Hagaseca THost9: Android-троян заражает устройства через открытую службу отладки

Строение программы двухчастное. Небольшое приложение-загрузчик маскируется под обычный установочный файл и прячет настоящий код внутри себя: тот зашифрован простым обратимым преобразованием и сжат, а при запуске распаковывается прямо в памяти устройства. Значка в меню приложений такое приложение не показывает, записи в списке недавних задач не оставляет и выводит пустое уведомление о работе в фоне. Дальше загрузчик обращается к внешнему серверу и получает основной модуль, который отвечает за всё остальное: удалённое управление, работу с файлами, перенаправление сетевого трафика и связь с управляющим сервером.

Как показало исследование, возможности второго модуля заметно шире, чем у большинства мобильных троянов. Он выполняет произвольные команды на заражённом устройстве, скачивает и запускает дополнительные программы, передаёт файлы в обе стороны, организует сетевой туннель и открывает удалённый доступ к содержимому экрана. Отдельный механизм отвечает за распространение: он находит другие устройства с открытой отладкой, перебирает адреса в пределах выбранной сети, подключается к доступным и устанавливает на них копию себя. Полный перебор занимает считаные минуты, поэтому одна заражённая машина быстро заражает остальные устройства в локальной сети.

Распространение построено по принципу сетевого червя. Для подключения к чужим устройствам программа использует заранее подготовленные ключи отладки, то есть подбор пароля не требуется. Перед установкой копии она собирает сведения о жертве: модель устройства, версию системы, объём памяти, состояние отладки. Эти данные уходят на управляющий сервер. Заражению подвержены не только телефоны, но и контейнерные среды, в которых Android запускают на серверах. Если отладочный порт такого контейнера опубликован наружу, злоумышленник получает доступ к виртуальному устройству, а через него - возможность закрепиться в инфраструктуре. Публичные записи об инцидентах подтверждают этот сценарий: после обнаружения трояна администраторы меняли настройки публикации отладочного порта на доступ только с локального адреса.

Значительная часть работы построена на службах доступности Android (accessibility) - штатном инструменте, который помогает людям с ограничениями здоровья управлять устройством. Через него вредоносная программа получает контроль над интерфейсом: открывает настройки, нажимает кнопки, листает экраны, вводит текст от имени пользователя. В одной из проверенных сборок локальный сетевой порт принимал команды вообще без проверки подлинности, поэтому управлять экраном мог любой процесс на устройстве.

Закрепление в системе продумано до мелочей. Программа запускается автоматически после перезагрузки, держит постоянную фоновую службу и восстанавливается примерно через две секунды после принудительной остановки. Более новая версия проверяет, не запущен ли на устройстве инструмент для анализа мобильных приложений, и при обнаружении немедленно завершает работу с характерной отметкой в журнале. Сообщения владельцев совпадают с тем, что видно в коде: после заражения перестаёт работать отладка по кабелю, а после удаления программы доступ возвращается. Ещё один тревожный признак - пустое уведомление в шторке, за которым скрывается постоянная фоновая активность.

Слабое место самой программы - в её криптографии. Для защиты канала связи она использует одну и ту же последовательность байтов и как ключ шифрования, и как значение, с которого начинается шифрование потока. Такой подход заметно упрощает перехват и анализ трафика. На одном из участков программа и вовсе отключает проверку подлинности сертификата сервера. Эти просчёты не доказывают, что злоумышленников уже перехватили, однако дают защитникам дополнительную опору при разборе заражённых устройств.

Последствия для пострадавших серьёзные. Злоумышленник видит экран, читает переписку, получает доступ к сохранённым паролям и банковским приложениям. Заражённый контейнер с Android в корпоративной инфраструктуре становится удобной площадкой для дальнейших атак. Владельцу личного смартфона заражение оборачивается утечкой личных данных, а компании - риском компрометации внутренних сервисов и простоем, пока устройство не выведут из строя и не переустановят.

История семейства прослеживается с 2024 года: тогда появилась ранняя версия трояна, а подписанные сборки нынешнего поколения распространялись на протяжении 2025 и 2026 годов. Название кластера собрано по косвенным признакам - совпадающим именам в коде, единому сертификату подписи и общей инфраструктуре, а не по данным о конкретной группировке. Прямых доказательств того, кто именно стоит за атаками, у аналитиков пока нет.

Защита начинается с отказа от открытой отладки. Службу ADB стоит держать выключенной, если она не нужна, а удалённое подключение к контейнерным средам закрывать аутентифицированным туннелем вместо публикации наружу. Мобильным администраторам имеет смысл следить за появлением приложений без значка, с пустыми уведомлениями и включённой службой доступности. Настройки доступности нужно периодически проверять: включённая служба, о которой пользователь ничего не знает, остаётся одним из самых надёжных признаков заражения. Отдельная мера - контроль за устанавливаемыми приложениями и запрет установки из неизвестных источников. При подозрении на заражение устройство лучше изолировать от сети, сохранить журналы и данные для разбора, а если подтвердить целостность системы не удаётся - переустановить её с нуля.