По данным экспертов Kaspersky Lab, в Google Play с 2022 года распространялся опасный троян Fleckpe, который заразил более 620 000 устройств. Вредоносные приложения были удалены из магазина, однако злоумышленники могли загрузить и другие, пока не обнаруженные версии, поэтому реальное число пострадавших может быть значительно выше.
Описание
Троян Fleckpe действует скрытно и использует сложные методы обфускации кода, чтобы избежать обнаружения. При запуске зараженного приложения загружается нативная библиотека, содержащая дроппер, который расшифровывает и запускает вредоносную полезную нагрузку. Эта нагрузка подключается к серверу злоумышленников (C&C) и передает данные об устройстве, включая коды страны (MCC) и оператора связи (MNC). На основе этой информации сервер отправляет страницу платной подписки, которую троянец открывает в невидимом браузере.
Если для оформления подписки требуется код подтверждения, вредоносная программа перехватывает его из уведомлений, доступ к которым был запрошен при первом запуске приложения. Получив код, троянец автоматически вводит его и завершает подписку, а пользователь даже не подозревает о мошенничестве. Внешне приложение продолжает работать как обычно - например, позволяет устанавливать обои или редактировать фотографии, - но в фоновом режиме с банковской карты жертвы списываются деньги.
Злоумышленники постоянно совершенствуют троян. В последних версиях большая часть вредоносного кода была перенесена в нативную библиотеку, что усложняет анализ и обнаружение. Полезная нагрузка теперь выполняет лишь минимальные функции: перехватывает уведомления и взаимодействует с веб-страницами, выступая посредником между нативным кодом и системными компонентами Android. Это делает троян более устойчивым к инструментам защиты.
Анализ Kaspersky Lab показал, что в коде трояна присутствуют жестко закодированные тайские коды операторов (MCC и MNC), что указывает на тестирование злоумышленниками своей схемы в Таиланде. Подтверждением этого стали многочисленные отзывы на тайском языке в Google Play. Однако телеметрия выявила жертв и в других странах, включая Польшу, Малайзию, Индонезию и Сингапур.
Эксперты рекомендуют пользователям внимательно проверять разрешения, запрашиваемые приложениями, и избегать установки программ из ненадежных источников. Если устройство начало списывать деньги без ведома владельца, необходимо проверить активные подписки и установленные приложения, а также использовать надежное антивирусное ПО. Google Play продолжает борьбу с вредоносными программами, но злоумышленники находят новые способы обхода защиты, поэтому бдительность пользователей остается ключевым фактором безопасности.
Индикаторы компрометации
