Главная страница » Индикаторы компрометации
0
10 месяцев
Индикаторы компрометации

DeVixor: Эволюция Android-троянца с функциями вымогателя нацелена на пользователей в Иране

remote access Trojan

Исследователи из Cyble обнаружили и проанализировали сложную вредоносную программу для Android под названием deVixor, которая сочетает в себе функции банковского троянца и программы-вымогателя. Активная кампания по распространению угрозы нацелена преимущественно на пользователей в Иране через фишинговые сайты, маскирующиеся под легальные автомобильные компании. С октября 2025 года было собрано и изучено более 700 образцов, демонстрирующих стремительную эволюцию вредоноса от простого сборщика SMS до многофункциональной платформы для киберпреступлений.

Описание

Методы распространения и инфраструктура

Злоумышленники распространяют deVixor через сеть поддельных веб-сайтов, которые предлагают автомобили по заниженным ценам. Например, используются домены, имитирующие известные иранские автосалоны. Посетителей обманом заставляют скачать и установить вредоносный APK-файл. Для управления кампанией операторы используют инфраструктуру на основе Telegram и Firebase. Каждому зараженному устройству присваивается уникальный Bot ID, что позволяет злоумышленникам централизованно отслеживать инфекции, рассылать команды и обновлять функционал через Telegram-бота. Анализ канала в Telegram, созданного разработчиками, показывает активное развитие проекта, регулярный выпуск обновлений и масштаб операции - на скриншотах видны десятки одновременно зараженных устройств.

Целевой регион и цели атаки

Несколько факторов указывают на целенаправленную атаку именно на иранских пользователей. Во-первых, в коде вредоноса и коммуникациях операторов присутствуют персидские языковые артефакты. Во-вторых, фишинговые окна и интерфейсы выполнены на персидском языке. В-третьих, malware целенаправленно ищет информацию, связанную исключительно с иранскими банками, платёжными системами и локальными криптовалютными биржами, такими как Ramzinex, Exir и Tabdeal. Основная цель - кража финансовых данных для последующего мошенничества и полного захвата аккаунтов.

Технический арсенал и ключевые функции

После установки deVixor запрашивает широкие разрешения, включая доступ к SMS, контактам и службе специальных возможностей (Accessibility Service). Для управления он использует две отдельные серверные инфраструктуры: Firebase для получения команд и выделенный командный сервер (C&C) для выгрузки похищенных данных.

Ключевые возможности троянца включают:

  1. Массовый сбор финансовой информации через SMS.
    Вредоносная программа выполняет ряд специализированных команд для тотального сканирования входящих сообщений. Команда "GET_BANK_BALANCE" ищет данные о балансе счетов и одноразовые пароли (OTP), ассоциируя их с конкретными иранскими банками по ключевым словам. "GET_CARD_NUMBER" извлекает номера банковских карт с помощью регулярных выражений. Отдельные команды "GET_BANK_SMS" и "GET_EXCHANGE" собирают все сообщения от целевых банков и криптобирж соответственно. Это даёт злоумышленникам полную картину для мошеннических операций и перевода средств.
  2. Кража учетных данных через WebView-инъекции.
    Для перехвата логинов и паролей deVixor использует изощренную технику. По команде "BankEntryNotification" на устройстве появляется поддельное уведомление от банка. При нажатии на него в компоненте WebView загружается легитимная страница входа финансовой организации. Однако троянец внедряет в неё malicious JavaScript, который перехватывает введенные пользователем учетные данные и тайно отправляет их на C&C-сервер.
  3. Функция программы-вымогателя.
    Одна из самых опасных новых возможностей - модуль ransomware. Он активируется удалённой командой "RANSOMWARE". Злоумышленник задаёт параметры: текст вымогательской записки, адрес кошелька в сети TRON и сумму выкупа (например, 50 TRX). Вредонос блокирует устройство жертвы, отображая сообщение о необходимости оплаты для разблокировки. Состояние блокировки сохраняется в файле конфигурации, что обеспечивает её устойчивость (persistence) даже после перезагрузки смартфона.
  4. Дополнительные возможности слежения и контроля.
    Помимо основного функционала, deVixor может собирать историю уведомлений, перехватывать нажатия клавиш (кейлоггинг), делать скриншоты, извлекать контакты и медиафайлы, а также препятствовать своему удалению, маскируясь под системное приложение, например YouTube.

Заключение и оценка угрозы

DeVixor представляет собой яркий пример эволюции мобильных угроз в сторону создания комплексных, сервисно-ориентированных криминальных платформ. Сочетание банковского троянца, инструмента удаленного доступа (RAT) и программы-вымогателя в одном пакете делает его особенно опасным. Активный цикл разработки, модульная архитектура команд и использование популярных легальных сервисов, таких как Telegram и Firebase, для управления инфраструктурой, осложняют традиционные методы обнаружения.

Узкая региональная направленность на Иран демонстрирует тщательный выбор цели и специализацию злоумышленников. Пользователям в этом регионе следует проявлять повышенную бдительность: не скачивать приложения из непроверенных источников, внимательно проверять адреса сайтов и запрашиваемые разрешения. Для организаций, включая финансовый сектор, эта кампания подчеркивает необходимость информирования клиентов о фишинговых рисках и важности использования только официальных магазинов приложений. Угроза deVixor иллюстрирует общий тренд, когда мобильные вредоносы превращаются в долгосрочные, прибыльные и постоянно развивающиеся киберпреступные предприятия.

Индикаторы компрометации

Сдаётся рекламное место
Комментарии: 0
Похожие записи
0
08.07.2024
Индикаторы компрометации

Увеличение числа случаев эксплуатации уязвимости Microsoft SmartScreen CVE-2024-21412

Увеличение числа случаев эксплуатации уязвимости Microsoft SmartScreen CVE-2024-21412
Лаборатория Cyble Research and Intelligence Labs (CRIL) обнаружила активную кампанию, которая использует уязвимость Microsoft SmartScreen (CVE-2024-21412) для доставки вредоносной программы через спам-письма.
0
18.11.2024
Индикаторы компрометации

DoNot APT IOCs - Part 3

DoNot APT IOCs - Part 3
Исследователи из Cyble обнаружили недавнюю кампанию, связанную с группой DoNot, направленную на производственный сектор Пакистана, в основном на отрасли, поддерживающие морские и оборонные операции.
0
29.12.2025
Индикаторы компрометации

Многослойная угроза: универсальный загрузчик используется в целевых фишинговых кампаниях

Многослойная угроза: универсальный загрузчик используется в целевых фишинговых кампаниях
Аналитики Cyble Research and Intelligence Labs (CRIL) обнаружили сложную фишинговую кампанию, в которой различные группы угроз используют один и тот же универсальный загрузчик вредоносного ПО.
0
27.09.2024
Индикаторы компрометации

Patchwork APT IOCs - II

Patchwork APT IOCs - II
Cyble Labs (CRIL) обнаружили продолжающуюся кампанию атак со стороны группы Patchwork APT, которая, скорее всего, нацелена на китайские организации. В этой кампании используется новый бэкдор, который обходит