Сегодня 14 мая 2025
18+
MWC 2018 2018 Computex IFA 2018
реклама
Новости Software

Google Play накрыло третье нашествие вредоносов Mandrake — они годами скрывались у всех на виду

В магазине Google «Play Маркет» обнаружено нашествие приложений со встроенной программой-шпионом Mandrake, сообщили в «Лаборатории Касперского». Это уже третья волна атаки — первые две прошли в 2016–2017 и 2018–2020 годах, а обнаружила их тогда компания Bitdefender.

 Источник изображения: Ivana Tomášková / pixabay.com

Источник изображения: Ivana Tomášková / pixabay.com

Разработчики вредоноса приняли жёсткие меры, препятствующие его обнаружению. Программа-шпион не работала в 90 странах мира, включая страны бывшего СССР. Доставка вредоносной нагрузки на последнем этапе осуществлялась только непосредственно выбранным жертвам. В приложениях содержался аварийный выключатель, который мог быстро ликвидировать все следы вредоносной активности. Mandrake распространялся через полнофункциональные приложения, служившие прикрытием — они издавались в категориях финансов, автомобилей и транспортных средств, видеоплееров и редакторов, искусства и дизайна, а также приложений для работы. Разработчики этих приложений быстро исправляли ошибки в работе официально декларируемых функций, о которых пользователи сообщали в комментариях «Play Маркета». Для связи с серверами управления использовались TLS-сертификаты.

Только в волну 2018–2020 годов жертвами Mandrake стали десятки тысяч человек, подсчитали в Bitdefender, а за весь четырёхлетний период их могли быть сотни тысяч. Как теперь выяснилось, была и третья волна распространений программы-шпиона — она началась в 2022 году, и обнаружить её эксперты «Лаборатории Касперского» смогли лишь в апреле 2024 года. Сейчас это были приложения по астрономии, криптовалютам и средство обмена файлами. Разработчики вредоноса приняли дополнительные меры, которые маскировали его поведение, препятствовали его обнаружению и анализу в «песочницах». В частности, это была обфускация — усложнение кода для его анализа при сохранении функциональности, — а также перенос вредоносной логики в собственные библиотеки.

 Примеры приложений с Mandrake в Google «Play Маркете». Источник изображения: securelist.ru

Примеры приложений с Mandrake в Google «Play Маркете». Источник изображения: securelist.ru

Основные цели Mandrake — кража учётных данных пользователя, а также загрузка и выполнение вредоносной нагрузки последующих этапов. Но эти действия выполнялись только на поздних стадиях заражения и только для тщательно отобранных целей. Главным методом является запись экрана при вводе жертвой пароля. Для этого разработчики программы-шпиона предусмотрели три сценария.

В первом случае Mandrake делал снимки экрана и отправлял их через регулярные интервалы на сервер, кодируя скриншоты в строки base64 — при этом злоумышленники могли отдавать дополнительные команды для изменения частоты скриншотов и изменения их качества. Были предусмотрены и другие удалённые команды: свайп к указанной координате экрана, изменение размера и разрешения открытой веб-страницы, переключение между настольной и мобильной версиями ресурса, включение или отключение JavaScript, изменение строки User Agent, импорт или экспорт файлов cookie, переходы назад и вперёд, обновление страницы, её масштабирование и другие функции. Второй сценарий отличался от первого тем, что запись снимков экрана производилась локально в видеофайл; а в третьем случае с сервера поступал сценарий действий в представлении на установленной странице, и велась их запись. Записи экрана впоследствии загружались на сервер при помощи соответствующих команд.

Ни в Bitdefender, ни в «Лаборатории Касперского» не сообщили, кто является предполагаемым разработчиком Mandrake, и каковы его мотивы. К настоящему моменту все приложения с программой-шпионом уже удалены из «Play Маркета».

Источник:

Если вы заметили ошибку — выделите ее мышью и нажмите CTRL+ENTER.
Материалы по теме

window-new
Soft
Hard
Тренды 🔥
Новые атаки Spectre-v2 легко обходят защиту CPU Intel и крадут данные из ядра 3 ч.
TikTok научился оживлять фотографии с помощью ИИ-функции AI Alive 8 ч.
Google превратила приложение «Найти устройство» в Find Hub и расширила его функциональность 8 ч.
Google анонсировала появление ИИ-ассистента Gemini в автомобилях и телевизорах 8 ч.
В Android появятся новые средства защиты от телефонных мошенников 8 ч.
«Ну вот и GTA VI наконец вышла»: криминальная песочница The Precinct обрадовала игроков на релизе 9 ч.
Apple представила «музыкальную терапию» — коллекцию Lo-Fi-треков для работы, учёбы и сна 10 ч.
Суд признал банкротом юрлицо знаменитого магазина «Плеер.ру» — долг перед налоговой составил 350 млн рублей 11 ч.
Захватывающие анонсы, мировые премьеры и секретные разработки: игровая презентация Warhammer Skulls 2025 пройдёт на следующей неделе 11 ч.
Nintendo Switch 2 получит режим ограничения заряда аккумулятора, который продлит срок его службы 11 ч.
Саудовская сделка увеличила благосостояние основателя Nvidia до $120 млрд 3 ч.
Новый химсостав батарей поможет электрокарам GM проезжать 650 км без подзарядки и сделает их безопаснее 7 ч.
Новая статья: Обзор видеокарты NVIDIA GeForce RTX 5060 Ti: не ошибись с гигабайтами 7 ч.
Саудовская Аравия всерьёз намерена стать лидером в ИИ: госстартап Humain договорился о многомиллиардном партнёрстве с NVIDIA, AMD и AWS 7 ч.
Новый уровень RGB в видеокартах: Vastarmor представила Radeon RX 9070 XT Super Alloy Ultra в ярком дизайне 8 ч.
AMD представила процессоры EPYC 4005 Grado для сокета AM5 9 ч.
Bahnhof построит ЦОД в шведском бункере времён Второй мировой войны 10 ч.
Nvidia скоро представит мобильную GeForce RTX 5050 — ноутбуки с ней уже показались в магазинах 11 ч.
xMEMS представила «самый тонкий в мире динамик» для качественного звука в смарт-часах 11 ч.
Ноутбук Gigabyte Aorus Master 16 AI PC получил награду Computex 2025 Best Choice Award за дизайн и ИИ-возможности 12 ч.