Поддельный клиент Telegram для Android собирает переписку, СМС и геолокацию

Подобные сборки появляются регулярно, и причины у них обычно две: дополнительные функции, которых нет в оригинале, и монетизация чужого трафика. CrazyGram совмещает обе. Формально он предлагает расширенные настройки, ради которых его и устанавливают. Фактически же работает как средство сбора данных. Пользователю такой клиент ничем себя не выдаёт: сообщения доходят, звонки проходят, история чатов сохраняется. При этом программа определяет устройство, на котором запущена, и передаёт эти сведения на сервер. Она следит за уведомлениями и состоянием экрана. Отдельно она обращается к службе специальных возможностей (Accessibility) - механизму Android, который позволяет одному приложению управлять интерфейсом от имени пользователя. Внутренние текстовые метки указывают на интерес к СМС, адресной книге и геолокации. Ещё один список содержит названия банковских, финансовых и торговых приложений - он выглядит как заготовка для целевого воздействия.

Разбор образца показывает, что приложение не ограничивается чтением уведомлений. Внутри работает фоновая служба, независимая от открытых окон, поэтому обмен данными продолжается и после закрытия мессенджера. Связь идёт через постоянное соединение с удалённым сервером - отчёт ShadowTrace Research называет его главным признаком, по которому образец вычисляют в сети. Рядом обнаружились следы самозащиты. Программа распознаёт среду анализа и проверяет, не запущена ли она на эмуляторе. Такие проверки нужны вредоносному коду, чтобы не раскрыться в лаборатории. Значительная часть логики спрятана в отдельной библиотеке, поэтому беглый просмотр основного кода ничего не показывает. Есть и признаки посреднической роли: устройство можно задействовать как промежуточный узел для чужого трафика.

Шире всего последствия касаются финансов. Для обычного пользователя риск сводится к потере аккаунта: перехват кода подтверждения открывает доступ к переписке и к привязанным сервисам. Для сотрудников компаний, которые ставят сторонние клиенты на рабочие телефоны, добавляется утечка деловой переписки и контактов клиентов. Потери не ограничиваются одним человеком - через заражённый телефон злоумышленник получает доступ к переписке с коллегами и партнёрами. Опаснее всего интерес к банковским приложениям. При доступе к уведомлениям злоумышленник читает коды подтверждения операций и распоряжается деньгами со счёта. Геолокация, в свою очередь, раскрывает маршруты передвижения и адреса. Собранные сведения часто продают или используют для повторных атак.

Авторы исследования, которое ведёт проект ShadowTrace Research, подчёркивают осторожность выводов. Наличие разрешения, текстовой метки или имени функции в файле само по себе не доказывает, что этот код действительно исполняется. Поэтому результаты разделены на три группы: подтверждённое кодом и проверками, сильные признаки и то, что требует дополнительного анализа. Команды на удалённый сервер не отправляли, тест ограничился проверкой доступности соединения. Сведения о найденной инфраструктуре передали хостинг-провайдеру через канал для жалоб на злоупотребления 17 сентября 2026 года. Статус уведомления обещают обновлять по мере разбирательства. Контрольные суммы образца опубликованы, чтобы исследователи не путали разные версии файла.

Практические меры просты и не требуют специальных знаний. Мессенджеры лучше скачивать только из официальных магазинов приложений. Полезно проверить, какие разрешения запрашивает клиент: доступ к СМС, контактам, геолокации и службам специальных возможностей для переписки не нужен. Двухфакторная аутентификация закрывает часть сценариев, хотя перехват СМС она не отменяет. Если подозрительный клиент уже стоял на устройстве, нужно сменить пароль, завершить все активные сеансы и проверить привязанные банковские сервисы. Обновление антивирусных баз и полная проверка телефона тоже не помешают. Организациям имеет смысл ограничить установку приложений из неизвестных источников на корпоративных устройствах и вести учёт того, какими клиентами связи пользуются сотрудники.

Модифицированные клиенты остаются удобным каналом доставки. Пользователь сам устанавливает программу, сам выдаёт разрешения и сам снимает защитные ограничения системы. Фильтры магазинов приложений в этом случае не работают. Новые сборки под другими именами появятся с высокой вероятностью, а набор функций у них будет похожим. Пока такие файлы распространяют вручную, единой массовой волны заражений не будет. Однако каждая новая версия обходит уже известные проверки, и это меняет расстановку сил. Наблюдение за сетевыми признаками и своевременное обновление правил обнаружения дают защите больше, чем разбор отдельного установочного файла.