Жертвами новой версии троянца Necro могли стать миллионы владельцев Android-устройств
С троянцем столкнулись пользователи в России и других странах. Necro до сих пор может распространяться на неофициальных площадках.
В конце августа 2024 года эксперты «Лаборатории Касперского» обнаружили, что в несколько популярных приложений Google Play и на неофициальных площадках проникла новая версия зловреда Necro. Это загрузчик для Android, который скачивает и запускает на зараженном смартфоне другие вредоносные компоненты в зависимости от того, какие команды дадут создатели троянца. В рамках этой вредоносной кампании решения «Лаборатории Касперского» зафиксировали атаки Necro на пользователей в России, Бразилии, Вьетнаме, Эквадоре и Мексике**.
Что умеет троянец. Обнаруженный специалистами «Лаборатории Касперского» вариант Necro может загружать на зараженный смартфон модули, которые показывают на устройстве рекламу в невидимых окнах и прокликивают ее, скачивают исполняемые файлы, устанавливают на телефон сторонние приложения, открывают в невидимых окнах произвольные ссылки в WebView и исполняют там произвольный JavaScript-код, а также, исходя из технических характеристик, вероятно, могут оформлять платные подписки. Кроме того, загружаемые модули дают злоумышленникам возможность пересылать интернет-трафик через девайс жертвы. Это позволяет атакующим якобы от лица жертвы посещать нужные им ресурсы, например, запрещенные, а также использовать зараженный гаджет как часть прокси-ботнета.
Зараженные приложения на неофициальных площадках. Первой находкой киберэкспертов, в которой скрывался Necro, оказался модифицированный Spotify Plus. Его авторы заявляли, что программа не представляет вреда для устройства и содержит множество дополнительных функций, которых нет в официальном приложении для прослушивания музыки. Позднее специалисты обнаружили также измененную версию WhatsApp* с загрузчиком Necro, а следом — зараженные модификации игр, среди которых — Minecraft, Stumble Guys, Car Parking Multiplayer. Necro попал в приложения в составе непроверенного рекламного модуля.
Зараженные приложения в Google Play. Распространением на сторонних площадках кампания Necro не ограничилась. Специалисты обнаружили троянец и в Google Play. Вредоносный загрузчик был обнаружен в приложении Wuta Camera и браузере Max Browser. Согласно данным из Google Play, общее количество скачиваний этих приложений превысило 11 млн. В обнаруженные приложения на этой платформе Necro тоже попал в составе непроверенного рекламного модуля.
«Лаборатория Касперского» сообщила Google о заражениях. В результате этого из приложения Wuta Camera был удален вредоносный код, а приложение Max Browser было удалено из магазина. Однако пользователи по-прежнему рискуют столкнуться с Necro на неофициальных площадках.
«Пользователи скачивают неофициальные модифицированные приложения, когда хотят обойти ограничения официальных приложений или надеются получить дополнительные бесплатные опции. Этим и пользуются злоумышленники. Зачастую они распространяют вместе с такими приложениями вредоносное ПО, так как на сторонних площадках отсутствует модерация, — комментирует Дмитрий Калинин, эксперт по кибербезопасности в «Лаборатории Касперского». — Интересно, что версия Necro, встроенная в приложения, использовала приемы стеганографии, а именно прятала полезную нагрузку в изображении, чтобы скрыть ее. Это редкий прием для мобильных зловредов».
Защитные решения «Лаборатории Касперского» защищают от Necro и детектируют обнаруженный загрузчик как Trojan-Downloader.AndroidOS.Necro.f и Trojan-Downloader.AndroidOS.Necro.h, а вредоносные компоненты — как Trojan.AndroidOS.Necro.
Чтобы защититься от этой и других киберугроз для Android, мы рекомендуем владельцам устройств:
— скачивать приложения только из официальных источников;
— регулярно обновлять ОС и установленные приложения;
— использовать надежное защитное решение от производителя, эффективность продуктов которого подтверждается независимыми тестовыми лабораториями, например, Kaspersky для Android.
* Принадлежит компании Meta, ее деятельность признана экстремистской и запрещена в России.
** Данные на основе анонимизированной статистики срабатывания решений «Лаборатории Касперского» за 26 августа-15 сентября 2024 года.