ClayRat: Новое шпионское ПО для Android атакует российских пользователей

В последние месяцы исследователи кибербезопасности из zLabs обнаружили и отслеживают ClayRat - быстро развивающуюся вредоносную программу-шпион для операционной системы Android, которая в основном нацелена на пользователей в России. Распространяясь через каналы Telegram и фишинговые сайты, ClayRat маскируется под популярные приложения, такие как WhatsApp, Google Photos, TikTok и YouTube, чтобы заманить жертв в установку.

Описание

После активации шпионское ПО может извлекать SMS-сообщения, журналы вызовов, уведомления и информацию об устройстве; делать фотографии с фронтальной камеры; и даже отправлять SMS или совершать звонки напрямую с устройства жертвы. ClayRat также активно распространяется, рассылая вредоносные ссылки всем контактам в телефонной книге жертвы, эффективно превращая каждое зараженное устройство в узел распространения.

Исследования показывают, что ClayRat расширяется с тревожной скоростью: только за последние три месяца было обнаружено более 600 образцов и 50 дропперов (установщиков), причем каждая новая версия добавляет новые слои обфускации и упаковки для уклонения от обнаружения. Это демонстрирует постоянные усилия операторов по сохранению скрытности и устойчивости к средствам защиты. Угроза ClayRat серьезна не только из-за его обширных возможностей наблюдения, но и из-за злоупотребления ролью обработчика SMS по умолчанию в Android. Эта техника позволяет обходить стандартные запросы разрешений во время выполнения и получать доступ к конфиденциальным данным без поднятия тревоги.

Распространение ClayRat осуществляется через тщательно организованную смесь социальной инженерии и веб-обмана, предназначенную для эксплуатации доверия и удобства пользователей. Кампания сильно зависит от каналов Telegram и фишинговых сайтов, которые имитируют известные сервисы и приложения. В нескольких наблюдаемых случаях злоумышленники регистрировали домены, близко напоминающие легитимные страницы сервисов - например, поддельную целевую страницу GdeDPS. С этих сайтов-двойников посетители перенаправляются в каналы Telegram, где размещается или ссылается вредоносный APK-файл (пакет приложения Android).

Для увеличения успешности установки вредоносная программа часто сопровождается простыми пошаговыми инструкциями, которые побуждают пользователей обходить встроенные предупреждения безопасности Android. Операторы дополнительно усиливают свой охват, наполняя эти каналы Telegram сфабрикованными социальными доказательствами: постановочными положительными комментариями, завышенными счетчиками загрузок и поддельными «отзывами пользователей», предназначенными для снижения подозрений. Выделенные каналы распространения, служат постоянными хабами для распространения вредоносного ПО. Такая настройка не только позволяет быстро повторно использовать одну и ту же инфраструктуру, но и облегчает распространение по аффилированной модели, делая кампанию масштабируемой и сложной для нарушения.

Фишинговые сайты представляют собой еще один ключевой вектор распространения. Кампания использует множество поддельных порталов, которые имитируют популярные приложения - например, сайт в тематике «YouTube Plus» - и размещают APK-файлы, замаскированные под легитимные обновления или дополнения функций. Эти сайты тщательно разработаны, чтобы напоминать официальные сайты, и часто предоставляют пошаговые инструкции, которые проводят ничего не подозревающих пользователей через процесс установки APK из ненадежных источников.

Распространенные тактики включают указание пользователям включить установку из неизвестных источников или представление «сессионного» процесса установки, который имитирует опыт обновления Google Play на Android 13 и выше. Чтобы обойти ограничения платформы и дополнительные сложности, введенные в новых версиях Android, некоторые образцы ClayRat действуют как дропперы: видимое приложение является лишь облегченным установщиком, который отображает поддельный экран обновления Play Store, в то время как реальная зашифрованная полезная нагрузка скрыта в ресурсах приложения. Этот метод установки на основе сессии снижает воспринимаемый риск и увеличивает вероятность того, что посещение веб-страницы приведет к установке шпионского ПО.

