Новый троянец DoubleTrouble атакует пользователей мобильного банкинга через Discord: Скрытая запись экрана и расширенный шпионаж

Лаборатория zLabs раскрыла детали новой киберкампании, распространяющей мобильный троянец DoubleTrouble, который эволюционировал в опасный инструмент для тотального шпионажа за пользователями Android. Вредонос, первоначально распространявшийся через фишинговые сайты под видом европейских банков, теперь активно внедряется через Discord-каналы, где злоумышленники размещают образцы малвари на поддельных ресурсах. Троянец демонстрирует беспрецедентный уровень изощренности: от обфускации кода через случайные двухсловные комбинации до скрытой записи экрана и блокировки банковских приложений.

Описание

Эволюция угрозы: От фишинга к социальным платформам

Изначально DoubleTrouble фокусировался на краже банковских данных через оверлеи - поддельные окна, имитирующие интерфейсы легитимных приложений. Однако в текущей кампании злоумышленники радикально изменили тактику. Вместо фишинговых сайтов они используют Discord как платформу для распространения дропперов (загрузчиков) и полезной нагрузки. Эксперты zLabs собрали 9 новых образцов, включая полные цепочки заражения, что свидетельствует об активной фазе атак. Троянец маскируется под "расширения" или "аддоны", используя иконку Google Play для создания ложного чувства безопасности. После установки приложение запрашивает доступ к Службам специальных возможностей (Accessibility Services), а получив его, начинает фоновое выполнение деструктивных сценариев.

Техническая изощренность: как троянец обездвиживает защиту

Ключевой особенностью DoubleTrouble является применение продвинутой обфускации: все методы и классы в коде названы бессмысленными комбинациями слов (например, "PurpleRainbow", "SilentWhisper"), что блокирует статический анализ. Для активации троянец использует сессионный метод установки, где основной вредоносный модуль скрыт в директории Resources/raw приложения. После получения прав доступа к Accessibility Services, он запускает многоуровневую атаку:

Кража графических ключей и PIN-кодов: Через библиотеки PatternLockView и PinLockView троянец генерирует фейковые экраны блокировки, перехватывает ввод данных и сохраняет их в SharedPreferences перед отправкой на C2-сервер.
Скрытая запись экрана: С помощью MediaProjection и VirtualDisplay APIs вредонос создает виртуальный дисплей, дублирующий экран жертвы. Кадры захватываются через ImageReader, конвертируются в JPEG, кодируются в base64 и упаковываются в JSON с метаданными (разрешение, формат). Это позволяет злоумышленникам в реальном времени отслеживать действия пользователя: ввод паролей, OTP-кодов, операции в криптокошельках.
Блокировка банковских приложений: На основе динамического списка от C2 троянец отслеживает запуск целевых программ и накрывает их окном "Системное обслуживание". Это не только парализует доступ к счетам, но и подготавливает почву для оверлейных атак.

Расширенный шпионаж: кейлоггинг и оверлеи

DoubleTrouble внедряет кейлоггер, фиксирующий каждое нажатие клавиш через события TYPE_VIEW_TEXT_CHANGED. Данные пишутся в файл heart_beat.xml, а статистика запуска приложений - в launched_apps.xml. Дополнительно троянец использует классические оверлеи: например, под видом "верификации аккаунта" он накладывает фальшивые формы поверх легитимных приложений, похищая логины, пароли и данные карт. Украденная информация временно хранится в кэше, а затем эксфильтруется на сервер.

Арсенал команд: полный контроль на расстоянии

Анализ C2-протокола выявил 30+ команд, превращающих зараженное устройство в "зомби". Среди ключевых:

Управление интерфейсом: Эмуляция нажатий Home/Back, блокировка экрана (enable_black_on), отображение фейковых обновлений (enable_update_on).
Шпионские операции: Старт записи экрана (start_graphical), активация кейлоггера (get_events), скриншоты через start_skeleton.
Манипуляции с приложениями: Принудительный запуск (open_app), блокировка (block_app), открытие настроек Play Protect (open_play_protect).
HTML-инъекции: Внедрение фишинговых форм через WebView (enable_html_on) с кастомным кодом от сервера.

Заключение: масштаб и последствия

DoubleTrouble представляет качественно новый уровень мобильных угроз. Его способность записывать экран, блокировать антивирусы и симулировать системные уведомления делает его крайне опасным для владельцев Android-устройств. Эксперты zLabs отмечают, что троянец активен преимущественно в Европе, но его инфраструктура позволяет быстро масштабировать атаки. Распространение через Discord указывает на тенденцию использования легитимных платформ для доставки вредоносов, что усложняет их детектирование. Пользователям рекомендуется избегать установки ПО из непроверенных источников и критически оценивать запросы на предоставление прав Accessibility Services.

Индикаторы компрометации

IPv4

104.238.34.15
41.216.183.248
77.105.164.255
82.115.223.2

URLs

https://begans.cfd/
https://unicredit.appaggiornamento.com/
https://volksbank.applogininfo.com/

SHA256
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