Новые версии Android-трояна Vultur маскируются под McAfee Security

Новые версии Android-трояна Vultur маскируются под McAfee Security

Специалисты зафиксировали распространение новой версии банковского трояна для Android — Vultur. Свежие образцы вредоноса отличаются более продвинутыми функциональными возможностями по части удаленного доступа, а также улучшенным механизмом ухода от детектирования.

Об атаках Vultur в 2022 году рассказывали специалисты компании ThreatFabric. Тогда в Google Play нашлись пять загрузчиков банковских Android-троянов.

Напомним, мы анализировали Vultur и его дроппер, пытаясь понять, как атаки банковского трояна устроены изнутри.

Интересно, что по итогам 2023 года компания Zimperium включила Vultur в топ-10 наиболее активных троянов, поскольку деятельность вредоноса затронула 122 приложений в 15 странах.

Теперь исследователи из Fox-IT предупреждают о новой версии трояна для Android. Последняя использует технику гибридной атаки: операторы ловят жертв на крючок через смишинг (СМС-фишинг), сам зловред попадает на устройства под маской защитного приложения McAfee Security.

В СМС-сообщениях целевого пользователя пугают несанкционированной транзакцией и настоятельно советуют позволить по предоставленному номеру для получения рекомендаций. Само собой, на том конце провода сидит злоумышленник, пытающийся склонить потенциальную жертву к установке фейкового McAfee Security.

Приложение содержит сюрприз — дроппер Brunhilda. После установки приложение расшифровывает и выполняет три пейлоада, связанных с Vultur: два APK и DEX-файл. Последние получают доступ к специальным возможностям операционной системы (Accessibility Services), устанавливают инструменты для удаленного доступа и связываются с командным сервером (C2).

 

Последняя на данный момент версия Vultur сохранила ключевую функциональность предыдущих семплов: запись экрана, функции кейлогера, удаленное подключение с помощью AlphaVNC и ngrok. Вместе с тем трояну добавили множество новых фич:

  • Управление файлами, включая возможность скачивания, загрузки, удаления, инсталляции и поиска.
  • Использование Accessibility Services для осуществления кликов, скроллинга и свайпов.
  • Блокировка запуска определенных приложений на устройстве, демонстрируя пользователю кастомный HTML-шаблон и сообщение «Temporarily Unavailable».
  • Вывод кастомных уведомлений в строке состояния, чтобы ввести жертву в заблуждение.
  • Отключение Keyguard для обхода блокировки экрана и получения неограниченного доступа к устройству.

 

Помимо этого, последние образцы Vultur обновили механизм ухода от детектирования: шифрует связь с командным сервером (AES + Base64), задействует несколько зашифрованных пейлоадов, которые расшифровываются на лету.

Троян использует собственный код для расшифровки полезной нагрузки, что затрудняет обратный инжиниринг тушки зловреда.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Мошенники звонят от имени Соцфонда и предлагают перерасчет пенсии

Телефонные мошенники, атакующие россиян наиболее уязвимого возраста — пенсионеров, актуализировали маскировку и теперь представляются сотрудниками Социального фонда. Цель осталась прежней: кража денег и личных данных.

О новой уловке в рамках хорошо известной схемы предупредили в своем телеграм-канале российские киберкопы. Вместе с тем на ИБ-сайт «Мошеловка» продолжают поступать данные о мошеннических звонках от имени ПФР; по всей видимости, далеко не все обманщики отследили реорганизацию: вопросами пенсионного страхования теперь занимается Соцфонд.

Обновленный сценарий развода по телефону в целом остался прежним. Лжесотрудники фонда сообщают собеседнику о неучтенном стаже, якобы обнаруженном в ходе проверки. Размер пенсии можно увеличить, и заявку на перерасчет предлагается подать в телефонном режиме.

Если последовать инструкциям «благодетелей», они попросят для идентификации продиктовать одноразовый код из СМС и в результате получат доступ к аккаунту на Госуслугах или мобильному банку. В последнем случае это может обернуться попыткой вывода денежных средств со счета жертвы.

МВД напоминает: сотрудники Соцфонда никогда не звонят с просьбой озвучить СМС-код для записи на прием. При подозрении на мошенничество лучше всего завершить разговор и перезвонить в заявленную службу по официальному номеру.

Сбор персональных и платежных данных россиян под предлогом увеличения выплат из страховых фондов мошенники ведут уже несколько лет. Возможны и другие предлоги — в зависимости от повестки дня.

Могут меняться также обличья, используемые для обмана граждан, и каналы, по которым злоумышленники вступают в контакт. Последнее время предпочтение отдается телефонной связи и мессенджерам.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru