Исследовательская группа zLabs выявила новую разновидность Android-шпионского программного обеспечения под названием RedWing. Данная вредоносная программа распространяется по модели Malware-as-a-Service (вредоносное ПО как услуга) через канал в Telegram и, по предварительным данным, связана с русскоязычными киберпреступными группировками. Злоумышленники распространяют арендуемое ПО с помощью фишинговых сайтов, ориентированных на мобильных пользователей. Значительная часть полезных нагрузок (payload) и дропперов (программ, доставляющих основное вредоносное ПО) не обнаруживается стандартными средствами защиты. Специалисты zLabs отмечают сходство данного образца с известным шпионским ПО Oblivion на этапе работы дроппера и некоторых используемых оверлейных окон.
Описание
RedWing обладает широким набором вредоносных функций, направленных на хищение данных и удалённое управление устройством. Среди ключевых возможностей - несанкционированное извлечение SMS, контактов, журналов вызовов и файлов из памяти телефона, трансляция экрана в реальном времени через протокол VNC (Virtual Network Computing, протокол удалённого рабочего стола) и блокировка экрана жертвы. Для сокрытия присутствия программа скрывает свой значок, обеспечивая тем самым закрепление в системе и обход обнаружения. Кроме того, RedWing умеет выводить мошеннические оверлейные окна для кражи учётных данных банковских и криптовалютных сервисов с возможностью создавать новые шаблоны прямо из панели управления командного центра (C2). Ещё одна функция - запуск распределённых атак типа "отказ в обслуживании" (DDoS) с инфицированных устройств.
По оценке zLabs, RedWing - не примитивная вредоносная программа, а полноценный коммерческий продукт класса MaaS. Разработчик предоставляет документацию, обучающие видео и бота для оформления подписки, что снижает порог входа для начинающих злоумышленников. Сборка, обфускация и настройка APK-пакета выполняются через Telegram-бота. В канале RedWing были обнаружены описания нескольких бизнес-моделей: от различных тарифных планов подписки до реферальной схемы, дающей скидки за привлечение новых клиентов.
Вредоносная программа представляет серьёзную угрозу для финансовых организаций. Мошеннические банковские оверлеи в сочетании с перехватом SMS, содержащих коды двухфакторной аутентификации (2FA), позволяют злоумышленникам обходить защиту мобильного банкинга. При этом из предоставленного анализа C2-инфраструктуры следует, что RedWing оснащён модулем "Конструктор дроппера". Этот инструмент позволяет создавать фишинговые страницы, маскирующиеся под интерфейсы магазинов приложений Google Play, Galaxy Store и AppGallery, а также разрабатывать полностью кастомные шаблоны. Злоумышленники могут менять метаданные приложения - рейтинг, количество отзывов, число загрузок, имя разработчика и локализованные баннеры обновлений, чтобы убедить жертву установить вредоносный APK.
Перед установкой удалённого контроля RedWing должен получить постоянное присутствие на устройстве. Для этого в панели управления предусмотрен "Конструктор онбординга". В модуле сбора данных ("Stealer") используется интерфейс WebView с карточками. Сначала загружается легитимно выглядящая веб-страница, а затем последовательно выводятся кастомные запросы на предоставление разрешений. С помощью социальной инженерии программа вынуждает пользователя отключить оптимизацию батареи (для фоновой работы), назначить себя обработчиком SMS по умолчанию (для перехвата 2FA) и разрешить доступ к уведомлениям. Полученные разрешения в реальном времени передаются на сервер C2, который на основе этих данных определяет, какие команды можно выполнить на заражённом устройстве.
Помимо перечисленного, злоумышленники могут настраивать внешний вид запроса на доступ к специальным возможностям (Accessibility Service), изменяя название сервиса и текст описания для повышения убедительности. При анализе одного из образцов RedWing было подтверждено, что все заявленные функции действительно реализованы. Дроппер в данном случае имитировал магазин RuStore.
Сервер C2 RedWing обладает расширенными возможностями по манипуляции экраном - от снятия скриншотов до вывода оверлеев для кражи PIN-кодов или отображения поддельных экранов загрузки, блокирующих взаимодействие пользователя с устройством. Для этого используются внутренние команды: <show_overlay> для внедрения кастомных макетов, <long_click> и <swipe> для имитации действий пользователя. Вредоносная программа получает полный доступ ко всем файлам на устройстве и может удалённо запускать любое установленное приложение. Также реализована возможность удалённой активации камеры и микрофона через команды <take_photo> и <start_recording> с помощью API MediaRecorder.
