заблуждение программа показывает одно из поддельных сообщений. Окно "Установите PIN-код" на самом деле служит для кражи этого кода. Сообщение о необходимости подключиться к VPN появляется при отсутствии связи с управляющим сервером. Экран "Устройство несовместимо, приложение удаляется" лишь прячет вредонос, который продолжает работать в фоне.
Разработчики также позаботились о противодействии анализу. В составе вредоноса обнаружено более 1200 пустых артефактов и несколько поддельных компонентов, которые не несут ценности для работы, но затрудняют исследование. Служебный файл, описывающий структуру приложения, специально поврежден, из-за чего популярные инструменты анализа не могут корректно его прочитать. Строки кода зашифрованы, причем для разных частей используются различные алгоритмы. Вредоносная программа проверяет признаки работы в эмуляторе и аналитической среде, а также наличие модификаций, связанных с получением root-доступа. Все эти меры направлены на то, чтобы как можно дольше скрывать вредоносную активность от антивирусов и специалистов.
Банковский троян Drama RAT уже фигурировал в публикациях управления по борьбе с киберпреступностью МВД России. Новая кампания отличается автоматической выдачей разрешений и продвинутыми методами скрытности. Владельцам Android-устройств следует проявлять осторожность: не переходить по подозрительным ссылкам в мессенджерах, устанавливать приложения только из официального магазина Google Play, не предоставлять права на специальные возможности непроверенным программам и регулярно просматривать список выданных разрешений. Если после установки приложения его иконка исчезла, а попытка открыть настройки возвращает на главный экран, устройство, скорее всего, заражено. В таком случае рекомендуется запустить смартфон в безопасном режиме и удалить вредоносную программу через системные средства.
Индикаторы компрометации
