Недавно СМИ сообщили об аресте подозреваемых в распространении вредоносного приложения для Android, известного как Mamont. Это приложение использовалось в фишинговой кампании, в ходе которой пользователи получали сообщения в Telegram с видеовложением и сообщением «Это вы на видео?». Эта кампания продолжалась несколько месяцев, и эксперты по безопасности уже предупреждали о подобных вредоносных кампаниях в начале года.
Описание
Экспертам Solar 4RAYS удалось получить образец Mamont, и при исследовании было обнаружено, что часть сетевой инфраструктуры, связанной с вредоносной программой, все еще активна, что свидетельствует о сохранении угрозы заражения.
После загрузки и открытия вредоносного приложения Mamont вместо ожидаемого видео или фотографии открывается окно с содержимым, указанным злоумышленниками. Это может быть статичное изображение, легитимно выглядящая страница авторизации в Telegram или анимация бесконечной загрузки - все это призвано создать иллюзию технической проблемы. Одновременно с этим вредоносная программа отправляет информацию об устройстве жертвы, включая список установленных приложений и сохраненных текстовых сообщений, на управляющий сервер (C2) по незашифрованному WebSocket-соединению.
Информация, отправляемая на сервер C2, включает в себя уникальный идентификатор жертвы, модель устройства, тип соединения, активность экрана, данные SIM-карты, SMS-сообщения и установленные приложения. Это позволяет злоумышленникам собирать широкий спектр личной информации о жертве. Кроме того, приложение Mamont способно отправлять USSD-запросы, совершать телефонные звонки и отправлять SMS-сообщения, что может привести к финансовым потерям жертв. Перехват SMS-сообщений вредоносной программой дает атакующим возможность получить контроль над приложениями для обмена сообщениями и получить конфиденциальную информацию, такую как коды сброса паролей и подтверждения банковских операций.
Таким образом, арест подозреваемых в распространении приложения Mamont для Android подчеркивает постоянную угрозу фишинговых кампаний и потенциальную возможность вредоносного ПО собирать личную информацию и выполнять несанкционированные действия на зараженных устройствах
Indicators of Compromise
