Троян RedWing атакует россиян через поддельные приложения и видеофайлы
3 мин
146
Cреди пользователей в России распространяют Android-троян RedWing. Эксперты F6 зафиксировали первую атаку в РФ с его использованием всего через несколько дней после обнаружения самого ВПО. За два месяца число заражённых устройств в России превысило 10 тысяч, всего же с начала компании счёт идёт уже на десятки тысяч.
RedWing распространяют через Telegram под видом приложения RadarTrevog для оповещений о воздушных атаках, а также под видом видеофайлов. Один из образцов называется «Видео с места аварии» и показывает при запуске страницу Google Play, предлагая установить обновление. После этого троян устанавливает свои компоненты и запрашивает включение службы специальных возможностей Android.
Специалисты изучили несколько образцов RedWing. Первый вариант — троян удалённого доступа, предназначенный для управления устройством. В нём есть кейлоггер, который может хранить до 5 тысяч записей. Он собирает текст, данные буфера обмена, PIN-коды и пароли, отслеживает активные приложения и посещаемые сайты. Информацию троян отправляет на сервер по команде или сразу после сбора. Второй вариант — стилер, который собирает данные.
RedWing может показывать поверх банковских и других приложений поддельные окна, в том числе формы для ввода PIN-кода. ВПО также загружает с сервера поддельные страницы финансовых сервисов и передаёт введённые данные злоумышленникам. Троян перехватывает PIN-код, пароль или графический ключ блокировки телефона. Затем он может использовать их для удалённой разблокировки устройства.
Вредонос поддерживает удалённое управление и передачу изображения с экрана. Троян может собирать сведения об элементах интерфейса, транслировать экран, делать снимки и вести видеосъёмку с основной или фронтальной камеры. Также RedWing записывает звук с микрофона или передаёт его в реальном времени. Троян может воспроизводить аудио и открывать чат, где злоумышленники выдают себя за техническую поддержку.
Заражённый телефон возможно использовать как прокси-сервер, чтобы скрывать IP-адрес злоумышленников. RedWing также способен проводить DDoS-атаки трёх типов: HTTP-flood, Slowloris и POST-flood. Через службу специальных возможностей троян может автоматически выдавать себе дополнительные разрешения, в том числе доступ к SMS и уведомлениям, и отключать Google Play Protect.
Вредонос старается помешать удалению. Он скрывает себя из списка недавно открытых приложений, поддерживает работу в фоне с помощью беззвучного аудио и может перезапускаться по будильнику в 3:15. При попытке открыть настройки, удалить приложение, скачать файл или запустить антивирус RedWing возвращает пользователя на главный экран. Вирус также мешает выключить или перезагрузить устройство.
