С конца 2022 года заражённые Android-устройства почти полтора миллиона раз связывались с серверами управления вредоносной программы MoqHao. За этой инфраструктурой стоит группировка Roaming Mantis. Несколько лет она рассылала СМС-сообщения со ссылками на вредоносные страницы и долго ограничивалась странами Дальнего Востока - Японией, Южной Кореей и Тайванем. Свежие наблюдения показывают, что география атак заметно расширилась: теперь жертвы есть практически на каждом континенте. Быстрее всего расширение идёт в Африке, Азии и Европе.
Описание
Сообщение от неизвестного номера - так начинается почти каждое заражение. Человек получает уведомление якобы от службы доставки или банка и открывает ссылку. Она ведёт на страницу, которая копирует оформление известного сервиса. Посетителю предлагают скачать приложение - например, для отслеживания посылки или оформления выплаты. После установки на устройстве появляется программа MoqHao. Она перехватывает входящие СМС, читает уведомления и получает доступ к банковским приложениям. Такой способ распространения называют СМС-фишингом. Особой подготовки он не требует: достаточно базы номеров и шаблона текста.
Всего выявлено 14 серверов управления. Часть из них, по данным аналитиков, совпадает с ранее описанными. Остальные адреса нашли через анализ самих образцов вредоносной программы и связей между инфраструктурными данными. Некоторые серверы принадлежат одной сети и обслуживают сразу несколько кампаний; другие работают обособленно. Изучение именно этой части инфраструктуры даёт наиболее полную картину. Площадки для доставки живут недолго, а серверы управления используются месяцами и иногда возобновляют работу после паузы. По ним и определяют, из каких стран приходят подключения.
География подключений охватывает 67 стран. Около 80% обращений приходятся на Восточную Азию, прежде всего на Японию. Эта страна остаётся основной базой группировки. Однако если убрать такие подключения из общей картины, становится видна глобальная экспансия. Пользователи из Африки, других регионов Азии и особенно Европы всё чаще попадают в число пострадавших. Кампании затрагивают Индию, Непал, Турцию, США, ЮАР, Чехию, Австрию, Бельгию, Португалию, Великобританию, Малайзию, Францию, Доминиканскую Республику, Бразилию и Суринам. Часть этих направлений появилась только за последний год.
Доставку злоумышленники строят на одноразовых промежуточных площадках. Файлы для заражения размещают на популярных легитимных сервисах и на доменах с динамической адресацией, которые легко сменить. Такой подход усложняет поиск источника. Посторонний трафик на таких ресурсах смешивается с активностью обычных пользователей и работой сканирующих систем, поэтому выделить среди него злоумышленников непросто. Промежуточные площадки быстро исчезают, и отследить их труднее, чем серверы управления. Именно поэтому устойчивая инфраструктура даёт более надёжные выводы о том, кого атакуют.
СМС-фишинг часто недооценивают. С фишингом по электронной почте борются давно, а короткие сообщения кажутся менее опасными. Между тем только по одной группировке Roaming Mantis за неполные полтора года зафиксировали более миллиона подключений. Это подтверждает, что канал остаётся действенным. Операторы годами оттачивают тексты и маскировку, поэтому их сообщения выглядят всё правдоподобнее и всё труднее отличить от настоящих уведомлений.
Группировку Roaming Mantis относят к финансово мотивированным злоумышленникам, говорящим на китайском языке. Первые публичные упоминания о ней появились около 2018 года. Основная цель - деньги на счетах жертв. После заражения устройство превращается в инструмент для кражи средств и персональных данных. Пострадать могут и частные пользователи, и сотрудники компаний, которые пользуются личными телефонами в рабочих целях. Для организаций это означает дополнительный риск: один заражённый телефон способен открыть доступ к служебной переписке и внутренним системам.
Защита начинается с внимательного отношения к сообщениям. Не стоит переходить по ссылкам из неожиданных СМС, даже если они выглядят как уведомление от банка или курьерской службы. Приложения лучше устанавливать только из официальных магазинов. Организациям полезно ограничивать доступ к известным серверам управления и регулярно объяснять сотрудникам, как распознать СМС-фишинг. Просвещение в вопросах мобильной безопасности снижает риск не меньше, чем технические средства. Отдельного внимания требует практика использования личных устройств для рабочих задач.
Масштаб кампаний продолжает расти. Более миллиона подключений за неполные полтора года говорят о том, что СМС-фишинг остаётся рабочим способом первичного доступа. Если группировка доведёт качество поддельных сообщений до уровня своих азиатских кампаний, число пострадавших по всему миру будет увеличиваться и дальше. Готовиться к этому стоит уже сейчас - и частным пользователям, и компаниям.
Индикаторы компрометации
