Компания Trend Micro опубликовала результаты исследования масштабной киберкампании, направленной на пользователей Android в Юго-Восточной Азии. С июля 2022 года злоумышленники активно используют банковский троян TgToxic (обнаруженный как AndroidOS_TgToxic) для кражи финансовых активов жертв. Вредоносное ПО внедряется в поддельные приложения и нацелено на кражу данных из банковских и криптовалютных кошельков, а также учетных записей официальных мобильных банковских сервисов.
Описание
Изначально атаки фокусировались на пользователях из Тайваня, но с конца 2022 года злоумышленники расширили географию, включив в зону риска жителей Таиланда и Индонезии. Основной вектор атак - социальная инженерия. Жертв заманивают через фишинговые ссылки в соцсетях, поддельные рекламные объявления и даже через схемы, связанные с криптовалютными аферами.
Первые случаи были зафиксированы в июле 2022 года, когда в Facebook появились мошеннические сообщения с фишинговыми ссылками, направленные на тайваньских пользователей. Злоумышленники использовали социальную инженерию, чтобы убедить жертв перейти по вредоносным ссылкам и загрузить троянские приложения.
С конца августа по октябрь 2022 года атаки продолжились, но теперь мишенью стали не только тайваньцы, но и жители Индонезии. В этот период преступники активно применяли тактику сексторских афер, вынуждая пользователей регистрироваться на фальшивых платформах, где затем похищали их учетные данные.
С ноября 2022 по январь 2023 года злоумышленники переключились на тайских пользователей, используя фишинговые сайты, имитирующие легитимные финансовые сервисы. Кроме того, в этот же период были зафиксированы атаки на индонезийцев, связанные с мошенническими схемами в криптовалютной сфере.
Троян TgToxic обладает широким функционалом: он способен перехватывать SMS-сообщения, включая одноразовые пароли (OTP), красть учетные данные из банковских приложений и даже совершать несанкционированные транзакции. Угроза особенно опасна из-за сложности обнаружения - вредоносное ПО маскируется под легитимные приложения и использует шифрование для сокрытия своей активности.
Эксперты Trend Micro рекомендуют пользователям соблюдать повышенную осторожность при установке приложений, особенно из ненадежных источников. Также важно избегать перехода по подозрительным ссылкам в соцсетях и не вводить личные данные на сомнительных сайтах. Установка надежного антивирусного ПО и регулярное обновление системы могут значительно снизить риски заражения.
Распространение TgToxic демонстрирует, что злоумышленники продолжают совершенствовать методы атак, адаптируясь к новым регионам и используя социальную инженерию для обхода защиты. Властям и компаниям, работающим в сфере кибербезопасности, необходимо усилить мониторинг подобных угроз и информировать пользователей о новых схемах мошенничества.
Индикаторы компрометации
Технический отчет
