В феврале 2025 года специалисты по кибербезопасности обнаружили опасное приложение RapiPlata, которое маскировалось под сервис быстрых займов, но на самом деле являлось шпионским ПО. Оно было доступно в Google Play и Apple App Store, где его скачали более 150 тысяч пользователей, преимущественно в Колумбии. Приложение даже вошло в топ-20 финансовых сервисов на платформе SimilarWeb, что свидетельствует о его популярности среди жертв.
Описание
Анализ показал, что RapiPlata получало доступ к конфиденциальным данным пользователей, включая SMS-сообщения, историю звонков, календарные события и список установленных приложений. Вся эта информация автоматически загружалась на серверы злоумышленников. Хотя приложение уже удалено из официальных магазинов, оно продолжает распространяться через сторонние сайты, которые выдают его за легальную версию из Google Play.
Жертвы RapiPlata сообщали о шантаже и угрозах: злоумышленники рассылали контактам пользователей ложные уведомления о несуществующих долгах, требуя возврата денег. При этом многие пострадавшие даже не оформляли займы через это приложение.
Эксперты выявили связь RapiPlata с другой вредоносной программой - Préstamo Rápido, которая ранее также была удалена из Google Play. Оба приложения использовали схожие методы сбора данных и имели домены, зарегистрированные через одного провайдера. Это указывает на то, что злоумышленники продолжают адаптировать свои схемы, чтобы обходить защитные механизмы магазинов приложений.
Особую опасность RapiPlata представляло для пользователей iOS: несмотря на высокий уровень безопасности Apple, украденные данные (например, календарные события с Zoom-ссылками) могли использоваться для целевых атак на корпоративные сети.
Чтобы избежать подобных угроз, эксперты рекомендуют скачивать приложения только из официальных источников, внимательно проверять запрашиваемые разрешения и избегать сервисов, требующих доступ к личной информации. Для дополнительной защиты стоит использовать специализированные решения для мобильной безопасности, способные блокировать вредоносные соединения и предотвращать утечку данных.
Индикаторы компрометации
URLs
- https://home.parkwaysas.co/
- https://t.copii.co/9YEPe
- https://www.dineroya.co/
- https://www.rapiplata.co
- https://www.rapiplata.pe/
SHA256
- d2413262042fa01e679795298d4541a114a73574c09d93240be64303946fc7f4
- f19c438d98921e5cb468395228fe51f98eb1670a20b3f7cad40783cc5a6156ca
- 2093d63e9bd882e0fe4033aa78544481e1ddf7f3d9932b1df6afa08fbeb795f0
- 37086709e265de909df5b84384b934c9f5427f4b636287da6d1f9ecc70c73a9c
- 3f87000c43f3cc2e37019ed590da72ec0c6c663257734095c5fd9306c11a6ce5
- 5a81cfd390f96b1797b65ecf528d6f2dc110a2393192e27c92e7232be8b31efc
- 608ffecca9c20b1b8da704256727225987d2da7223e106e5f2dea3c383bfe6a3
- 99b61add54c2e322f1ab48260197e10a99e1fd039a97744f2d14320c5c0ca646
- afb116cf99c020419679684035ff7c4e3ecdfce6c8842108c228eef4a13058bd
- bca3a8a2ef6733e379b4b2e17c4b51f1b2ac147101b3196182c103a64d7059e7
- cf597690738b875daddb964abc313b34049c76afb001df0f3b8bcd9f3d358826
- da6ccef711ad52b598a34de69b4dbefd21242b75a79272463bc66d3935e0e6a2
- e0028b4cfe4216f49556f4e5b6b5fd62ebd3cbce0ed774efe893e86ee65fb649
- ea453b597cf6610e9a7f4e87e25509d3d48e50f2fbd2cc65f3f641566448511f
- f13238211b5df56eb8901fb2d8d11355ab4f442f24f45c79b14e60c83a1d48b9
