В марте 2024 года специалисты Kaspersky Lab выявили масштабную кибершпионскую кампанию, нацеленную на пользователей Android в России. Вредоносная программа, получившая название LianSpy, действует с июля 2021 года и обладает широким спектром возможностей по краже конфиденциальных данных. Она способна перехватывать видеозаписи экрана, собирать файлы, журналы вызовов, списки приложений и другие личные сведения.
Описание
Аналитики установили, что злоумышленники, стоящие за LianSpy, применяют изощренные методы маскировки, чтобы избежать обнаружения. В частности, они используют российский облачный сервис Yandex Disk для передачи команд и данных, что позволяет им не задействовать собственную инфраструктуру и оставаться в тени. Предполагается, что заражение устройств происходит либо через скрытые уязвимости в системе, либо при физическом доступе к телефону жертвы.
После проникновения на устройство LianSpy проверяет, запущена ли она как системное приложение, и запрашивает необходимые разрешения. Если доступ к критическим функциям ограничен, вредонос использует дополнительные методы для получения прав. Программа также анализирует окружение, чтобы убедиться, что она не запущена в эмулируемой или отладочной среде, что часто используется исследователями безопасности.
Конфигурация LianSpy сохраняется в файле SharedPreferences, который обычно предназначен для хранения настроек легитимных приложений. Это позволяет вредоносу оставаться активным даже после перезагрузки устройства. Для дополнительной скрытности программа удаляет свой значок из меню и регистрирует фоновый широковещательный приемник, который реагирует на системные события и команды злоумышленников.
Особенностью LianSpy является механизм обновления конфигурации через Yandex Disk. Каждые 30 секунд вредонос ищет в облачном хранилище файл, соответствующий определенному шаблону. Если такой файл обнаружен, он загружается, расшифровывается с помощью алгоритма AES, после чего настройки шпионского ПО обновляются в соответствии с новыми инструкциями.
Собранные данные, включая перехваченные видео, файлы и логи, хранятся в зашифрованном виде в SQL-базе. Каждая запись помечается типом и хэш-суммой SHA-256, что позволяет злоумышленникам эффективно управлять украденной информацией.
Эксперты Kaspersky Lab отмечают, что LianSpy представляет серьезную угрозу для конфиденциальности пользователей. Его сложные методы маскировки и использование популярных облачных сервисов затрудняют обнаружение и блокировку. Пока неизвестно, кто именно стоит за этой кампанией, но ее масштабы и продолжительность говорят о высоком уровне организации злоумышленников.
Пользователям Android рекомендуется соблюдать осторожность при установке приложений, особенно из ненадежных источников, а также регулярно обновлять систему и использовать надежные антивирусные решения. Компания Kaspersky продолжает исследование LianSpy и обещает опубликовать дополнительные рекомендации по защите от этого вредоносного ПО.
Индикаторы компрометации
