Сегодня 22 октября 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Google Play накрыло третье нашествие вредоносов Mandrake — они годами скрывались у всех на виду

В магазине Google «Play Маркет» обнаружено нашествие приложений со встроенной программой-шпионом Mandrake, сообщили в «Лаборатории Касперского». Это уже третья волна атаки — первые две прошли в 2016–2017 и 2018–2020 годах, а обнаружила их тогда компания Bitdefender.

 Источник изображения: Ivana Tomášková / pixabay.com

Источник изображения: Ivana Tomášková / pixabay.com

Разработчики вредоноса приняли жёсткие меры, препятствующие его обнаружению. Программа-шпион не работала в 90 странах мира, включая страны бывшего СССР. Доставка вредоносной нагрузки на последнем этапе осуществлялась только непосредственно выбранным жертвам. В приложениях содержался аварийный выключатель, который мог быстро ликвидировать все следы вредоносной активности. Mandrake распространялся через полнофункциональные приложения, служившие прикрытием — они издавались в категориях финансов, автомобилей и транспортных средств, видеоплееров и редакторов, искусства и дизайна, а также приложений для работы. Разработчики этих приложений быстро исправляли ошибки в работе официально декларируемых функций, о которых пользователи сообщали в комментариях «Play Маркета». Для связи с серверами управления использовались TLS-сертификаты.

Только в волну 2018–2020 годов жертвами Mandrake стали десятки тысяч человек, подсчитали в Bitdefender, а за весь четырёхлетний период их могли быть сотни тысяч. Как теперь выяснилось, была и третья волна распространений программы-шпиона — она началась в 2022 году, и обнаружить её эксперты «Лаборатории Касперского» смогли лишь в апреле 2024 года. Сейчас это были приложения по астрономии, криптовалютам и средство обмена файлами. Разработчики вредоноса приняли дополнительные меры, которые маскировали его поведение, препятствовали его обнаружению и анализу в «песочницах». В частности, это была обфускация — усложнение кода для его анализа при сохранении функциональности, — а также перенос вредоносной логики в собственные библиотеки.

 Примеры приложений с Mandrake в Google «Play Маркете». Источник изображения: securelist.ru

Примеры приложений с Mandrake в Google «Play Маркете». Источник изображения: securelist.ru

Основные цели Mandrake — кража учётных данных пользователя, а также загрузка и выполнение вредоносной нагрузки последующих этапов. Но эти действия выполнялись только на поздних стадиях заражения и только для тщательно отобранных целей. Главным методом является запись экрана при вводе жертвой пароля. Для этого разработчики программы-шпиона предусмотрели три сценария.

В первом случае Mandrake делал снимки экрана и отправлял их через регулярные интервалы на сервер, кодируя скриншоты в строки base64 — при этом злоумышленники могли отдавать дополнительные команды для изменения частоты скриншотов и изменения их качества. Были предусмотрены и другие удалённые команды: свайп к указанной координате экрана, изменение размера и разрешения открытой веб-страницы, переключение между настольной и мобильной версиями ресурса, включение или отключение JavaScript, изменение строки User Agent, импорт или экспорт файлов cookie, переходы назад и вперёд, обновление страницы, её масштабирование и другие функции. Второй сценарий отличался от первого тем, что запись снимков экрана производилась локально в видеофайл; а в третьем случае с сервера поступал сценарий действий в представлении на установленной странице, и велась их запись. Записи экрана впоследствии загружались на сервер при помощи соответствующих команд.

Ни в Bitdefender, ни в «Лаборатории Касперского» не сообщили, кто является предполагаемым разработчиком Mandrake, и каковы его мотивы. К настоящему моменту все приложения с программой-шпионом уже удалены из «Play Маркета».

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
«Жидкое стекло» Apple можно будет заматировать: представлена нова бета iOS 26.1 12 мин.
Сервисы AWS упали второй раз за день — тысячи сайтов по всему миру снова недоступны 8 ч.
Fujitsu влила £280 млн в британское подразделение в преддверии выплат компенсаций жертвам багов в её ПО Horizon 8 ч.
Календарь релизов 20 – 26 октября: Ninja Gaiden 4, Painkiller, Dispatch и VTM – Bloodlines 2 8 ч.
В Windows сломалась аутентификация по смарт-картам после октябрьских обновлений — у Microsoft есть временное решение 9 ч.
Вместо Majesty 3: российские разработчики выпустили в Steam амбициозную фэнтезийную стратегию Lessaria: Fantasy Kingdom Sim 9 ч.
Слухи: Лана Дель Рей исполнит заглавную песню для «Джеймса Бонда», но не в кино, а в игре от создателей Hitman 10 ч.
Зов сердца: разработчики Dead Cells объяснили, почему вместо Dead Cells 2 выпустили Windblown 11 ч.
Adobe запустила фабрику ИИ-моделей, заточенных под конкретный бизнес 11 ч.
Китай обвинил США в кибератаках на Национальный центр службы времени — это угроза сетям связи, финансовым системам и не только 12 ч.
Президент США подписал соглашение с Австралией на поставку критически важных минералов на сумму $8,5 млрд 18 мин.
Новая статья: Обзор смартфона realme 15 Pro: светит, но не греется 5 ч.
Ещё одна альтернатива платформам NVIDIA — IBM объединила усилия с Groq 5 ч.
Учёные создали кибер-глаз, частично возвращающий зрение слепым людям 6 ч.
Samsung выпустила недорогой 27-дюймовый геймерский монитор Odyssey OLED G50SF c QD-OLED, 1440p и 180 Гц 6 ч.
Акции Apple обновили исторический максимум на новостях об отличных продажах iPhone 17 8 ч.
Представлен флагман iQOO 15 с чипом Snapdragon 8 Elite Gen 5 и батареей на 7000 мА·ч по цене меньше $600 9 ч.
Нечто из космоса врезалось в лобовое стекло самолёта Boeing 737 MAX компании United Airlines 10 ч.
Умные кольца Oura научатся выявлять признаки гипертонии, как последние Apple Watch 11 ч.
Дешёвая корейская термопаста оказалась вредна для процессоров и здоровья пользователей 11 ч.