Шпионское ПО целенаправленно собирает SMS, контакты, журналы вызовов, метаданные устройства и географические координаты. Кроме того, оно способно перенаправлять входящие звонки через скрытый USSD-запрос *21* на номер под контролем злоумышленника, что полностью нейтрализует голосовую двухфакторную аутентификацию. В сети был зафиксирован обмен командами <get_phone_number> и <ussd_request> для получения номера мобильного телефона жертвы и запроса баланса счёта.
Особую угрозу представляют оверлейные атаки на финансовые сервисы. Исследователи выявили 82 целевые организации из разных секторов, причём основной упор сделан на российские финансовые институты. Список атакуемых приложений можно изменять через панель управления без обновления самого вредоносного пакета. Используя регулярные выражения, RedWing автоматически извлекает из текста на экране OTP-коды (одноразовые пароли), номера банковских карт, CVV-коды и телефонные номера. При этом список приложений для мониторинга через Accessibility Service жёстко прописан в коде, что указывает на динамическую компиляцию APK под каждую кампанию.
Функция VNC позволяет атакующему в реальном времени просматривать и управлять экраном жертвы с помощью MediaProjection API. Изображение кодируется и отправляется на C2-сервер, а встроенный кейлоггер фиксирует все нажатия клавиш и передаёт их через WebSocket. Наконец, RedWing способен превратить заражённый смартфон в элемент ботнета для проведения DDoS-атак на заданную цель. Через панель управления можно запустить одновременную атаку со всех заражённых устройств.
В канале Telegram разработчик анонсировал создание централизованной панели для управления фишинговыми кампаниями на различных мессенджерах. Эта инфраструктура, по всей видимости, предназначена для масштабного сбора учётных данных и централизованного управления скомпрометированными аккаунтами. Обнаружение RedWing подтверждает тенденцию профессионализации рынка вредоносного ПО для мобильных платформ и появление новых угроз для финансового сектора.
Индикаторы компрометации
Domain
- api-sync-service.mdkd1184.workers.dev
- krusty-crabs.sbs
- redwing.top
URL
- https://manyrei.live/Proton_VPN.apk
- https://offservers.ru
- https://wmanyrei.icu
- https://yandex-disk.net
- redwingqq.top/login.htm
SHA256
- 013642fa369e3f4686339f4de1f7e331bef2c5ece9f1682bc18c02c2f344e797
- 01acbba573f577f19d156111af07fdbd0c08b51e8403a6fdc103f286d32d00fb
- 025d3b9b2536394a3e2dfd950f4a4caa53cc05002e990199372ead2e709ae738
- 06a24c7424060b62215981dd7f396f4fc7c3645e1fae21f56542b2fb781ff3ce
- 0b10c55cf3df2ef0fb757a4feca1fc48bc1a48de7e22d9c0382d777365675373
- 0c94605e5ab73a6f03618b5961801b654d413ee90d47397dcb31eab1f9f45a9c
- 0cde06237614cd9a42948be23c5f362cc619f1c91a0e8708b9efbba55ffdf050
- 0e004a2f7cd1028782cb92cdab8fa81c0a86b0a2e668f6ffdf4fb15292a9206a
- 0e9b3642ffefcbdf367b5b8d6cb055c6dba284fc9d492800ab2ad9369c7a8c14
- 17463924a2b950f61ec6b1e309b1dde512a8b0a4430d4f5bdfa6306667c6aa1a
- 194b7765b0de4c86a01e9e92005bf8d0c27560872b7f0b739e3ff2c345970602
- 1a2e5035501b66d902cc8ed42b726d22e054d1d156d01b4f9cb26fd12037c436
