Вредоносное ПО для Android.

Вредоносное ПО для Android варьируется от рекламного мошенничества и троянов, использующих платные премиум-SMS, до банковских троянов, шпионского ПО и инструментов удалённого доступа. К хорошо задокументированным семействам относятся Joker (мошенничество с премиум-SMS, неоднократно обнаруживавшийся в Google Play), Anubis и Cerberus (банковские трояны, злоупотребляющие службами специальных возможностей, чтобы накладывать фишинговые экраны и красть одноразовые коды OTP, приходящие по SMS), BRATA (банковский RAT, способный выполнить сброс устройства до заводских настроек) и SharkBot (банковский троян, использующий системы автоматизированных переводов, ATS, для инициирования мошеннических переводов).

Две кампании иллюстрируют масштаб. FluBot — смишинг-червь, впервые замеченный в декабре 2020 года, — распространялся, рассылая по SMS поддельные ссылки о доставке посылок и голосовой почте, которые устанавливали APK, а затем собирал контакты, чтобы рассылать самого себя дальше по SMS; в 2022 году операция в 11 странах, координируемая EC3 Европола, ликвидировала его инфраструктуру. GriftHorse, задокументированный Zimperium zLabs в 2021 году, использовал около 200 безобидных на вид приложений, чтобы подписать, по оценкам, более 10 миллионов пользователей в более чем 70 странах на премиум-сервисы стоимостью около 30 EUR в месяц.

Доминирующий сегодня способ доставки — безобидный «дроппер», который проходит проверку Google Play, а затем сторонней загрузкой подгружает настоящую полезную нагрузку и запрашивает Accessibility Service (службу специальных возможностей), чтобы считывать экран, автоматически заполнять мошеннические переводы и закрывать собственные диалоги удаления. Семейства вроде Anatsa (TeaBot) и Xenomorph усовершенствовали этот путь.

Меры защиты: оставаться в Google Play с включённым сканированием в реальном времени Play Protect, использовать ограниченные настройки (Restricted Settings) в Android 13+ (которые блокируют доступ приложений, установленных сторонней загрузкой, к специальным возможностям и Notification Listener), своевременно устанавливать обновления ОС и применять EMM/MDM с аттестацией Play Integrity на корпоративных устройствах.

flowchart TD
  A[Приложение-дроппер проходит<br/>проверку Google Play] --> B[Пользователь устанавливает из<br/>Play или фишингового SMS]
  B --> C[Приложение подгружает сторонней<br/>загрузкой настоящую нагрузку]
  C --> D{Пользователь предоставляет<br/>Accessibility Service?}
  D -->|Нет| E[Вредонос надоедает<br/>поддельными системными окнами]
  E --> D
  D -->|Да| F[Считывает экран, внедряет<br/>наложения, автозаполнение]
  F --> G[Кража OTP / учётных данных<br/>Система автоматизированных переводов]
  G --> H[Мошеннический перевод<br/>или премиум-подписка]