В июне 2024 года в вирусную лабораторию Dr.Web поступили сообщения от клиентов, которые приобрели смартфоны на базе Android и установили антивирус Dr.Web Security Space. В этих сообщениях было обнаружено подозрительное приложение, замаскированное под популярное приложение для обмена сообщениями WhatsApp.
Описание
При ближайшем рассмотрении оказалось, что это часть кампании, направленной на кражу криптовалюты с помощью клипперов.
Клипперы - это вредоносные программы, которые перехватывают и изменяют данные, скопированные в буфер обмена, в частности, адреса криптовалютных кошельков. Они заменяют легитимные адреса кошельков адресами, принадлежащими злоумышленникам.
Использование троянизированных мессенджеров для кражи финансовой информации - не новая тактика для хакеров. Подобная кампания была выявлена в 2023 году, когда ссылки на вредоносные приложения Telegram и WhatsApp распространялись на таких платформах, как YouTube, в первую очередь среди китайских пользователей, не имеющих доступа к иностранным мессенджерам. Нарушив цепочку поставок китайских производителей Android-смартфонов, атакующие смогли предустановить на эти устройства мошеннические приложения, в том числе модифицированную версию WhatsApp. Эти взломанные устройства, часто встречающиеся в нижнем ценовом диапазоне и маскирующиеся под модели известных брендов, содержали скрытые приложения, которые могли манипулировать отображаемой технической информацией телефона.
Троянская версия WhatsApp создавалась с помощью инструмента LSPatch, который позволял модифицировать поведение приложения, не изменяя его код напрямую. Используя цепочку поставок и предустановленное программное обеспечение в недорогих смартфонах Android, злоумышленники смогли перехватить адреса ценных криптовалютных кошельков и заменить их своими собственными, что в конечном итоге привело к краже криптовалют у неосведомленных пользователей.
Indicators of Compromise
