Вредоносная программа Salvador Stealer, обнаруженная и проанализированная командой any.run, скрывается под видом банковского приложения для Android и предназначена для кражи конфиденциальной информации пользователей.
Описание
Salvador Stealer состоит из двух компонентов: дроппера APK и полезной нагрузки базового APK. Дроппер устанавливает и запускает базовый APK для кражи банковских данных. Для бесшумной установки и выполнения, дроппер объявляет определенные разрешения и фильтры намерений в своем файле AndroidManifest.xml.
Базовый APK, который является вредоносной полезной нагрузкой, отвечает за кражу данных. Он устанавливает соединение с Telegram, используя его в качестве командно-контрольного сервера для получения украденных данных и управления заражением. Кроме того, базовый APK перехватывает входящие SMS и крадет одноразовые пароли для обхода двухфакторной аутентификации.
Salvador Stealer также внедряет фишинговый сайт в приложение для Android, чтобы обманом заставить пользователей вводить свои банковские данные. Украденные данные затем немедленно отправляются на фишинговый сервер и командно-контрольный сервер через Telegram Bot API.
Indicators of Compromise
