Сегодня 01 октября 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Google Play накрыло третье нашествие вредоносов Mandrake — они годами скрывались у всех на виду

В магазине Google «Play Маркет» обнаружено нашествие приложений со встроенной программой-шпионом Mandrake, сообщили в «Лаборатории Касперского». Это уже третья волна атаки — первые две прошли в 2016–2017 и 2018–2020 годах, а обнаружила их тогда компания Bitdefender.

 Источник изображения: Ivana Tomášková / pixabay.com

Источник изображения: Ivana Tomášková / pixabay.com

Разработчики вредоноса приняли жёсткие меры, препятствующие его обнаружению. Программа-шпион не работала в 90 странах мира, включая страны бывшего СССР. Доставка вредоносной нагрузки на последнем этапе осуществлялась только непосредственно выбранным жертвам. В приложениях содержался аварийный выключатель, который мог быстро ликвидировать все следы вредоносной активности. Mandrake распространялся через полнофункциональные приложения, служившие прикрытием — они издавались в категориях финансов, автомобилей и транспортных средств, видеоплееров и редакторов, искусства и дизайна, а также приложений для работы. Разработчики этих приложений быстро исправляли ошибки в работе официально декларируемых функций, о которых пользователи сообщали в комментариях «Play Маркета». Для связи с серверами управления использовались TLS-сертификаты.

Только в волну 2018–2020 годов жертвами Mandrake стали десятки тысяч человек, подсчитали в Bitdefender, а за весь четырёхлетний период их могли быть сотни тысяч. Как теперь выяснилось, была и третья волна распространений программы-шпиона — она началась в 2022 году, и обнаружить её эксперты «Лаборатории Касперского» смогли лишь в апреле 2024 года. Сейчас это были приложения по астрономии, криптовалютам и средство обмена файлами. Разработчики вредоноса приняли дополнительные меры, которые маскировали его поведение, препятствовали его обнаружению и анализу в «песочницах». В частности, это была обфускация — усложнение кода для его анализа при сохранении функциональности, — а также перенос вредоносной логики в собственные библиотеки.

 Примеры приложений с Mandrake в Google «Play Маркете». Источник изображения: securelist.ru

Примеры приложений с Mandrake в Google «Play Маркете». Источник изображения: securelist.ru

Основные цели Mandrake — кража учётных данных пользователя, а также загрузка и выполнение вредоносной нагрузки последующих этапов. Но эти действия выполнялись только на поздних стадиях заражения и только для тщательно отобранных целей. Главным методом является запись экрана при вводе жертвой пароля. Для этого разработчики программы-шпиона предусмотрели три сценария.

В первом случае Mandrake делал снимки экрана и отправлял их через регулярные интервалы на сервер, кодируя скриншоты в строки base64 — при этом злоумышленники могли отдавать дополнительные команды для изменения частоты скриншотов и изменения их качества. Были предусмотрены и другие удалённые команды: свайп к указанной координате экрана, изменение размера и разрешения открытой веб-страницы, переключение между настольной и мобильной версиями ресурса, включение или отключение JavaScript, изменение строки User Agent, импорт или экспорт файлов cookie, переходы назад и вперёд, обновление страницы, её масштабирование и другие функции. Второй сценарий отличался от первого тем, что запись снимков экрана производилась локально в видеофайл; а в третьем случае с сервера поступал сценарий действий в представлении на установленной странице, и велась их запись. Записи экрана впоследствии загружались на сервер при помощи соответствующих команд.

Ни в Bitdefender, ни в «Лаборатории Касперского» не сообщили, кто является предполагаемым разработчиком Mandrake, и каковы его мотивы. К настоящему моменту все приложения с программой-шпионом уже удалены из «Play Маркета».

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
«Это должно стать каноном»: художник воссоздал на Unreal Engine 5.6 город из The Elder Scrolls IV: Oblivion, каким его задумывала Bethesda 2 ч.
Маску не понравилась Wikipedia за ошибки и предвзятость, и он пообещал запустить «Грокипедию» 3 ч.
С 1 ноября клиентов гиперскейлеров вынудят покупать лицензии на VMware напрямую у Broadcom 11 ч.
Редактор видео Adobe Premier стал доступен на iOS — бесплатно 13 ч.
Грандиозный мод Fallout: London для Fallout 4 получил большое бесплатное дополнение с 30 новыми квестами и блэкджеком 13 ч.
«Недостающая подушка безопасности»: в «Google Диск» встроили ИИ-защиту от программ-вымогателей 13 ч.
OpenAI представила Sora 2 — ИИ-генератор видео с реалистичной физикой и логикой, а также возможностью встроить в ролик самого себя 13 ч.
Вторая глава, повышение максимального уровня, отключаемый интерфейс и многое другое: для Titan Quest 2 вышло первое крупное обновление 14 ч.
Соавтор Disco Elysium устроит из анонса новой игры событие мирового масштаба — Summer Eternal готовит необычную презентацию Red Rooster 15 ч.
Российский суд оштрафовал Microsoft и Telegram на 3,5 млн рублей каждую, а Apple — на 7 млн 16 ч.
Британские власти призвали срочно озаботиться вопросами ремонта и защиты подводных кабелей 37 мин.
8849 TANK 4 Pro — первый в мире защищённый смартфон с HD-проектором 2 ч.
Вчера в Афганистане полностью отключили интернет — без связи остались все 43 млн жителей 2 ч.
Arm запустит новый виток конфликта с Qualcomm, оспорив решение суда по делу Nuvia 4 ч.
Intel пообещала не сворачивать стройку заводов в Огайо, несмотря на перенос сроков 5 ч.
Тайвань не согласится производить половину своих чипов на территории США 6 ч.
Новая статья: Обзор смартфона HONOR X7d: прочнее, дольше и с искусственным интеллектом 9 ч.
Новая статья: Обзор умных часов HUAWEI WATCH GT 6: изящный помощник велосипедиста 11 ч.
Жители США столкнулись с резким ростом счетов за электричество из-за прожорливого ИИ 11 ч.
Amazon представила 11-дюймовые ридеры Kindle Scribe и Kindle Scribe Colorsoft с ИИ и ценой от $430 11 ч.