Эволюция Android-трояна Falcon: от фишинговых обновлений до полного контроля над устройством

Первоначальный образец "mir-pay.apk" был загружен в песочницу PT Sandbox. Система зафиксировала несколько подозрительных признаков: метку "Формат подделан", сохранение файлов с расширением .png, динамическую загрузку кода в память и имя, отсылающее к платёжной системе "Мир". На первый взгляд вредонос напоминал известного трояна Mamont, однако дальнейший реверс-инжиниринг выявил иную архитектуру.

Вредоносное приложение использует двухступенчатую упаковку. Первая стадия - загрузчик, который размещён в классе "io.immense.gesture.Ipperfluid". Он обрабатывает глобальные исключения, выполняет подготовительные действия и распаковывает код полезной нагрузки с помощью математических вычислений. В приложении практически отсутствуют реальные классы, что является признаком обфускации статического анализа. Для извлечения полезной нагрузки аналитики применили поведенческий анализ в песочнице.

Внутри загрузчика обнаружены захардкоженные строки на русском языке, в том числе в логах. Также присутствует функционал создания уведомления об успешном "обновлении приложения" после установки вредоносной нагрузки. Ключевой особенностью является использование легитимных облачных сервисов для хостинга вредоносного ПО. Ссылки ведут на таск-трекер Trello, где размещён HTML-файл с фейковой страницей обновления. При запуске этот файл просит пользователя "обновить приложение", что позволяет скрыть вредоносную активность от антивирусных средств. Кроме того, после установки на устройстве появляются два приложения: одно - фишинговое, другое - скрытое и не отображаемое в лаунчере.

Согласно анализу, с Trello через переадресацию с Яндекс.Метрики скачивается вторая стадия - полноценный бэкдор. Этот APK-файл также упакован аналогичным способом. В его распакованной версии чётко прослеживаются классы, отвечающие за различные функции: обработку входящих СМС ("MyMessagingService"), запись экрана ("ScreenCaptureServiceFaApp"), создание скрытого канала уведомлений ("AllServiceFaApp"), перехват входящих звонков ("CallReceiverFaApp"), а также постоянный перезапуск сервисов для предотвращения завершения процесса в фоне. Интересно, что код содержит перевод интерфейса на три языка: английский, русский и украинский.

Сетевое взаимодействие бэкдора включает определение IP-адреса жертвы, скачивание файла "random_val.txt" с Dropbox и отправку данных на управляющий сервер "cold-apple[.]com". Шифрование трафика осуществляется с помощью RC4, причём ключ выбирается на основе захардкоженного значения "api_code". Расшифрованные запросы содержат информацию об устройстве, установленных приложениях и другие данные. В ответ сервер присылает конфигурацию, определяющую дальнейшие действия.

Изучение карточек на Trello показало, что вредоносная кампания длится как минимум с 28 ноября 2024 года, а файлы обновлялись вплоть до 23 марта 2025 года. На доске присутствуют карточки с названиями, указывающими на таргетирование российских банковских приложений ("vtb drop", "injects"). Внутри HTML-файлов содержится фишинг, через webview запрашивающий у пользователя доступ к "Специальным возможностям". Получение этого разрешения фактически даёт злоумышленникам полный контроль над устройством: чтение экрана, перехват нажатий, звонков, СМС и банковских данных. Кроме того, вредонос может "окирпичить" телефон, открыв произвольную HTML-страницу поверх экрана блокировки.

Атрибуция к кампании Falcon стала возможна благодаря совпадению нескольких индикаторов. В 2022 году компания Cyble уже публиковала отчёт о подобной вредоносной кампании, нацеленной на Россию. Сравнение образцов 2022 и 2026 годов показало различия в обфускации, но основной функционал сохранился. В новой версии добавились классы: "ActivityRequestVnc" (запись экрана), "ActivityStartMainService" (постоянный перезапуск), "AllServiceFaApp" (скрытый канал уведомлений), "CallReceiverFaApp" (обработка звонков), "DropperReceiverFaApp" (фоновый сервис), "MyMessagingService" (обработка СМС), "MyServiceReceiver" (постоянный ping сервера), "OpenRedirectActivity" (сбор данных через JavaScript), "ScreenCaptureServiceFaApp" (скриншоты) и "WhiteActivity" (блокировка экрана через HTML). Также в коде сохранился URL вида "/api/api.php?get_lend=", который упоминался в отчёте 2022 года.

Аналитики отмечают, что в мае 2025 года злоумышленники начали использовать для хостинга нагрузок другой отечественный таск-трекер - YouGile. Свежие образцы содержат имена файлов, совпадающие с названиями популярных банков, чтобы пользователь не заметил подмены. В новых версиях вредоноса появилось шифрование строк для обхода антивирусного детектирования, а также фишинговые страницы для ввода PIN-кода и графического ключа (классы "PatternActivity" и "PinActivity"). Эти данные сохраняются локально на устройстве. Кроме того, трекер AppMetrica заменён на трекер от Mail.ru.

Кампания Falcon демонстрирует устойчивый интерес злоумышленников к Android-устройствам российских пользователей. Эволюция вредоносного ПО за четыре года привела к появлению функционала для полного захвата управления устройством, включая запись экрана, перехват двухфакторной аутентификации и создание фишинговых окон поверх легитимных приложений. Использование легитимных сервисов (Trello, YouGile, Яндекс.Метрика) для хостинга и перенаправления трафика усложняет обнаружение традиционными средствами. Пользователям следует проявлять крайнюю осторожность при установке приложений из неофициальных источников, а также внимательно относиться к запросам на предоставление доступа к специальным возможностям устройства. Одно необдуманное нажатие на кнопку "Обновить" может стать первым шагом к полной компрометации личных данных и финансов.