Основным механизмом распространения в этой кампании является способность вредоносного ПО использовать список контактов жертвы. После активации и получения привилегий обработчика SMS по умолчанию, ClayRat автоматически составляет и отправляет сообщения, основанные на социальной инженерии («Узнай первым! <ссылка>»), каждому контакту. Поскольку эти сообщения кажутся исходящими из доверенного источника, получатели с гораздо большей вероятностью нажмут на ссылку, присоединятся к тому же каналу Telegram или посетят тот же фишинговый сайт. Таким образом, каждое зараженное устройство становится узлом распространения, способствуя экспоненциальному распространению без необходимости в новой инфраструктуре. Короче говоря, ClayRat сочетает в себе имитацию доверенных сервисов и приложений через отполированные фишинговые страницы, распространение через сообщества Telegram и постановочные социальные доказательства, обман на уровне пользовательского опыта через поддельные экраны обновления/установки и сессионные установщики, а также самораспространение через массовую пересылку SMS. Вместе эти тактики объясняют как быстрый рост кампании, так и ее эффективность в охвате нетехнических пользователей.

Шпионское ПО было названо «ClayRat» в честь его командного сервера (C2), который при доступе отображает форму входа с названием платформы. ClayRat использует стандартный протокол HTTP для связи со своей инфраструктурой C2.

Для обфускации своего трафика вредоносная программа вставляет маркерную строку "apezdolskynet" в иначе закодированные полезные нагрузки Base64.

Альтернативный вариант использует шифрование AES-GCM для защиты своих коммуникаций C2; он упакован и динамически загружает зашифрованную полезную нагрузку из своих ресурсов во время выполнения. Также было идентифицировано более 50 образцов, где вредоносная программа маскируется под приложение-дроппер для обхода ограничений Android. Реальная полезная нагрузка, которая зашифрована и хранится в ресурсах приложения, а установщик обманывает пользователей, показывая поддельный экран обновления Google Play.

Одной из наиболее эффективных тактик ClayRat является злоупотребление ролью обработчика SMS по умолчанию в Android. Когда приложению предоставляется эта роль, оно получает широкий доступ к содержимому SMS и функциям обмена сообщениями, позволяя шпионскому ПО читать, сохранять и пересылать текстовые сообщения в больших масштабах. В отличие от отдельных разрешений времени выполнения, которые требуют одобрения для каждой возможности, роль обработчика SMS объединяет несколько мощных возможностей в один шаг авторизации. Из-за этой широты доступа роль обработчика SMS является одной из самых чувствительных в Android. Хотя она предназначена для легитимных приложений обмена сообщениями, в руках вредоносного ПО она становится усилителем для кражи данных, скрытого наблюдения и массового распространения - эффективно обходя защиты, которые обычно регулируют опасные разрешения. После предоставления разрешения вредоносная программа немедленно захватывает фотографии (обычно с использованием фронтальной камеры) и загружает их на свой сервер C2. Шпионское ПО также поддерживает ряд удаленных команд, включая загрузку SMS-сообщений на сервер, извлечение журналов вызовов, извлечение уведомлений, отправку SMS с устройства жертвы, получение информации об устройстве, управление настройками уведомлений, совершение звонков, массовую рассылку SMS и динамическое получение прокси-URL WebSocket.

Шпионское ПО использует высокоэффективный метод распространения: оно отправляет массовые текстовые сообщения каждому контакту, сохраненному на устройстве жертвы, эксплуатируя социальную сеть жертвы для быстрого распространения. Получив команду от своего сервера C2, вредоносная программа составляет сообщение «Узнай первым! <ссылка>» и, используя разрешения SEND_SMS и READ_CONTACTS, автоматически собирает список контактов жертвы и доставляет вредоносную ссылку каждой записи. Превращая каждое зараженное устройство в автоматизированный узел распространения, это поведение обеспечивает быстрое и широкомасштабное заражение без дополнительной инфраструктуры. Полный набор команд, используемых шпионским ПО, включает получение списка установленных приложений, журналов вызовов, съемку фото, извлечение списка SMS, совершение звонков, массовую рассылку SMS, управление уведомлениями, кражу push-уведомлений, переотправку SMS, отправку SMS на номер, получение информации об устройстве и динамическое получение данных прокси для преобразования HTTP/HTTPS в WebSocket и планирования задач.

ClayRat представляет собой значительную угрозу для конфиденциальности и безопасности пользователей Android в России, демонстрируя сложные методы распространения и эксплуатации, которые подчеркивают необходимость повышенной бдительности, проверки источников загрузки приложений и понимания предоставляемых разрешений, особенно тех, которые связаны с критическими функциями системы, такими как обработка SMS.