- 1c274031f8a092518ab0cc65b16906059b297784d778ef42175dfb6430a4cdec
- 1e13da9071a2a217605c9c30dee8d851f165006276cfbb105d3baa0452571be5
- 2000a4a93b0ba386eea578a609cda4bda75579599433d06f3a52d032c3bc3557
- 2090aa89a64b28ee25a2454b1a09f84d87e4e1dfea95fa2d4e4626ae8b93be79
- 2423d2f2f1589328de2cb0b8758abf106607f9bc1114247a4c64a01b66fa9e0c
- 25dbda788037449c9050a0754d3dbb5c4d101a01e547bdef6d74da6d514ae3b2
- 267f995c8c8c162e11fc5a0b5adcc251dd61ad400178da934fc4b2c0a334093d
- 2722c2eec27540d5773920f1b6d59bbde4c97f6df167c081d495fa81320439a9
- 2ac3ca2195cd9275e4b6443385249c7b0bf3f1703307aecf032096ad47e8b04e
- 2d5c6565a23de8182b1d0750682543f574df3ce8f66e2adbf801ccc3358aaf68
- 2dc7565fc0dcddba8cd378a0582ed4f6f3042165feddf22269664b1645390e93
- 2f809cc09cb6581250997b436df2332badd71f48b663bf66d429e4b5a773a668
- 3249a339d607ca82521cb515ac5a4bfd2fa5a4ed272a76d5d27fb0b24f0be4c9
- 33f0435f9085a08e543a9f1d28c9bb0c68cbaf658e71d1e735d055b010b3011a
- 382cfb866a9fa041e20f05f92bc03c782a66146eb545029dc1f4e1b0257bed47
- 396237f625f233ba3d4ee666ecfa5c2d430246c3b3e8c476e064226742728759
- 3a58396f1b6cd05fc92d6c499ecedfff74a5d86b11bd4506575b0ae22de032e6
- 3a5caf73f63eb20958a5180737df73d052ba62bbc809d2131b9a58b7db086bbd
- 3df43fae34fd379fede77a7a1165e8b951fc0bf694489982043d23869587564b
- 42d1d3141ff48d01e4f2cc7763108b12d7d45d47f9740308fb697f49d4855344
- 431628b5c2ed2ab2ac7008e0f9a2c2625c13fb1a0879069a437bfe718ee4cdfa
- 44bb27c86fd6e3a017f196507b7b3eff1ecb2df02def445d16f99c2f2ad56b38
- 466a198b001beb9731f375206cfc2f5d1237f4e0b4139e0be38460b648427c05
- 4676709715fed50c222f12f9276504b734ffa1a57a6afd04d8863fefd8d40905
- 46c65b6b3b104496486ea573620b23a2fb392c698190da3e6f406d862ae74f52
- 47a292dd5e6ef67e65b71d3919fcbbdb933fe012576f42cb58b00ce306628d26
- 47bb1cba0d873d2faf4d0289e792c9fb2f5cc83ee6427df33cfb3e96299f221e
- 4b2c3735389b00a67b94f0ceacabc662603a32990df2e3cbc250e3bd8fa62e70
- 4c7f4498c1a0b8b03cefd54499f9b8c26632c612cf0eaf88ed1d5ed03c2c08e4
- 4d8291287b93be77b57d1d519d0eed2954d242b1394a4a43af7efbd5c95235bb
- 500eac20206935a6542c4a0f1f0e45109106fefa3a18fa32108b968d04946e47
- 5100f5c8fb1cfaf1a55acb91e1e46134ebdb7dfc43c6dc013c4511bf20d5a7ca
- 606e1d68f7e3d7f0d68f7f6c39772f5d29fc85c7779b449854c7315a22ac9c91
- 61b0c361848057b8f37790f92a896cfc5b1cec3bdabf453b40fab2baa634b0af
- 645ff8f37136570e8ae44d21cbf222f5b68cdffdb721456896b88fb8cffbc3b8
- 67e444344d0d70f3e0dc16d0a75688321ed144f7de7f140c76fc87e2be2e5f4a
- 6881261b6875cc8c0dcad93dbf96eccb0228305b5f218ac3a0c2e347eac61da0
- 716d37b26fa2fb2c9bca7e3acdc550b3ca40b842eb28ad1d461621a1ddd3ce24
- 71f4aaa10c1314887f9d2f8219d44fad947f6e0d1c388c65980968e31ae19077
- 7273b024c469de0cbd8f2440e0fe63f6d3499e36e5f3f8a82d6ef6e7251edc44
- 72a52b1a9687ab627143df37b931dd79e5dcd25523bb70d766216dcb76236bc7
- 73e12a32c9918deaa7e3fa60ba6d4ca171f4687e2ed0e0a30ad146f721fb561f
- 7630b77e8ae61ebe9050a166593dadb03dfb2784d653af4834cf285807da3da0
- 777e9fdf95cff0b7768c9cd8c5f0a79dfd8ffcc40fa6d65be0a4d9d97715289d
- 7bbd6364ab7c2c44001da3292f14f140450325ad2719b4f4a77042606a91b89c
