С 2022 года Android-троянец Zanubis целенаправленно атакует финансовый сектор Перу. Начав с поддельных PDF-ридеров, к 2025 году он эволюционировал в сложную угрозу, маскируясь под приложения налоговой службы SUNAT, банков и энергетических компаний. Ключевой метод заражения - социальная инженерия: пользователей обманом заставляют активировать службы доступности (Accessibility Services), что дает троянцу неограниченный контроль.
Описание
С 2022 года Android-троянец Zanubis целенаправленно атакует финансовый сектор Перу. Начав с поддельных PDF-ридеров, к 2025 году он эволюционировал в сложную угрозу, маскируясь под приложения налоговой службы SUNAT, банков и энергетических компаний. Ключевой метод заражения — социальная инженерия: пользователей обманом заставляют активировать службы доступности (Accessibility Services), что дает троянцу неограниченный контроль.
2022: Базовая кража данных
В первой версии Zanubis собирал контакты, списки приложений и данные устройств, обходя оптимизацию батареи. Троянец использовал оверлейные атаки, подменяя интерфейсы 40 перуанских банковских приложений. Код тогда не имел обфускации, что упрощало анализ.
2023: Усложнение и расширение функционала
Версия-2023 внедрила обфускацию через Obfuscapk (мусорный код, переименование классов, RC4-шифрование). Появились новые опасные функции: перехват SMS для обхода двухфакторной аутентификации, запись экрана и блокировка устройств через фейковые обновления. При активации команды bloqueoUpdate троянец полностью парализовал телефон, имитируя установку системного апдейта, а в фоне изменял настройки или удалял приложения.
2024: Криптография и кража учетных данных
Обновление принесло AES-шифрование строк и коммуникаций с C2-серверами. Zanubis научился красть PIN-коды и графические ключи разблокировки устройств, отслеживая ввод через системные события. Целями стали не только банки, но и провайдеры виртуальных карт (14 новых жертв). В мае 2024 в VirusTotal зафиксировали свыше 30 тестовых образцов, что подтвердило активную разработку.
2025: Точечные атаки и скрытность
Современная версия сменила тактику. Вместо SUNAT троянец маскируется под энергетические компании (фейковые счета «Boleta_XXXXXX») и банки, внедряясь через сообщения «Следуйте инструкциям консультанта». Главное новшество — скрытная установка через PackageInstaller: полезная нагрузка извлекается из ресурсов APK-дроппера и инсталлируется в фоне без уведомлений. Круг жертв сузился до банков — криптокошельки исключены из целей.
Происхождение и риски
Локализация (латиноамериканский испанский в коде), знание перуанских реалий и телеметрия указывают на связь операторов с Перу. Троянец способен блокировать устройства, похищать SMS, записывать экран и красть банковские реквизиты. Его эволюция демонстрирует высокий уровень организации разработчиков.
Индикаторы компрометации
