Нови вирус: На мети мобилни телефони, пазите шта отварате!

Истраживачи из DomainTools-а примијетили су веб сајтове хостоване на недавно регистрованим доменима који служе за дистрибуцију SpyNote-а, моћног тројанца за даљински приступ (РАТ).

Ови веб сајтови опонашају легитимне странице апликација Google Play продавнице, а циљ је да убиједе кориснике да преузму заражене фајлове под изговором инсталирања популарних апликација.

Истраживачи кажу да сајтови укључују елементе као што су скриншотови наводних страница апликације, дугме "Инсталирај", па чак и остатке кода који упућују на ТикТоков Андроид пакет.

Кликом на дугме за инсталацију покреће се Javascript, који аутоматски покреће преузимање АПК фајла. Када се инсталира, дроппер АПК извршава скривену функцију за инсталирање другог уграђеног АПК-а. Он има основну функционалност SpyNote-а, што му омогућава да комуницира са серверима за команду и контролу (Ц2).

SpyNote пружа нападачима широк спектар функција за надзор и контролу, укључујући:

- Пресретање СМС-а, евиденције позива и контаката
- Активирање камере и микрофона на даљину
- Евидентирање притисака на тастере, што омогућава нападачима крађу лозинки и 2ФА кодова
- Праћење ГПС локације
- Снимање телефонских позива
- Преузимање и инсталирање додатних апликација
- Спречавање уклањања злоупотребом услуга приступачности
-  Даљинско брисање или закључавање уређаја

Многе од ових могућности су омогућене путем захтјева за дозволе, од којих неке омогућавају малверу да преживи поновно покретање уређаја или да у потпуности сакрије своје присуство.

"SpyNote је озлоглашен по својој упорности, често захтијева фабричко ресетовање за потпуно уклањање", кажу истраживачи који су открили ову кампању.

Пронађени докази из инфраструктуре малвера и начини испоруке указују на могуће поријекло из Кине, укључујући присуство кода на кинеском језику и коришћење сајтова за дистрибуцију на кинеском језику. Међутим, то још увијек није коначан закључак.

Пратите нас на нашој Фејсбук и Инстаграм страници и X налогу.