- 7f44fc2c0d2dd7f41d6440f26c680f05eb50f20c86c178064141f30e5ba65435
- 83ecc4e60eb90bbcee503a2caa479cebfe345722639720751b4fd179cec51552
- 83f968ccb3e1d385d0456d9b7a063c078421c3a9f14a845dac3e975e8ce12c70
- 8421b9385772cd111e647058fcb84b2226da110ad9b3ea0a879d8bc586980def
- 86dbfe74a42aebbfa6e7d617e96f7f203fccb8838900b8c2cc8910e047c2fda0
- 89a6a865d33f5e41ac0c3c110514825c5c354ef11a6233cc041e942353ce3275
- 89c5a6600c3b7baadc95fb3a03fb1fb74a31ba5a5be4ba3bbd64c26f8c09053f
- 8a960bd07d92a4063f34153f8a2ed09c2f5080c2fce1d42a27d1d5f24a7bd0c1
- 8c22af8787ca9c86dfa2c46714553abb815f6e6e5d63c5e8c417e6ac97bb8679
- 8dadfd1388e5a21043c13f150c09184d907012a57608d0bf42d37de354379607
- 8fe016283e34bebc275b45ed272b8e288586bf8fac21f2bf96e7ce2475b166a6
- 900a814138634c908d5854459d9228d6afa89ff30e8229be09ec7ba8f6f4eeb0
- 924ee3361f4fb3b4a19f91b56127ba54de7a56ceda0aaa5e6f55f8d7aa289b52
- 96edb1cf80d26d474237507f7f8254cef2203bff5e981df53102c1009665cd48
- 98b10b5d296cb2177a772d432ccffdf43046b034c39d8aa141a3ead2edcbf5a2
- 9aea7d15c71024732ced1eba1251a072e5367a8292233ea0159aa3482e5f4491
- 9f6344635ec9a4e714bb2e18fd7eef6c963c2e6f4c602d167081e5366b8c1300
- a056991f689bbfc4eda0a947ad1455d345dcb40b38ab859db50370fbcde6b2d5
- a366d5baf33ed850b6ddb90d6d7f081d7c07e29b57b840c2ccd61ebb0e17c336
- a45ab4a898a2cc0f5bcd12d0130e6979236276fa463e4fe48ddf0f3d4f431df4
- ad9e3a4531c6e28ba575962926cc10a1d6409663324713ba7d208df292a8e90c
- aec9a05c34ab1c6682b7b4010f2c661a00800c496412a98fe0dbdc0225d61f04
- b2ea0559ff0f8f385e56c7393b22fa8a3d216f510d7299483d992e316e46dabf
- b45129aabfb53e1a04c5af57c1eeb24efce9266f1184210a7c149de36e281a43
- b65ab071908e1ee63d0419b262ede6684fee98e13ae3e58ccfc31f7622dcab31
- b6f39bce3b17c28741d036dc2f2c7aa7ab8b0696d4278d437cfb265f22551f19
- ba161c9075ca46441c0614499f706ddfb518caffa082fdeeacd309d768b933a1
- bca04a351adf2acf82054e0e18479aff5c40310b9c85655720e33ae2d818e04a
- bcc64ea43ca16fead469d91a3ab2567df0696d33216ade0fef515c7d4f40401e
- be96f8603fd6411746d0ba2bf487aaba501c766b1441979ac21a17f8584b21a1
- c0b80b5307fc418f9756ff6da09f4f920ea091d610ea28fdd3b68de7900001cc
- c3da8374714a0d92ae42a84a9df22c93ae07b00c574aaa386fd91b5b3360d1f7
- cc8010a51fe69015e7cc8d0ad6bcfd0eb0413727adbf2c162a28925735cca2b1
- da6a7e324170acf1eff6721e402ba5c1edb82496b41c71c0a104c6700dda1144
- dbf006333267f6a7a34758cec99527826f98eacb2775198de03fe89522246695
- de8b6c59a28aa2d49611aec4c55d3c8a770e87e6dc2931224524034abc665d77
- e0b6798a4bee0209c1d8975db41958541c5a97e60daf2e100099c29bd039b48d
- e568fe6db2adf8212043532032c7c1d7a16ea48c6142a5965c2aa2f59ce992fc
- e61fa9becd488d25f19a84110951abfed3592a06e59ad6ce95d2f299505a1831
- e85b7ccd7123ac3271434983b6ee1b933a9fab6489e29a6e72b897c6d2e7d270
- ec9f58a56596a6d34c9aea55fa25932a5e30cc2d563b323f7b7fe58d132748f6
- ed530456e57f01e4e263a0d91bbc398afedbc34059d9ad9f1014c21b05f0dbd2
- ed6c028bb0331990883cc5a88df62fccf9f2bb6578c53c459fb1d34014558211
- f16ee387a667512b6c26d68aa8a62ac3e48052beeaa2a358e6c0bb3cd955c15f
- f57c56652e8b60525acb5308ffbc43084fcd2163fb80dc7fa1272c33d32ada2d
- ff56ad2a3fd1ace9cb3b62a32e95969beaaed66835e971886e4888e35514b7c9
