Поддельное онлайн-казино для Android выманивает деньги у игроков и попутно забирает номер телефона и геолокацию. Приложение собрано на Flutter - открытом фреймворке Google, который позволяет делать программы под разные платформы из одной кодовой базы. Шансы в играх настроены в пользу оператора, а сами игры идут на серверах, которые владельцы контролируют полностью.
Описание
По данным Fortinet, образец получил имя Android/TinstaPorn.A!tr, хотя к порнографии отношения не имеет. Компания обнаружила его 5 октября и оценила уровень опасности как средний. Приложение выдаёт себя за онлайн-клон известного казино в Макао: слоты, рулетка и прочие игры подаются как настоящие. Доход оператора строится не только на подкрученной математике - игроков подталкивают к новым пополнениям через VIP-статусы, ребейты и приглашения друзей.
Инфраструктура разбита на уровни, и первый из них - конфигурационные серверы на Gitee и GitHub. Кода там нет: файлы содержат только адреса регистрационных серверов, а служебные метки отделяют нужные строки от остального текста. Один такой файл уже снят, второй отдаёт устаревшую конфигурацию.
Дальше приложение регистрирует устройство: отправляет на регистрационный сервер модель, идентификаторы и другие сведения об устройстве. В ответ приходит адрес сервера конфигурации линий, который выдаёт список игровых серверов. На случай недоступности в коде заготовлены резервные адреса. Такую же подстраховку предусмотрели для регистрации и для конфигурации линий.
Игровые серверы программа кэширует в локальной базе SQLite, чтобы не запрашивать список заново, и выбирает самый быстрый. Обмен данными с ними зашифрован: ключ AES приходит с сервера конфигурации открытым текстом. Это скрывает содержимое запросов от случайного взгляда, но не защищает от перехвата. Ключ доступен любому, кто видит ответ сервера.
Часть сведений приложение отправляет на отдельный сервер журналирования сразу после выбора игрового сервера. Сами по себе эти данные не слишком чувствительны, но позволяют составить отпечаток устройства. Геолокацию программа передаёт отдельным запросом, вместе с точностью определения и меткой времени. Номер телефона уходит на сервер при привязке к профилю.
Flutter выбран не только ради единой кодовой базы. Разбирать такие приложения аналитикам традиционно тяжело из-за нестандартных регистров и нехватки подходящих инструментов. К 2026 году положение изменилось: появились r2flutter, Bytecode Studio и поддержка ИИ внутри дизассемблера. По оценке исследователей, теперь на разбор уходит самое большее напряжённый рабочий день. Авторы называют приложение результатом спланированной разработки с чистой инфраструктурой и набором REST API. Сколько пользователей успели его установить и какими путями распространяют, не сообщается.
Индикаторы компрометации
